[8월 23일 보안브리핑] Fabrik·Mailgun·WS Form

오늘의 주요 보안 이슈

8월 23일 브리핑은 웹사이트 확장 기능 세 가지를 다룹니다. Joomla용 애플리케이션 빌더 Fabrik에서는 외부 입력이 서버 측 PHP 실행으로 이어질 수 있은 CVE-2026-76604가 공개됐습니다. WordPress의 Mailgun 플러그인에서는 공개 요청이 저장된 Mailgun API 키를 이용하는 요청으로 바뀔 수 있은 CVE-2026-78003이 등록됐고, WS Form LITE에서는 제출 메타데이터의 역직렬화 과정이 PHP 객체 주입으로 이어지는 CVE-2026-4703이 공개됐습니다. 세 항목은 모두 웹 요청에서 시작하지만, 실제 위험이 커지는 지점과 우선 조치는 서로 다릅니다.

이번 공개에서 가장 먼저 구분할 부분은 ‘인터넷에서 요청할 수 있는가’와 ‘그 요청이 곧바로 최종 피해로 이어지는가’입니다. Fabrik의 PHP 요소 문제는 외부 입력과 서버 실행의 경계가 직접 연결되는 구조라서 노출된 폼과 해당 요소의 사용 여부를 빠르게 확인해야 합니다. Mailgun 문제는 사이트가 보유한 API 자격증명을 요청 중계에 사용한다는 점이 핵심이며, 메일 라우팅 설정과 비밀번호 재설정 흐름까지 확인 범위를 넓혀야 합니다. WS Form LITE는 역직렬화 자체와 추가 POP 체인의 존재를 분리해서 평가해야 과대·과소 판단을 피할 수 있습니다.

운영팀의 공통 출발점은 제품명만 검색하는 일이 아닙니다. Joomla 확장, WordPress 플러그인, 메일 전송 연동이라는 세 자산군을 먼저 분리하고 실제 설치 버전과 활성화 상태, 외부 공개 폼, API 키 사용 여부, 함께 설치된 플러그인·테마를 연결해야 합니다. 같은 CVSS 점수라도 서비스 구성에 따라 우선순위가 달라지므로, 취약점 점수는 정렬 기준으로 쓰고 변경 작업은 자산 맥락으로 결정하는 편이 안전합니다.

주요 이슈 한눈에 보기

• Fabrik CVE-2026-76604: 4.7.3 미만 범위의 PHP 폼 요소를 통한 비인증 코드 실행 경로가 핵심입니다. 외부 공개 폼과 PHP 요소 사용 여부를 함께 확인해야 합니다.
• Mailgun for WordPress CVE-2026-78003: 2.2.0 이하에서 조작된 addresses 배열 키가 Mailgun API 요청 경로에 영향을 주며, 사이트의 API 키 권한으로 인바운드 라우트를 만들 수 있습니다.
• WS Form LITE CVE-2026-4703: 1.10.80 이하의 제출 메타값 역직렬화가 PHP 객체 주입을 허용합니다. 추가 POP 체인이 있은 플러그인·테마 조합에서 영향이 확대될 수 있습니다.
• 공통 우선순위: 설치 여부 확인, 외부 노출 기능 식별, 안전한 버전 적용, 자격증명·연동 설정 검토, 변경 후 폼과 메일 흐름 재검증 순서가 적합합니다.

세 취약점은 모두 관리자 화면에서만 보이는 기능처럼 느껴질 수 있지만, 공격자가 도달하는 시작점은 공개 폼이나 공개 AJAX 요청입니다. 따라서 관리자 계정 보호만으로는 충분하지 않습니다. 웹 애플리케이션 방화벽이나 입력 필터가 있더라도 제품 자체의 영향을 받은 버전을 그대로 유지하는 방식은 장기 대응이 되기 어렵습니다. 우선 노출된 엔드포인트를 줄이고, 공식 버전 경계에 따라 업데이트한 뒤, 기능 테스트와 로그 검토로 변경 효과를 확인해야 합니다.

오늘의 침해지표 동향

이번 세 CVE 기록은 도메인·IP·파일 해시보다 제품, 함수, 입력 위치, 영향 버전을 중심으로 공개됐습니다. 방어팀은 외부 차단 목록을 만드는 대신 자산 인벤토리와 웹 요청 로그를 결합하는 편이 효율적입니다. Fabrik에서는 외부 폼과 PHP 요소가 연결된 구성을, Mailgun에서는 add_list 동작과 Mailgun API 라우트 변경을, WS Form에서는 비정상적인 제출 메타값과 역직렬화 오류를 우선 관찰 대상으로 삼을 수 있습니다.

로그를 볼 때는 단일 문자열 탐지에 기대기보다 정상 기준선과 변경 흔적을 비교해야 합니다. Mailgun 관리 화면에서 새 인바운드 라우트가 생성됐는지, 라우트 목적지가 승인된 주소인지, API 키가 예상하지 않은 요청에 사용됐는지를 함께 확인하면 요청 우회의 실제 영향을 좁힐 수 있습니다. WordPress에서는 플러그인 업데이트 시각, 관리자 계정의 비밀번호 재설정 이력, 메일 수신 경로 변경을 한 타임라인으로 묶은 방식이 유용합니다. Joomla에서는 폼 제출 뒤 PHP 실행·DB 질의 오류가 증가했는지와 웹 서버 프로세스의 파일 변경을 함께 살펴보는 편이 좋습니다.

IOC 대신 구성 기반 탐지로 전환할 때는 자산 소유자와 로그 보관 위치도 함께 기록해야 합니다. 운영자가 플러그인을 설치했지만 보안팀이 해당 사이트를 관리 목록에 넣지 않은 경우, 취약점 공지가 나와도 노출 여부를 판단하기 어렵습니다. 이번 항목처럼 확장 기능이 외부 요청과 백엔드 API를 잇은 경우에는 CMS 버전만 수집하지 말고 확장 이름·버전·활성화 상태·연동 자격증명까지 자산 속성으로 관리하는 것이 대응 시간을 줄여 줍니다.

주요 침해사고

이번 브리핑의 위험 판단은 이미 발생한 피해 규모보다 새로 공개된 제품 취약점과 노출 조건에 초점을 맞춥니다. 취약한 버전이 설치돼 있다는 사실과 실제 침해는 같은 의미가 아니므로, 웹 요청 기록·관리자 변경 이력·메일 라우팅 변경을 통해 각 환경의 사건 여부를 별도로 판정해야 합니다. 이 구분을 유지하면 취약점 공개만으로 피해를 단정하지 않으면서도, 인터넷에 노출된 기능을 빠르게 줄일 수 있습니다.

사고 대응 단계로 전환해야 하는 신호는 제품별로 다릅니다. Fabrik 서버에서 승인되지 않은 PHP 실행이나 파일 변경이 보이면 웹 루트와 데이터베이스 변경을 함께 보존하고 격리 범위를 정해야 합니다. Mailgun 연동에서는 승인되지 않은 인바운드 라우트, API 키 사용 위치 변화, 비밀번호 재설정 메일의 목적지 변경이 중요한 단서가 됩니다. WS Form LITE에서는 역직렬화 오류만으로 최종 영향이 결정되지 않으므로, 함께 설치된 코드의 POP 체인과 후속 파일·데이터 접근 흔적을 연결해 판단하는 것이 필요합니다.

신규 주요 CVE

Fabrik CVE-2026-76604는 Joomla 확장 Fabrik의 PHP 폼 요소가 외부에서 전달된 값을 서버 측 코드로 실행할 수 있은 문제입니다. CVE 레코드는 4.7.3 미만을 영향 범위로 제시하며, 인증 없이 접근할 수 있은 공격 경로와 CVSS 4.0 기준 10.0을 기록합니다. 같은 공개 묶음의 CVE-2026-76571과 CVE-2026-76602는 목록 필터 조건과 ORDER BY 입력을 통한 비인증 SQL 주입을 다룹니다. Fabrik은 폼과 목록, 데이터베이스를 연결하는 애플리케이션 빌더이므로, 공개 폼이 있다면 서버 실행과 데이터베이스 조회 경계를 함께 살펴야 합니다.

점검은 설치 버전만 확인하는 데서 끝나지 않습니다. PHP 요소가 활성화된 폼, 익명 사용자가 제출할 수 있은 경로, 해당 폼이 연결하는 데이터베이스와 파일 권한을 묶어야 합니다. 영향 범위 밖의 공식 패키지를 적용할 수 있을 때까지 문제 기능을 중지하거나 외부 접근을 제한하고, 변경 전에 폼 정의와 확장 구성을 백업해야 합니다. 업데이트 뒤에는 익명 제출, 관리자 편집, 예약 작업처럼 실제 업무에 쓰는 기능을 나눠 회귀 테스트하는 편이 안전합니다.

Mailgun for WordPress CVE-2026-78003은 2.2.0 이하에서 공개 AJAX 동작의 addresses 배열 키가 API 요청 구성에 영향을 주는 SSRF 문제입니다. 공격자는 WordPress 사이트에 저장된 Mailgun API 키를 이용하는 인증된 요청을 다른 API 경로로 보내고, 인바운드 이메일 포워딩 라우트를 만들 수 있습니다. 비밀번호 재설정 메일을 공격자가 통제하는 주소로 전달할 수 있다는 점 때문에 웹사이트 계정 탈취로 이어지는 운영 위험이 큽니다.

WordPress.org 변경 기록에는 2.2.1에서 nonce 확인과 서버 측 주소 검증이 추가됐고, 이후 2.2.2도 배포됐습니다. 운영 중인 버전이 2.2.0 이하라면 최신 버전으로 올리는 한편, Mailgun 대시보드의 인바운드 라우트와 API 로그를 검토해야 합니다. 승인되지 않은 라우트가 보이면 제거만 하지 말고 API 키를 교체하고, 해당 키가 설정 파일·환경 변수·관리 화면 중 어디에 저장됐는지 확인해야 합니다. 관리자와 편집자 계정의 비밀번호 재설정 기록도 같은 기간에 맞춰 검토하는 것이 좋습니다.

WS Form LITE CVE-2026-4703은 1.10.80 이하에서 폼 제출 메타값을 역직렬화하는 과정에 신뢰할 수 없은 PHP 객체가 들어갈 수 있은 문제입니다. CVE 레코드는 네트워크에서 인증 없이 접근할 수 있은 조건과 CVSS 3.1 기준 9.8을 제시합니다. 다만 WS Form LITE 자체에는 곧바로 유해 동작을 완성하는 POP 체인이 포함되지 않아, 같은 사이트의 다른 플러그인이나 테마에 이용 가능한 체인이 있을 때 파일 삭제·데이터 조회·코드 실행 같은 영향이 확대될 수 있습니다.

이 조건은 위험을 무시하라는 뜻이 아니라 점검 순서를 정교하게 만들라는 의미입니다. 먼저 WS Form LITE 버전과 활성 폼을 확인하고 최신 버전으로 갱신해야 합니다. 이어서 사이트에 함께 설치된 플러그인·테마를 목록화하고, 오래되거나 지원이 끝난 구성요소를 우선 업데이트하거나 제거하는 편이 좋습니다. 업데이트 뒤에는 제출 저장, 알림 발송, 파일 업로드, 외부 서비스 연동을 실제 폼별로 확인하고, PHP 오류 로그에서 역직렬화 관련 예외가 반복되는지도 살펴야 합니다.

KISA 보안공지

KISA 보호나라 보안공지 목록의 최신 게시물은 8월 21일 공개된 MLflow 제품 보안 업데이트 권고입니다. 국내 운영팀은 이 목록을 별도의 자산 확인 채널로 두고, 자사 환경에 포함된 제품과 공식 제조사 권고를 연결하는 편이 좋습니다. 이번 세 CMS 확장 취약점은 NVD·CVE 기록과 제품 저장소를 기준으로 판단하되, KISA 목록에 새 권고가 추가되면 국내 공지의 영향 버전과 해결 버전을 다시 대조하면 됩니다.

운영 참고

1. Joomla와 WordPress 자산에서 Fabrik, Mailgun for WordPress, WS Form LITE의 설치·활성화·버전을 먼저 수집합니다.
2. 공개 폼, 공개 AJAX, 메일 API, 폼 제출 저장처럼 인터넷 요청이 백엔드 기능에 닿은 경로를 자산별로 표시합니다.
3. 변경 전 설정과 데이터베이스를 백업하고, 지원되는 최신 버전 적용 또는 문제 기능 중지를 승인 절차에 따라 수행합니다.
4. Mailgun API 키와 인바운드 라우트, 관리자 비밀번호 재설정 기록을 같은 시간축에서 검토합니다.
5. 업데이트 뒤 폼 제출·알림 메일·파일 업로드·관리자 편집을 재시험하고 오류 로그와 변경 이력을 남깁니다.

조치 순서는 ‘점수가 높은 것부터’보다 ‘외부에 노출되고 자격증명이나 실행 권한까지 연결되는 것부터’가 실무에 가깝습니다. 공개 PHP 요소가 있은 Fabrik, Mailgun API 키를 사용하는 공개 AJAX, 다른 구성요소와 POP 체인을 만들 수 있은 WS Form 순으로 자산별 조건을 대입하면 됩니다. 임시 차단을 적용했다면 해제 조건과 담당자를 함께 기록하고, 정식 업데이트가 끝난 뒤에만 외부 접근을 복원하는 편이 안전합니다.

출처 1 — NIST NVD, CVE 공개 시간창 조회

https://services.nvd.nist.gov/rest/json/cves/2.0/?pubStartDate=2026-08-22T00%3A00%3A00.000&pubEndDate=2026-08-22T22%3A59%3A59.999

출처 2 — WordPress.org, Mailgun for WordPress 변경 기록

https://wordpress.org/plugins/mailgun/

출처 3 — KISA 보호나라, 보안공지 목록

https://www.boho.or.kr/kr/bbs/list.do?bbsId=B0000133&menuNo=205020