허용된 건 이미지, 올라간 건 스크립트: iCagenda CVE-2026-48939를 방어자 노트로 읽기

이미지 출처: CISA KEV

동네 문화센터 홈페이지에 '강좌 신청' 코너가 하나 붙어 있다고 해봅시다. 참가자가 이름을 적고, 프로필 사진을 한 장 올리면 신청 완료. 관리자 입장에서는 손 안 대고 행사 목록이 채워지니 편하죠. 그런데 그 '사진 한 장 올리는 칸'이, 서버에서 코드를 실행시킬 수 있는 파일을 그대로 받아준다면 이야기가 완전히 달라집니다. iCagenda라는 Joomla 행사 관리 확장기능에서 보고된 CVE-2026-48939가 바로 그런 구조의 문제입니다.

핵심 요약

• iCagenda의 파일 업로드 처리에서 위험한 확장자(스크립트류)를 제대로 걸러내지 못해, 이미지 대신 실행 가능한 파일이 서버에 올라갈 수 있는 취약점임.
• 업로드된 파일이 웹에서 직접 실행되면 원격 코드 실행·웹셸 설치로 이어져 사이트 전체가 장악될 수 있음.
• 방어는 '올라온 뒤 탐지'보다 '애초에 못 올리게' 하는 서버·업로드 정책이 핵심이며, 확장기능 업데이트와 업로드 폴더 실행 차단이 1순위임.

무엇이 문제인가

이 취약점의 정식 이름은 Unrestricted Upload of File with Dangerous Type, 우리말로 옮기면 '위험한 유형의 파일을 제한 없이 업로드'입니다. 웹 애플리케이션이 사용자가 올리는 파일을 받을 때는 보통 몇 겹의 검사를 거쳐야 정상입니다. 확장자가 이미지인지, 실제 파일 내용(매직 바이트)이 선언한 형식과 맞는지, 서버가 이 파일을 '데이터'로만 다룰지 '프로그램'으로 실행할지 등입니다.

iCagenda의 행사 등록·이미지 첨부 경로에서는 이 검증이 느슨했던 것으로 보고됐습니다. 겉으로는 이미지 업로드 기능이지만, 확장자나 MIME 타입 검사를 우회할 수 있는 파일이 통과하면, 공격자는 이미지가 아니라 서버에서 해석되는 스크립트 파일을 올려둘 수 있게 됩니다. 그 파일에 브라우저로 접근하는 순간 코드가 실행되면, 그때부터는 남의 서버가 아니라 공격자의 명령 창구가 되는 셈입니다.

공격은 개념적으로 이렇게 흘러감

구체적인 페이로드를 적을 필요는 없습니다. 흐름만 개념으로 잡아두면 방어 지점이 자연스럽게 보이거든요.

• 진입: 로그인 없이 접근 가능한 행사 등록 폼, 또는 낮은 권한 사용자가 쓰는 첨부 기능.
• 우회: 확장자를 이미지처럼 위장하거나, 검사 로직의 빈틈을 파고들어 실행 가능한 파일을 통과시킴.
• 거치: 업로드된 파일이 예측 가능한 경로에 저장되고, 그 경로가 웹에서 직접 접근·실행 가능함.
• 장악: 웹셸이 자리 잡으면 파일 열람, DB 접근, 계정 탈취, 다른 서버로의 확산까지 단계적으로 진행됨.

핵심은 '통과'와 '실행' 두 조건이 동시에 성립할 때만 피해가 현실이 된다는 점입니다. 방어는 이 둘 중 하나만 확실히 끊어도 상당 부분 무력화됩니다.

방어자·운영자가 지금 할 일

• 확장기능 업데이트가 최우선: iCagenda의 최신 패치 버전으로 올리는 것이 근본 해법입니다. Joomla 확장기능은 코어와 별도로 관리자가 직접 챙겨야 하는 부분이라, 이런 업로드 취약점이 방치되기 쉽습니다.
• 업로드 폴더의 실행 권한 차단: 이미지가 저장되는 디렉터리에서는 PHP 등 스크립트 실행 자체를 서버 설정으로 막아두는 것이 강력한 2차 방어선입니다. 파일이 올라와도 실행되지 않으면 웹셸은 그냥 죽은 텍스트가 됩니다.
• 서버 측 검증 강화: 확장자 화이트리스트, 실제 파일 내용 검사, 업로드 파일명 무작위화, 원본 확장자 신뢰 금지 같은 원칙을 적용하면 위장 파일이 설 자리가 줄어듭니다.
• 탐지 관점: 이미지 폴더에 갑자기 생긴 스크립트 파일, 평소와 다른 시각의 업로드, 저장 경로로 들어오는 직접 접근 로그를 눈여겨보는 것이 좋습니다. 웹방화벽(WAF)에서 업로드 요청 패턴을 감시하는 것도 도움이 됩니다.

작은 사이트일수록 더 챙겨야 하는 이유

개인적으로는 규모가 작은 사이트일수록 이런 확장기능 취약점을 더 조심하라고 권하고 싶습니다. 방문자가 적으니 괜찮겠지 싶지만, 공격자들은 특정 사이트를 노리기보다 '이 취약한 확장기능을 쓰는 곳'을 자동으로 훑어 무차별로 찾아다니거든요. 사람 손이 자주 닿지 않는 곳일수록 웹셸이 오래 살아남고, 그 서버가 다른 공격의 발판으로 재활용되는 경우도 많습니다.

정리하면, 업로드 기능은 편의와 위험이 정확히 같은 문에서 나오는 기능입니다. 우리 사이트에 '파일을 받는 칸'이 어디 있는지부터 목록으로 적어보고, 그 각각이 실행 가능한 파일을 막고 있는지 하나씩 확인해보는 걸 오늘의 숙제로 삼아보면 어떨까요. 점검하다 애매한 지점이 나오면 댓글로 남겨주세요. 같이 짚어봅시다.