Akamai는 인증되지 않은 심각한 원격 코드 실행(RCE) 취약점(CVE-2026-75650, 일명 StyleSmuggler)을 추적해 왔습니다. Akamai Security Intelligence Group은 해당 취약점을 악용하려는 시도가 실제로 발생하고 있음을 확인했습니다.
이 취약점은 최대 CVSS 점수 10.0을 기록하며, 악용 시 인증이나 사용자 상호작용이 필요하지 않습니다.
공격자들은 HTTP 헤더와 파라미터를 통해 악성 PHP 코드를 Magento의 템플릿 처리 프로세스에 몰래 삽입한 후, 자동 이메일 생성 과정에서 해당 코드를 실행합니다.
조사에 따르면, Akamai Adaptive Security Engine(ASE)의 CMD 인젝션 보호 기능은 이미 기본적으로 GraphQL의 주요 헤더 및 매개변수 기반의 공격 기법을 차단하고 있으므로 새로운 룰을 별도로 적용할 필요가 없습니다.
Akamai는 이 취약점과 관련해 확인된 모든 악용 기법에 대한 탐지 영역을 지속적으로 검증하고 있습니다.
영향을 받은 고객은 최대한 빨리 Adobe의 공식 핫픽스(APSB26-146/VULN-39341)를 적용해야 합니다.
CVE-2026-75650은 Adobe Commerce, Adobe Commerce B2B, 그리고 Magento Open Source에 영향을 미치는 심각한 원격 코드 실행 취약점입니다. 이 취약점을 통해 인증되지 않은 공격자는 플랫폼의 템플릿 엔진에 PHP 코드를 주입한 후, 서버에서 해당 코드를 실행할 수 있습니다.
이 취약점은 2026년 9월 초부터 실제 환경에서 적극적으로 악용되어 왔으며, 이에 Adobe는 긴급 보안 패치를 별도로 배포했습니다.
해당 공격은 다음 4단계로 진행됩니다.
공격자가 HTTP 헤더나 파라미터에 악성 PHP 코드를 숨겨 Magento의 GraphQL 엔드포인트로 요청을 전송합니다.
Magento는 인식되지 않은 값을 기록하므로 공격자의 PHP 코드가 서버 측 로그 파일에 의도치 않게 저장됩니다.
후속 요청은 일반적으로 표준 트랜잭션 이메일을 생성하는 방식으로 Magento의 템플릿 엔진을 활성화합니다.
렌더링 과정에서 템플릿 엔진은 악성 로그 파일을 로드하고 내장된 PHP 코드를 실행해 공격자에게 원격 코드 실행 권한을 부여합니다.
악용에 인증이나 사용자 상호작용이 필요 없기 때문에 패치되지 않은 채 노출된 인스턴스는 모두 위험합니다.
이 취약점은 Adobe Commerce 및 Magento Open Source 버전 2.4.4 ~ 2.4.9, Adobe Commerce B2B 1.3.3 ~ 1.5.3에 존재합니다. 사용자는 이 취약점을 해결하기 위해 Adobe가 APSB26-146(핫픽스 VULN-39341)에서 제공한 보안 업데이트를 적용해야 합니다.
조사 결과에 따르면 Akamai App & API Protector의 Adaptive Security Engine CMD 인젝션 보호 기능은 새로운 룰 없이도 GraphQL 헤더 및 파라미터 기반의 주요 공격 기법을 기본적으로 차단합니다. 기존 ASE 룰은 이미 분석된 StyleSmuggler 악용 시도에 사용된 PHP 및 명령어 인젝션 패턴을 탐지하고 차단합니다. 이 글을 작성하는 시점을 기준으로, 이 취약점에 대해 공개된 완전한 무기화 개념 증명(PoC) 사례는 확인되지 않았습니다.
Akamai는 이 취약점과 관련해 확인된 모든 신흥 악용 기법에 대한 탐지 영역을 지속적으로 검증하고 있습니다. Akamai의 웹 애플리케이션 방화벽(WAF)에서 알려진 공격 패턴을 탐지하고 차단할 수 있지만, 여전히 가장 효과적인 방어 방법은 벤더사의 패치를 신속하게 적용하는 것입니다. 이 문제의 심각성을 고려해 최대한 빨리 업데이트를 적용하세요.
©2026 Akamai Technologies
