Adobe Campaign Classic 최고 등급 취약점 발견, 사용자 개입 없이 임의 코드 실행 가능 (CVE-2026-48449)

핵심 요약

- Adobe Campaign Classic(ACC)에서 잘못된 권한 부여(Incorrect Authorization) 취약점 발견, CVSS 10.0(Critical) 등급 부여 - 사용자 개입 없이 현재 사용자 컨텍스트에서 임의 코드 실행 가능, Scope Changed로 영향 범위 확대 - Adobe는 2026년 8월 보안 권고문(APSB26-114)을 통해 패치 제공, 즉각적인 업데이트 필요

주요 내용

Adobe는 2026년 8월 자사의 마케팅 자동화 플랫폼인 Campaign Classic에서 치명적인 보안 취약점을 공개했다. CVE-2026-48449로 식별된 이 취약점은 잘못된 권한 부여(Incorrect Authorization) 메커니즘으로 인해 발생하며, 공격자가 시스템에서 임의의 코드를 실행할 수 있는 경로를 제공한다.

이 취약점의 가장 위험한 특징은 사용자 개입이 전혀 필요하지 않다는 점이다. 일반적인 피싱이나 소셜 엔지니어링 공격과 달리, 공격자는 기술적 수단만으로 취약점을 악용할 수 있어 자동화된 대량 공격에 악용될 가능성이 높다. 특히 'Scope Changed' 속성은 공격이 취약한 구성요소를 넘어 다른 시스템 자원에까지 영향을 미칠 수 있음을 의미한다.

Adobe Campaign Classic는 전 세계 기업들이 고객 데이터를 기반으로 이메일, SMS, 푸시 알림 등 마케팅 캠페인을 관리하는 플랫폼이다. 따라서 이 취약점이 악용될 경우 대량의 개인정보 유출은 물론, 악성 마케팅 메시지 발송, 데이터베이스 조작 등 심각한 2차 피해가 발생할 수 있다.

Adobe는 보안 권고문 APSB26-114를 통해 상세한 패치 정보를 제공하고 있으며, 영향받는 버전을 사용 중인 모든 조직에 즉각적인 업데이트를 권고하고 있다. CVSS 3.x 기준 10.0 만점이라는 것은 기술적 복잡도가 낮고, 필요 권한 수준이 낮으며, 공격 성공 시 기밀성·무결성·가용성 모두에 완전한 영향을 미친다는 의미다.

전문가 시각

ISMS-P 인증심사 관점에서 볼 때, 이번 취약점은 '접근통제' 및 '어플리케이션 보안' 영역의 근본적인 설계 결함을 보여주는 사례다. 권한 부여 메커니즘의 오류는 단순 구현 실수가 아닌 보안 아키텍처 설계 단계에서의 위협 모델링 부족을 시사한다. 특히 마케팅 플랫폼처럼 대량의 개인정보를 처리하는 시스템에서 최소권한 원칙과 역할 기반 접근통제(RBAC)가 제대로 구현되지 않았을 가능성이 크다.

기업 실무 담당자는 우선 자사가 사용 중인 Adobe Campaign Classic 버전을 즉시 확인하고, 영향받는 버전일 경우 긴급 패치를 적용해야 한다. 패치 적용 전까지는 네트워크 레벨 접근통제 강화, 시스템 로그 모니터링 강화, 비정상 행위 탐지 룰 추가 등의 임시 보완대책을 마련해야 한다. 또한 이번 사건을 계기로 제3자 소프트웨어에 대한 취약점 관리 프로세스를 재점검하고, 정기적인 보안 패치 적용 체계를 수립할 필요가 있다.

영향받는 시스템 및 조치사항

영향받는 시스템: Adobe 보안 권고문 APSB26-114에 명시된 Adobe Campaign Classic 특정 버전 (정확한 버전 정보는 공식 권고문 참조)

CVSS 3.x 점수 해석 (10.0 Critical):
- 공격 복잡도(AC): Low - 특수한 조건 없이 공격 가능
- 권한 요구(PR): None 또는 Low - 최소한의 권한으로 공격 가능
- 사용자 개입(UI): None - 사용자 행위 불필요
- 영향 범위(S): Changed - 취약 구성요소 외 다른 자원에도 영향
- 기밀성/무결성/가용성(C/I/A): High - 모든 영역에서 완전한 손실 가능

조치사항:
1. Adobe 보안 권고문(APSB26-114) 즉시 확인
2. 사용 중인 Campaign Classic 버전 식별
3. 제공된 보안 패치 즉시 적용
4. 패치 적용 후 시스템 로그 검토 및 비정상 활동 여부 확인
5. 사고 대응 계획 점검 및 모니터링 강화

CPPG·ISMS-P 연계 포인트

1. 접근통제 및 권한관리 (ISMS-P 2.5.2 ~ 2.5.4)
잘못된 권한 부여(Incorrect Authorization)는 인증(Authentication)과 인가(Authorization)의 분리가 제대로 이루어지지 않았거나, 권한 검증 로직에 결함이 있을 때 발생한다. ISMS-P에서 요구하는 '최소권한 원칙', '직무분리', '접근권한 정기 검토' 등의 통제가 애플리케이션 레벨에서도 구현되어야 한다. 본 취약점은 시스템 설계 단계부터 RBAC(Role-Based Access Control) 및 ABAC(Attribute-Based Access Control) 모델을 적용하고, 권한 상승(Privilege Escalation) 시나리오에 대한 보안 테스트가 필수적임을 보여준다.

2. 어플리케이션 보안 및 보안 취약점 관리 (ISMS-P 2.8.4 ~ 2.8.5)
CVSS 10.0의 치명적 취약점 발생은 개발 생명주기(SDLC) 전반에 걸친 보안 통제 실패를 의미한다. 보안 코딩 가이드 준수, 정적·동적 소스코드 분석, 모의해킹 등이 제대로 수행되었다면 배포 전 발견되었을 가능성이 높다. ISMS-P 인증기업은 자체 개발 시스템은 물론 도입하는 상용 소프트웨어에 대해서도 취약점 모니터링 체계를 수립하고, 공급업체의 보안 패치를 신속하게 적용할 수 있는 변경관리 프로세스를 마련해야 한다.