글 쓰는 도구에 관리자 문이 열려 있었다 — Joomla JCE 접근 제어 결함 CVE-2026-48907

이미지 출처: CISA KEV

운영 중인 Joomla 사이트에서 가장 손이 많이 가는 화면이 어디냐고 물으면, 글을 쓰고 이미지를 끼워 넣는 에디터라고 답하는 사람이 많음. 그만큼 매일 켜는 도구이고, 그래서 의심하지 않게 되는 도구이기도 함. 이번에 보고된 CVE-2026-48907은 바로 그 자리, Widget Factory가 만든 JCE(Joomla Content Editor)의 접근 제어가 제대로 작동하지 않았다는 이야기임.

핵심 요약

• JCE 컴포넌트의 일부 기능이 권한 검증을 충분히 하지 않아, 본래 허용되지 않은 사용자가 접근할 수 있는 부적절한 접근 제어(Improper Access Control) 문제임.
• 핵심 위험은 파일·미디어 관리나 설정 같은 기능에 낮은 권한 계정이 손을 댈 수 있다는 점 — 자료 유출·웹셸 업로드·콘텐츠 변조로 이어질 수 있음.
• 방어의 출발점은 단순함: 확장 즉시 업데이트, 접근 로그에서 비정상 호출 탐지, 그리고 '에디터=신뢰' 가정 자체를 점검하는 것.

무엇이 문제인가 — '권한 확인을 깜빡한' 기능들

접근 제어 취약점은 화려한 메모리 익스플로잇 같은 게 아님. 오히려 더 흔하고 더 조용함. 정상적인 요청처럼 보이는 HTTP 호출 하나가, 서버 쪽에서 "이 사용자가 이 작업을 해도 되는가?"를 묻는 단계를 건너뛰는 것이 전부임. JCE처럼 파일 업로드·미디어 브라우저·디렉터리 탐색 같은 강력한 기능을 품은 확장에서 이 검증이 빠지면, 영향은 단순한 정보 노출에서 멈추지 않음.

• 수직적 권한 상승: 낮은 권한(또는 인증이 약한) 사용자가 관리자급 작업에 접근.
• 객체 단위 접근 우회(IDOR형): 식별자만 바꿔 다른 사용자의 자료나 파일에 접근.
• 파일 기능 악용: 미디어 관리 경로가 열리면 악성 파일 업로드로 이어질 여지가 생기고, 최악의 경우 원격 코드 실행의 발판이 됨.

구체적인 영향 범위와 점수는 사용 중인 JCE 버전과 사이트 구성에 따라 달라지므로, 단정하기보다 "내 환경에서 어디까지 노출되는가"를 직접 확인하는 편이 안전함.

어떻게 탐지하는가 — 로그가 먼저 말해준다

이런 류의 공격은 평범한 요청과 닮아서, 시그니처보다 '맥락'으로 잡아야 함. 개인적으로는 아래 순서로 보는 걸 추천함.

• 컴포넌트 진입점 모니터링: 웹 로그에서 index.php?option=com_jce 계열 요청, 특히 파일·미디어 관련 태스크 파라미터가 인증되지 않은 세션이나 저권한 계정에서 호출되는지 추적.
• 업로드 디렉터리 감시: 미디어 폴더에 .php, .phtml 등 실행 가능한 확장자가 새로 생기는지 파일 무결성 모니터링(FIM)으로 알림 설정. 정상 운영에서 이런 파일이 갑자기 늘 이유는 거의 없음.
• 비정상 행위 패턴: 짧은 시간에 식별자만 바꿔가며 반복 호출하는 흐름, 평소 글을 쓰지 않던 계정의 에디터 API 접근 등을 이상 징후로 봄.
• WAF 가시성: 차단까지는 못 하더라도, 해당 경로의 요청을 별도로 태깅해두면 사후 분석이 훨씬 수월해짐.

어떻게 막는가 — 순서가 곧 우선순위

완화는 거창할 필요 없음. 다만 순서가 중요함.

• 업데이트 최우선: Widget Factory가 배포한 최신 JCE로 올리는 것이 근본 해결책. 확장 업데이트는 코어 업데이트만큼 자주 잊히는데, 사실 공격 표면의 상당수가 여기 있음.
• 최소 권한 재점검: 에디터 기능과 미디어 관리 권한이 정말 필요한 그룹에만 부여돼 있는지 ACL을 다시 봄. '편하니까'로 열어둔 권한이 가장 위험함.
• 업로드 경로 차단: 미디어 디렉터리에서 PHP 실행을 서버 설정으로 막아두면, 설령 파일이 올라가도 실행으로 이어지지 않음.
• 가상 패치: 즉시 업데이트가 어려운 운영 환경이라면 WAF로 취약 경로 접근을 임시 제한해 시간을 버는 것도 현실적인 선택임.

마무리 — 에디터도 공격 표면이다

이번 건이 주는 교훈은 의외로 단순함. 우리가 '내부 도구'라고 믿고 신뢰를 후하게 주는 컴포넌트일수록, 권한 검증의 빈틈이 치명적이 된다는 것임. 매일 켜는 에디터, 자주 쓰는 플러그인부터 권한 목록을 한 번 훑어보는 것 — 거기서부터 시작하면 충분함. 여러분 사이트의 확장 목록, 오늘 같이 한 번 점검해보아요. 운영하면서 발견한 탐지 팁이 있다면 댓글로 나눠주면 좋겠음.