미국 사이버보안청이 Joomla 확장 프로그램 원격 코드 실행 취약점의 실제 악용 사례를 공식 경고하며, 공공·민간 웹 인프라 전반의 공급망 통제 필요성이 부각되고 있다.
- BleepingComputer 보도에 따르면 미국 사이버보안 및 인프라보안청(CISA)은 Joomla 콘텐츠 관리 시스템(CMS)의 여러 서드파티 확장 모듈에서 원격 코드 실행(RCE) 취약점이 실제 공격에 악용되고 있다며, 이를 ‘Known Exploited Vulnerabilities’ 목록에 추가하고 연방 정부 기관 및 민간 기업에 긴급 패치와 취약한 확장 제거를 촉구하는 보안 공지를 발행하였다.
- 취약점은 Joomla 코어가 아닌 확장 모듈의 입력 검증·권한 관리 결함을 통해 공격자가 특수 제작한 요청을 보내 서버에서 임의 코드를 실행할 수 있게 하는 구조로, 공격자는 이를 이용해 웹 서버를 악성 봇넷이나 랜섬웨어 초기 침투 지점으로 변환할 수 있으며, 특히 동일 확장을 사용하는 다수 공공·기업 사이트가 동시에 공격 가능 범위에 놓이게 되는 ‘플랫폼 공급망’ 위협을 형성한다.
- CISA는 공지에서 영향을 받는 확장 이름, 버전 범위, 패치 여부, 악용 탐지 시그니처 등 구체 정보를 제시하며, 내·외부 스캔을 통해 해당 확장을 사용하는 시스템을 식별하고, 일정 기간 내에 패치를 적용하지 않는 연방 기관에 대해서는 위험 관리 조치를 요구하는 등 정량적·정책적 대응을 병행하고 있으며, 이는 WordPress·Drupal 등 다른 CMS에도 유사한 공급망 점검이 필요함을 시사한다.
- 이 사건은 Volt Typhoon과 같은 국가 배후 위협 그룹이 SOHO 라우터·웹 포털·CMS 플러그인 등 관리가 느슨한 인터넷 인프라를 이용해 장기 잠복 네트워크를 구축해온 사례와 맞물려, 한국 공공기관·지자체·중소기업 웹 포털에서도 Joomla·WordPress·국산 CMS 확장 모듈 공급망을 체계적으로 관리하지 않으면 동일 유형의 공격에 노출될 수 있음을 보여준다.
- 한국 정부는 공공 웹 사이트와 주요 민간 서비스의 CMS·플러그인 사용 현황을 전수 조사하고, CISA의 Known Exploited Vulnerabilities 목록과 EU 사이버 회복력법(CRA) 요구사항을 참고해 ‘웹 플랫폼 공급망 최소 보안 기준’을 마련해야 하며, 특히 서드파티 확장에 대한 등록·인증·패치 의무를 도입해 국내 CMS 생태계를 글로벌 수준으로 상향 평준화하는 방안을 검토할 필요가 있다.
웹 포털은 국민·기업 서비스의 기본 인프라인 만큼, 한국은 CISA의 취약점 목록과 연계된 CMS·플러그인 공급망 관리 체계를 구축하여, 국내 모든 공공 사이트가 최소한의 확장 모듈 보안 기준을 충족하도록 법·가이드라인을 정비해야 한다.
주요 용어: RCE(원격 코드 실행으로 공격자가 네트워크를 통해 서버에서 임의 코드를 실행하는 취약점), CMS(콘텐츠 관리 시스템으로 Joomla·WordPress 등 웹 사이트 구축 플랫폼), Volt Typhoon(중국 배후로 지목된 SOHO 라우터 기반 장기 잠복 공격 그룹)
출처: BleepingComputer