[CVE] CVE-2026-9558 (CVSS 9.9 · 치명적) [CWE-1336]

핵심 요약

Mautic의 테마 엔진에서 서버 측 템플릿 주입(SSTI) 취약점(CVE-2026-9558, CVSS 9.9)이 발견되었습니다. 이 취약점은 Mautic이 업로드된 Twig 템플릿을 샌드박스나 엄격한 제한 없이 렌더링하여 발생하며, 테마 생성 또는 업로드 권한을 가진 인증된 사용자가 이를 악용하여 호스팅 서버에서 임의 코드를 실행(원격 코드 실행)하거나 시스템 파일에 접근할 수 있습니다. 이는 MITRE ATT&CK의 Template Injection(T1221) 전술과 관련이 있습니다. IT 감사인은 이러한 유형의 애플리케이션 취약점이 내부 시스템에 미칠 수 있는 잠재적 위험을 평가하고, 사용자 권한 관리 및 입력값 검증 통제에 대한 감사를 강화하여 유사 사고를 예방해야 합니다.

💡 개선 권고안

• ✔기술적 조치Mautic 테마 엔진에서 Twig 템플릿을 렌더링할 때, 샌드박스 환경을 엄격하게 적용하고 허용되는 함수 및 필터를 최소화하여 임의 코드 실행을 방지하는 보안 설정을 강화할 것을 권고함.
• ✔기술적 조치Mautic에서 테마 업로드 및 생성 기능에 대한 입력값 유효성 검증(Input Validation)을 강화하고, 잠재적으로 악의적인 코드가 포함된 템플릿 파일의 업로드를 차단하는 보안 메커니즘을 적용해야 함을 권고함.
• ✔관리적 조치Mautic과 같은 외부 솔루션 도입 및 운영 시, 해당 솔루션의 보안 취약점 정보를 주기적으로 모니터링하고, CVE-2026-9558과 같은 고위험 취약점에 대한 패치 적용 및 보안 업데이트 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치Mautic 시스템에 대한 사용자 권한을 최소 권한 원칙(Principle of Least Privilege)에 따라 재검토하고, 테마 생성 및 업로드 권한이 필요한 사용자에게만 제한적으로 부여하며, 해당 권한에 대한 정기적인 검토 및 승인 절차를 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문