Adobe가 Photoshop(Windows/macOS) 대상 보안 업데이트 APSB26-130을 발표했습니다. 이 업데이트는 현재 사용자 컨텍스트에서 임의 코드 실행으로 이어질 수 있는 critical 등급 취약점을 해결하며, Adobe는 해당 취약점에 대해 현재 알려진 in-the-wild 악용 사례가 없다고 밝혔습니다.
개요
APSB26-130은 Photoshop 2026과 Photoshop 2025(Windows 및 macOS)에 적용되는 보안 패치입니다. Adobe 공식 서한에 따르면 이 업데이트가 해결하는 취약점은 critical 등급으로 분류되며, 임의 코드 실행으로 이어질 수 있다고 명시되어 있습니다.
CVE-2026-76199는 Photoshop Desktop의 Uncontrolled Search Path Element 취약점으로, CVE 데이터베이스에 현재 사용자 컨텍스트에서 임의 코드 실행으로 이어질 수 있다고 기록되어 있습니다.
Adobe는 이 업데이트가 Photoshop 2026은 27.7, Photoshop 2025는 26.11.7 버전으로 제공되며, Priority 3로 분류했다고 명시했습니다.
영향 범위
Adobe 공식 서한에서 명시된 대상 제품과 플랫폼은 다음과 같습니다.
- Photoshop 2026: 27.6 and earlier (Windows 및 macOS)
- Photoshop 2025: 업데이트 대상 포함 (Windows 및 macOS)
이 취약점은 현재 사용자 컨텍스트에서 임의 코드 실행으로 이어질 수 있다는 점에서, 해당 사용자 계정이 조직 내에서 민감한 작업을 수행할 경우 영향이 사용자 환경 전반으로 확장될 수 있습니다. 다만 이는 Adobe의 등급 분류와 CVE 기록을 바탕으로 한 조건부 해석이며, 조직 전체의 배포 규모나 특정 사용자 환경의 위험도는 현재 증거에서 확인되지 않습니다.
다만 다음 사항에 대해 현재 증거가 부족합니다.
- Photoshop 2025의 정확한 영향 버전 범위(어느 버전부터 대상인지)는 공식 서한에 명시되지 않았습니다.
- APSB26-130에 포함된 전체 CVE 목록은 확인되지 않아, CVE-2026-76199 외에 다른 취약점이 함께 해결되는지는 불확실합니다.
- Adobe가 부여한 Priority 3 등급이 패치 긴급도 체계에서 어떤 수준에 해당하는지 공식 정의가 현재 증거에 없습니다.
기술적 분석
CVE-2026-76199는 Uncontrolled Search Path Element 취약점 유형에 해당합니다. CVE 데이터베이스 기록에 따르면, Photoshop Desktop의 이 취약점이 악용되면 현재 사용자 컨텍스트에서 임의 코드 실행으로 이어질 수 있습니다.
Adobe는 이 취약점을 critical 등급으로 분류했으며, 현재 알려진 in-the-wild 악용 사례가 없다고 밝혔습니다. 현재 사용자 컨텍스트 코드 실행 특성을 감안하면, 해당 계정이 관리 권한을 가진 환경에서는 영향이 사용자 환경 전반으로 확장될 수 있습니다. 이는 Adobe의 등급 분류와 CVE 기록을 바탕으로 한 조건부 해석이며, 특정 검색 경로의 정확한 위치, 대상 파일 형식, 추가 전제 조건(예: 특정 플러그인 존재 여부)은 Adobe 공식 설명이 요약 형태만 공개되어 있어 확인되지 않습니다. 또한 독립적 제3자 기술 분석이나 PoC가 없어 실제 공격 난이도와 세부 전제 조건은 Adobe 공식 설명에 의존해야 합니다.
대응 방안
Adobe 보안 서한에 따르면, 이 취약점을 해결하기 위해 다음 버전으로 업데이트하는 것이 안내되어 있습니다.
- Photoshop 2026: 27.7 (Windows 및 macOS)
- Photoshop 2025: 26.11.7 (Windows 및 macOS)
Adobe Security Bulletin APSB26-130에서 업데이트 정보와 추가 세부사항을 확인하실 수 있습니다.
점검 시 참고 한계
- CVE-2026-76199의 특정 검색 경로 위치와 대상 파일 형식이 공개되지 않아, 내부 점검 시 확인 대상 디렉터리와 파일 타입을 확정하기는 어렵습니다.
- Photoshop 2025의 정확한 영향 버전 범위가 확인되지 않아, 해당 버전 사용자에 대한 업데이트 대상 판단은 불확실합니다.
- APSB26-130에 포함된 전체 CVE 목록이 확인되지 않아, CVE-2026-76199 외에 추가 취약점이 함께 해결되는지는 불확실합니다.
참고자료
- Adobe Security Bulletin APSB26-130
- CVE-2026-76199 - Photoshop Desktop Uncontrolled Search Path Element
함께 읽으면 좋은 글
- CVE-2026-75650 대응: Adobe Commerce 템플릿 엔진 RCE 실제 악용 점검
- CVE-2025-10478: Rockwell 1756-ENBT 변조 CIP 패킷 DoS 취약점 및 대응 가이드
- CVE-2026-49869: Kestra OSS 인증 우회 RCE — KEV 등재 취약점 점검 및 대응
본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.
댓글 (0)
댓글을 작성하려면 로그인이 필요합니다.
로그인아직 댓글이 없습니다.
첫 번째 댓글을 작성해보세요!