CVE-2026-59792 대응 가이드: JetBrains IntelliJ IDEA workspace ID 경로 탐색 기반 코드 실행 점검 포인트

서론

CVE-2026-59792는 JetBrains IntelliJ IDEA에서 보고된 코드 실행 취약점이다. 취약점 설명의 핵심은 project workspace ID를 처리하는 과정에서 경로 탐색이 가능했고, 그 결과 코드 실행으로 이어질 수 있었다는 점이다.

이 취약점은 일반 서버 제품이 아니라 개발자 IDE에 영향을 준다. 따라서 위험도는 단순히 "IDE 업데이트 필요"로 끝나지 않는다. 개발자 PC에는 소스코드, 접근 토큰, SSH 키, 클라우드 자격증명, 내부 패키지 저장소 인증 정보가 함께 존재하는 경우가 많다. 공격자가 개발자 워크스테이션에서 코드를 실행할 수 있다면 소스 탈취, 자격증명 유출, 빌드 파이프라인 오염으로 이어질 수 있다.

NVD 기준 공개 시각은 2026년 7월 10일이며, JetBrains가 CVE 발급 주체로 등록되어 있다. 내부 수집 레코드와 JetBrains CNA 기준 CVSS v3.1 점수는 9.6 Critical이다. NVD의 별도 분석 점수는 9.8 Critical로 표시되어 있어, 조직 내부 취약점 관리에서는 최소한 Critical 등급으로 처리하는 것이 맞다.

본론

CVE 설명은 짧지만 운영 관점에서 중요한 단서가 있다. 취약점 유형은 경로 탐색이며, CWE-23으로 분류되어 있다. 경로 탐색은 입력값에 포함된 상대 경로나 특수 경로 표현을 적절히 제한하지 못해, 원래 의도한 디렉터리 밖의 파일이나 경로를 참조하게 되는 취약점 유형이다.

이번 경우 문제 지점은 project workspace ID 처리다. IntelliJ IDEA는 프로젝트별 설정, 캐시, 워크스페이스 상태를 관리한다. 이 영역에서 경로 경계가 깨지면 신뢰하지 않은 프로젝트나 워크스페이스 식별자가 IDE 내부 경로 해석에 영향을 줄 수 있다. 결과가 코드 실행으로 이어질 수 있다는 점 때문에 단순 파일 접근 취약점보다 우선순위가 높다.

영향 버전은 IntelliJ IDEA 2026.1.4 미만으로 정리된다. NVD affected 항목도 versionEndExcluding: 2026.1.4로 표시한다. 취약점 설명에는 2026.2도 함께 언급되어 있으므로, 2026.2 EAP나 프리릴리스 채널을 운영 중인 조직은 안정 버전만 확인하지 말고 Toolbox, EAP, 수동 설치본까지 함께 조사해야 한다.

CVSS 벡터도 눈여겨봐야 한다. JetBrains CNA 벡터는 AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L로, 네트워크에서 유도 가능하지만 사용자 상호작용이 필요한 시나리오를 가정한다. 반면 NVD 분석 벡터는 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H로 더 공격적인 해석을 보인다. 두 값이 다르더라도 공통점은 분명하다. 공격 복잡도는 낮고, 권한은 필요 없으며, 기밀성과 무결성 영향이 크다.

현재 공개 레코드 기준으로 CISA SSVC의 exploitation 항목은 none, automatable 항목은 no로 표시되어 있다. 이는 공개적으로 확인된 악용 정황이 없다는 뜻이지 위험이 낮다는 뜻은 아니다. IDE 취약점은 대량 스캔보다 피싱, 악성 저장소 공유, 협업 프로젝트 초대, 공급망 침투와 결합될 때 현실적인 피해로 이어진다.

조직이 우선 확인해야 할 대상은 다음과 같다.

• IntelliJ IDEA 2026.1.4 미만 설치본
• JetBrains Toolbox로 관리되지 않는 수동 설치본
• EAP 또는 2026.2 프리릴리스 채널 사용 PC
• 외부 저장소, 고객사 저장소, 오픈소스 PR 검토가 잦은 개발자 PC
• 빌드·배포 권한, 패키지 배포 권한, 클라우드 운영 권한을 가진 개발자 계정

탐지 관점에서는 "취약점 전용 IOC"보다 행위 기반 점검이 현실적이다. 공격자가 IDE를 통해 코드를 실행했다면, IDE 프로세스 하위에서 비정상 프로세스가 생성되거나 프로젝트 디렉터리 밖의 파일 접근이 늘어날 수 있다. 특히 idea64.exe, idea, java, fsnotifier 등 IDE 관련 프로세스에서 셸, 스크립트 인터프리터, 다운로드 도구가 파생되는지 확인해야 한다.

우선 점검할 로그와 흔적은 다음과 같다.

• EDR에서 IntelliJ IDEA 프로세스의 자식 프로세스 생성 이력
• 개발자 PC의 최근 프로젝트 열람 이력과 외부 저장소 clone 이력
• IDE 설정·캐시 디렉터리의 비정상 파일 생성 또는 수정 시각
• 프로젝트 루트 밖 파일에 대한 IDE 프로세스 접근 이벤트
• SSH 키, API 토큰, 클라우드 자격증명 파일 접근 흔적
• 빌드 스크립트, Gradle/Maven 설정, IDE 플러그인 설정의 갑작스러운 변경

이 취약점의 대응은 패치와 개발 환경 통제를 함께 봐야 한다. 단순히 IDE 버전만 올리고 끝내면, 이미 열람한 악성 프로젝트나 탈취된 개발자 자격증명은 남을 수 있다. 특히 개발자가 외부에서 받은 프로젝트를 열었거나, 의심스러운 저장소를 검토한 이력이 있다면 해당 시점 전후의 워크스테이션 활동을 별도로 조사해야 한다.

대응방안

가장 먼저 IntelliJ IDEA를 2026.1.4 이상으로 업데이트한다. JetBrains Toolbox를 사용하는 조직은 관리 콘솔이나 엔드포인트 인벤토리에서 실제 설치 버전을 확인해야 한다. 패키지 매니저, 수동 다운로드, EAP 설치본이 섞여 있으면 같은 사용자 PC에 여러 버전이 공존할 수 있다.

업데이트가 즉시 어려운 환경에서는 임시 완화 조치를 적용한다. 신뢰하지 않은 프로젝트를 열지 않도록 안내하고, 외부 저장소 리뷰는 격리된 개발 VM이나 일회성 환경에서 수행하게 한다. 고객사나 외부 협력사가 전달한 프로젝트 압축 파일은 IDE에서 바로 열기 전에 별도 샌드박스에서 압축 해제와 정적 검사를 거친다.

보안팀은 다음 순서로 대응하는 것이 좋다.

1. 자산 관리 도구와 EDR에서 IntelliJ IDEA 설치 버전을 수집한다.
2. 2026.1.4 미만 또는 2026.2 프리릴리스 사용자를 우선 격리 목록에 올린다.
3. 해당 사용자에게 업데이트를 강제하고, 업데이트 전까지 외부 프로젝트 열람을 제한한다.
4. 최근 30일간 IDE 프로세스 하위의 셸·스크립트 실행 이벤트를 조회한다.
5. 의심 이벤트가 있는 계정은 SSH 키, Git 토큰, 클라우드 키, 패키지 저장소 토큰을 회전한다.
6. 빌드 서버와 패키지 저장소에서 해당 개발자 계정의 배포·태그·릴리스 이력을 검토한다.

개발 조직은 IDE 보안을 엔드포인트 보안의 일부로 포함해야 한다. JetBrains IDE, VS Code, Eclipse 같은 개발 도구는 일반 업무 앱보다 더 많은 코드 실행 경로와 플러그인 권한을 가진다. 취약점이 공개될 때마다 서버 자산만 패치하는 방식으로는 개발자 워크스테이션 침해를 놓칠 수 있다.

탐지 룰을 만드는 경우에는 특정 CVE 문자열보다 프로세스 관계를 기준으로 잡는 편이 유용하다. 예를 들어 IntelliJ IDEA 프로세스가 bash, sh, cmd.exe, powershell.exe, python, node, curl, wget을 비정상 위치에서 실행하는 이벤트를 경보화한다. 다만 빌드·테스트 과정에서도 일부 명령은 정상적으로 실행될 수 있으므로 프로젝트 경로, 사용자, 실행 인자, 시간대를 함께 비교해야 한다.

장기적으로는 개발자 PC의 비밀정보 노출 범위를 줄여야 한다. 로컬에 장기 토큰을 저장하지 않고, SSO 기반 단기 토큰과 권한 분리를 적용한다. 패키지 배포 권한은 개인 PC가 아니라 승인된 CI/CD 경로를 통해서만 행사되도록 제한한다. IDE 취약점으로 워크스테이션이 침해되더라도 릴리스 권한까지 바로 이어지지 않게 만드는 것이 핵심이다.

결론

CVE-2026-59792는 JetBrains IntelliJ IDEA의 workspace ID 처리 문제로 인한 Critical 등급 코드 실행 취약점이다. 개발자 IDE는 내부망과 공급망 사이에 위치한 고가치 자산이므로, 취약점 대응도 일반 데스크톱 앱보다 높은 우선순위로 진행해야 한다.

실무 대응의 핵심은 세 가지다. 첫째, IntelliJ IDEA 2026.1.4 이상으로 업데이트한다. 둘째, 외부 프로젝트를 열었던 개발자 워크스테이션의 IDE 실행 흔적과 자격증명 접근 흔적을 확인한다. 셋째, 개발자 계정과 빌드·배포 권한을 분리해 IDE 침해가 공급망 침해로 확장되지 않게 한다.

이번 취약점은 개발 환경 자체가 공격 표면이라는 사실을 다시 보여준다. 보안팀은 IDE, 플러그인, 빌드 도구, 패키지 매니저를 정식 취약점 관리 범위에 넣고, 개발팀은 신뢰하지 않은 프로젝트를 다루는 절차를 별도로 운영해야 한다.

참고자료

• NVD, CVE-2026-59792, published 2026-07-10
• JetBrains, Fixed security issues
• CVSS v3.1: JetBrains CNA 9.6 Critical, NVD 9.8 Critical

본 콘텐츠는 AI 기술로 생성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하시면 댓글을 통해 소중한 의견 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.