마젠토 오픈소스에 CVSS 10점 제로데이 RCE

1. 개요. 오픈소스 커머스 플랫폼 마젠토 오픈소스(Magento Open Source)와 상용판 어도비 커머스에서 인증 없이 원격코드실행이 가능한 제로데이가 공개됐습니다. 취약점 번호는 CVE-2026-75650, 코드명은 StyleSmuggler이고 CVSS 점수는 만점인 10.0입니다. 보안업체 Sansec이 발견해 공개했고, 어도비는 VULN-39341 핫픽스를 배포했습니다. 미국 CISA는 9월 8일 이 취약점을 알려진 악용 취약점(KEV) 목록에 올렸습니다.

2. 영향 범위. 어도비 커머스는 2.4.4부터 2.4.9까지 대상입니다. 마젠토 오픈소스의 하한은 소스마다 다릅니다. Sansec은 2.4.4부터라고 설명하지만, The Hacker News는 오픈소스판을 2.4.6부터 2.4.9까지로 명시합니다. 운영 중인 버전이 이 범위에 걸치면 대상으로 보고 대응하는 편이 안전합니다. 이미 지원이 끝난 2.2, 2.3, 2.4.0-2.4.3 계열은 공식 패치가 나오지 않습니다. 인증이 필요 없는 원격 실행이라 관리자 계정 탈취 없이도 공격이 성립합니다.

3. 원인. Sansec 설명에 따르면 마젠토 템플릿 시스템의 스타일 속성 처리를 악용해 악성 PHP 코드를 밀어 넣는 방식입니다. 결제 실패 관련 데이터에 코드가 주입되고, 이후 "Payment Transaction Failed Reminder" 알림 메일을 렌더링할 때 그 코드가 실행됩니다. 메일을 열지 않아도 렌더링 단계에서 실행된다고 합니다. 실제 악용은 9월 4일부터 관측됐고, 공격자는 외부 서버와 통신하는 러스트 기반 리눅스 백도어와 임의 PHP 실행이 가능한 웹셸을 심었다고 합니다.

4. 해결책. 지원 버전 운영자는 어도비 VULN-39341 핫픽스를 즉시 적용해야 합니다. 패치가 나오기 사흘 전부터 공격이 진행됐으므로 단순 패치로 끝내지 말고 침해 여부 점검이 필요합니다. Sansec은 암호화 키와 관리자 비밀번호, API 토큰, DB 자격증명 같은 보호된 값을 함께 교체하라고 권고합니다. 웹, WAS 앞단에서 결제 실패 관련 엔드포인트 요청과 신규 생성된 PHP 파일을 함께 확인해두면 좋겠습니다.

커머스 플랫폼은 결제와 회원 정보를 직접 다루는 만큼 침해 시 파장이 큽니다. 오픈소스판이라 자체 호스팅으로 직접 운영하는 곳이 많아 패치 책임도 운영자에게 있습니다. 인증 없는 CVSS 10점 RCE가 실제 백도어 배포로 이어진 사례이므로, 구버전을 방치한 인스턴스가 있다면 업그레이드 계획을 앞당길 필요가 있어 보입니다.

🔗 https://sansec.io/research/stylesmuggler-0day

🔗 https://thehackernews.com/2026/09/adobe-patches-magento-zero-day.html