[CVE] CVE-2026-101008 (CVSS 9.1 · 치명적) [CWE-74, CWE-77]

핵심 요약

aaPanel BaoTa 웹 관리 패널의 File Merge Handler 구성 요소에서 원격 명령 주입 취약점(CVE-2026-101008)이 발견되었으며, CVSS 점수 9.1의 치명적인 심각도를 가진다. 해당 취약점은 'merge_split_file' 함수 내 'split_file_path' 인자 조작을 통해 발생하며, 이는 공격자가 원격에서 임의의 명령을 실행할 수 있도록 허용하는 A03:2021 – Injection 유형에 해당한다. 익스플로잇 코드가 공개되어 실제 공격에 악용될 가능성이 매우 높다. IT 감사인은 조직 내 aaPanel BaoTa 사용 여부를 즉시 확인하고, 해당 취약점에 대한 긴급 패치 적용 또는 임시 완화 조치 수립 여부를 점검하여 잠재적인 침해 사고를 예방해야 함을 시사한다.

개선 권고안

• ✔기술적 조치조직 내 aaPanel BaoTa 웹 관리 패널의 사용 여부를 즉시 확인하고, 취약한 11.8.0 이하 버전이 운영 중인 경우 CVE-2026-101008에 대한 공급업체의 공식 패치가 배포되는 즉시 적용해야 함을 권고함.
• ✔기술적 조치공식 패치가 제공되지 않거나 적용이 어려운 경우, 웹 애플리케이션 방화벽(WAF)을 통해 merge_split_file 함수로 전달되는 split_file_path 인자에 대한 명령 주입 패턴을 탐지하고 차단하는 보안 정책을 수립 및 적용해야 함을 권고함.
• ✔관리적 조치모든 운영 시스템 및 소프트웨어에 대한 최신 보안 취약점 정보를 지속적으로 모니터링하고, CVSS 점수 9.1과 같이 치명적인 취약점에 대해서는 긴급 패치 적용 프로세스를 수립 및 시행할 것을 권고함.
• ✔관리적 조치공급업체의 보안 취약점 대응이 미흡하거나 지연되는 경우에 대비하여, 자체적인 보안 강화 방안(예: 추가 보안 솔루션 도입, 네트워크 접근 제어 강화)을 마련하고 비상 대응 계획을 수립할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기