[CVE] CVE-2026-63221 (CVSS 9.4 · 치명적) [CWE-89]

핵심 요약

CodeIgniter PHP 웹 프레임워크의 Query Builder `deleteBatch()` 함수에서 SQL 인젝션 취약점(CVE-2026-63221, CVSS 9.4)이 발견되었다. 이 취약점은 `deleteBatch()` 함수가 `where()` 조건의 바인딩된 값을 SQL에 대체할 때 이스케이프 플래그를 무시하여, 사용자 제어 입력이 SQL 명령어로 해석될 수 있도록 하는 A03:2021 – Injection(CWE-89) 유형이다. 공격자는 이를 악용하여 데이터베이스의 데이터를 무단으로 삭제하거나 조작할 수 있다. IT 감사인은 조직 내 CodeIgniter 사용 여부 및 취약한 버전(4.3.0 ~ 4.7.3) 사용 여부를 즉시 확인하고, 최신 보안 패치(4.7.4 이상) 적용 여부를 점검하여 데이터 무결성 및 가용성 침해 리스크를 관리해야 함을 시사한다.

💡 개선 권고안

• ✔기술적 조치조직 내 CodeIgniter 프레임워크를 사용하는 모든 웹 애플리케이션을 식별하고, 취약한 버전(4.3.0 ~ 4.7.3)을 사용하는 경우 즉시 버전 4.7.4 이상으로 업그레이드할 것을 권고함.
• ✔기술적 조치웹 애플리케이션 개발 시 SQL 인젝션 방어를 위해 모든 사용자 입력값에 대한 엄격한 유효성 검증을 수행하고, 데이터베이스 쿼리 시 바인딩 변수를 사용하여 SQL 명령과 데이터를 명확히 분리하는 안전한 코딩 원칙을 적용해야 함을 권고함.
• ✔관리적 조치웹 프레임워크, 라이브러리 등 오픈소스 및 상용 소프트웨어 구성요소에 대한 최신 보안 취약점 정보를 주기적으로 모니터링하고, 발견된 취약점에 대한 신속한 패치 적용 및 변경 관리 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치개발 및 운영 담당자를 대상으로 SQL 인젝션 등 주요 웹 취약점에 대한 시큐어 코딩 교육을 정기적으로 실시하여 개발 단계부터 보안을 고려하는 문화를 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문