JetBrains IntelliJ IDEA 경로 탐색 취약점, CVSS 9.6 긴급 패치 발표 (CVE-2026-59792)

핵심 요약

- JetBrains IntelliJ IDEA 2026.1.4 이전 및 2026.2 버전에서 경로 탐색(Path Traversal) 취약점 발견 - 프로젝트 워크스페이스 ID 처리 과정의 결함으로 임의 코드 실행 가능 - CVSS 9.6점(CRITICAL)의 심각한 취약점으로 긴급 패치 필요

주요 내용

JetBrains는 2026년 7월 통합 개발 환경(IDE) IntelliJ IDEA에서 발견된 심각한 보안 취약점 CVE-2026-59792를 공개했다. 이번 취약점은 CVSS 3.x 기준 9.6점의 Critical 등급으로 평가되어 즉각적인 대응이 요구된다.

취약점의 핵심은 프로젝트 워크스페이스 ID를 처리하는 과정에서 발생하는 경로 탐색(Path Traversal) 공격 가능성이다. 공격자는 조작된 워크스페이스 ID를 통해 의도되지 않은 파일 시스템 경로에 접근할 수 있으며, 이를 악용하여 시스템에서 임의 코드를 실행할 수 있다. 개발 환경의 특성상 높은 권한으로 실행되는 경우가 많아 피해 범위가 광범위할 수 있다.

경로 탐색 취약점은 입력값 검증 부족으로 발생하는 전형적인 보안 결함이다. 특히 워크스페이스 ID와 같은 식별자에서 "../"와 같은 상대 경로 문자열이 적절히 필터링되지 않을 경우, 공격자는 제한된 디렉토리 외부의 파일에 접근하거나 악의적인 코드를 실행할 수 있다.

JetBrains는 공식 보안 권고를 통해 영향받는 모든 버전의 사용자에게 즉시 최신 버전으로 업데이트할 것을 권고하고 있다. 특히 기업 환경에서 다수의 개발자가 사용하는 IDE의 특성상, 하나의 취약점이 전사적 보안 사고로 확대될 수 있어 신속한 대응이 필요하다.

전문가 시각

ISMS-P 인증 기준 관점에서 보면, 이번 취약점은 개발 도구에 대한 보안 관리의 중요성을 다시 한번 일깨워준다. 많은 기업이 업무용 애플리케이션의 보안에는 집중하지만, 개발자가 사용하는 IDE와 같은 도구의 보안은 상대적으로 소홀히 하는 경향이 있다. 그러나 개발 환경은 소스 코드, 인증 정보, 내부 시스템 접근 권한 등 민감한 자산에 대한 접근 통로가 되므로, 개인정보보호 관리체계 수립 시 개발 도구 보안 관리 정책을 명확히 포함해야 한다.

실무적으로는 취약점 관리 프로세스의 정립이 중요하다. CVE가 공개된 후 72시간 이내에 영향도 분석을 완료하고, Critical 등급의 경우 1주일 이내 패치를 적용하는 것이 권장된다. 특히 개발 환경의 경우 패치 적용 시 호환성 문제가 발생할 수 있으므로, 테스트 환경에서 선행 검증 후 단계적 배포 전략을 수립해야 한다. 또한 IDE 업데이트 정책을 자동화하고, 보안 패치 적용 현황을 모니터링하는 체계를 구축하는 것이 필요하다.

영향받는 시스템 및 조치사항

영향받는 버전: - JetBrains IntelliJ IDEA 2026.1.4 이전의 모든 2026.1.x 버전 - JetBrains IntelliJ IDEA 2026.2 버전

CVSS 점수 해석: CVSS 9.6점은 최상위 심각도인 Critical 등급에 해당한다. 이는 공격 복잡도가 낮고, 사용자 상호작용이 최소화되어 있으며, 기밀성·무결성·가용성 모두에 심각한 영향을 미칠 수 있음을 의미한다. 특히 코드 실행 가능성은 완전한 시스템 장악으로 이어질 수 있어 최우선 대응이 필요하다.

조치사항: 1. IntelliJ IDEA를 2026.1.4 이상 또는 2026.2 패치 버전으로 즉시 업데이트 2. JetBrains Toolbox를 통해 자동 업데이트 활성화 3. 업데이트 전까지 신뢰할 수 없는 출처의 프로젝트 파일 열람 금지 4. 네트워크 세그먼트 분리를 통한 개발 환경 격리 5. 취약점 스캐너를 통한 전사 IDE 버전 현황 파악

CPPG·ISMS-P 연계 포인트

1. 취약점 관리 및 패치 관리 (ISMS-P 2.8.2) 정보보호 및 개인정보보호 관리체계 인증 기준에서는 소프트웨어 및 시스템의 취약점을 주기적으로 점검하고, 발견된 취약점에 대해 패치를 적시에 적용할 것을 요구한다. 개발 도구 역시 중요 자산으로 분류하여 취약점 관리 대상에 포함해야 하며, Critical 등급의 CVE는 긴급 패치 절차에 따라 처리해야 한다. 패치 적용 이력과 미적용 사유를 문서화하는 것도 인증 심사의 중요한 확인 사항이다.

2. 개발보안 및 입력값 검증 (ISMS-P 2.6.3) 경로 탐색 취약점은 입력값 검증 실패의 전형적인 사례로, 개발 단계에서 시큐어 코딩 원칙을 적용해야 한다. 특히 파일 경로, 사용자 입력, 외부 데이터 등은 화이트리스트 기반 검증과 정규화(Canonicalization) 과정을 거쳐야 한다. CPPG(개인정보보호 전문가) 관점에서는 개발 도구 자체의 보안성이 최종 산출물인 서비스의 보안성에 직접적 영향을 미치므로, 공급망 보안 차원에서 개발 환경 보안을 관리해야 한다.

--- 작성: 백남정 박사 (ISMS-P 선임심사원 30회) 출처: NVD, JetBrains Security Advisory