Categories: News

Spring 애플리케이션 프레임워크, 91건 취약점 패치

AI 활용으로 급증한 스프링 프레임워크 취약점 패치, 원격 코드 실행·권한 상승 위험 부각

Sonatype은 Java 기반 웹 애플리케이션 프레임워크인 Spring에서 91건의 취약점이 패치됐다고 강조하며, 이 중 Spring for GraphQL에서 발생하는 원격 코드 실행 치명 취약점 CVE-2026-59285와 Spring AI의 도구 호출 기능에서 프롬프트 인젝션을 통해 권한 상승이 가능한 중간 수준 취약점 CVE-2026-59318을 별도로 지적해 애플리케이션 개발 생태계 전반의 보안관리 부담이 크게 늘어났음을 보여준다.
Broadcom이 Spring 생태계 내에서 인공지능을 적극 활용하는 과정에서 코드 생성·구성 자동화가 확대되며 취약점 신고와 패치 건수가 급증했고, 이번에는 Spring4Shell처럼 이미 공격자에게 잘 알려진 원격 코드 실행 취약점 사례와 함께 CISA의 KEV( Known Exploited Vulnerabilities ) 카탈로그에 등재된 여러 Spring 관련 취약점들이 재차 상기되면서, 오픈소스 기반 웹 서비스와 마이크로서비스 구조를 사용하는 기업·기관의 보안 운영 체계가 AI 도입으로 복잡해지는 흐름이 뚜렷해졌다.
미국 사이버보안·인프라보안국 CISA는 KEV 카탈로그를 통해 실제로 악용된 Spring4Shell 등 여러 Spring 취약점을 추적하며 즉각적인 패치를 권고하고 있고, SecurityWeek의 보도에 따르면 오픈소스 프로젝트와 상용 서비스 제공자는 최신 Spring 패치를 검토해 신속히 적용할 것을 요구받고 있으며, 이는 Sonatype이 문제를 제기한 Spring for GraphQL과 Spring AI의 취약점을 포함해 웹 애플리케이션과 AI 에이전트가 결합된 새로운 유형의 서비스가 국가 중요 인프라와 연동될 때 공급망 전체의 공격면을 줄이기 위한 선제적 관리 필요성을 시사한다.
Spring 생태계에서 올해만 200건 이상 취약점이 패치된 반면 2025년에는 16건, 2024년에는 22건에 그쳤다는 수치는 Broadcom의 AI 활용을 계기로 오픈소스 애플리케이션 프레임워크에서 취약점 탐지·보고·수정이 폭발적으로 늘어난 구조 변화를 의미하며, 91건의 취약점 중 최소 1건은 CVE-2026-59285처럼 원격 코드 실행이 가능한 치명 이슈이고 또 다른 CVE-2026-59318은 Spring AI 도구 호출 기능에서 프롬프트 인젝션을 이용한 권한 상승을 허용해 개발사와 이용기관 모두가 패치 주기를 단축하고 자동화된 취약점 관리 도구를 도입해야 할 정량적 근거가 된다.
Spring4Shell이 과거 실제 공격 캠페인에서 광범위하게 악용돼 애플리케이션 서버를 장악하고 데이터를 탈취한 전례가 있고, CISA가 KEV 카탈로그로 Spring 관련 취약점 여러 건을 관리하며 오픈소스 프로젝트에 패치 적용을 촉구하는 상황에서, Broadcom의 AI 활용으로 2026년 들어 200건 이상 취약점이 패치되는 흐름은 AI가 취약점 발견을 촉진하는 동시에 공격자의 악용 속도도 높여 애플리케이션 프레임워크 보안정책을 ‘패치 중심’에서 구성 관리·접근통제·런타임 보호를 병행하는 종합적 리스크 관리 체계로 전환해야 함을 보여준다.
Spring for GraphQL과 Spring AI에서 각각 CVE-2026-59285와 CVE-2026-59318 같은 원격 코드 실행·프롬프트 인젝션 기반 권한 상승 취약점이 확인되고 올해 패치된 Spring 취약점이 200건을 넘는 상황은 한국에서도 공공·금융·통신 등에서 널리 사용하는 Spring 생태계와 AI 기반 코딩 도구, LLM 에이전트 플랫폼이 국가 정보시스템에 직접 연결돼 있다는 점을 고려할 때, 정부가 오픈소스 프레임워크·AI 개발도구를 포함한 소프트웨어 공급망 보안 가이드라인을 정비하고 CISA KEV와 연계된 취약점 모니터링 체계를 구축해 국내 기관의 패치 의무화·점검 기준을 강화할 기회이자 동시에 패치 지연 시 대규모 침해로 이어질 위험 신호로 받아들여야 한다.