어도비 캠페인 클래식 CVSS 10.0, 클릭 없이 뚫린다

어도비 캠페인 클래식 CVSS 10.0, 클릭 없이 뚫린다 / AI 생성 일러스트(삽화)

어도비가 기업용 마케팅 자동화 플랫폼 ‘캠페인 클래식(Adobe Campaign Classic, ACC)’에서 CVSS 점수 10.0에 달하는 최고위험 취약점을 발견해 보안 업데이트를 배포했다. 해당 결함은 CVE-2026-48449로 분류됐으며 잘못된 권한 부여(incorrect authorization) 문제로 인해 사용자 상호작용 없이도 현재 사용자 권한으로 임의 코드를 실행할 수 있다. 어도비는 같은 업데이트에서 SQL 인젝션에서 비롯된 고위험 결함 CVE-2026-48448(CVSS 8.6)도 함께 수정했다. 이 결함은 임의 파일 읽기로 이어질 수 있다. 두 취약점 모두 ACC v7 7.4.3 빌드 9398(윈도우·리눅스용)에서 해결됐다. 어도비는 두 결함 모두 실제 악용된 사례는 아직 확인되지 않았다고 밝혔다.

클릭 없이 뚫리는 최고위험 결함, 왜 위험한가

CVE-2026-48449는 CVSS 스코어링 시스템에서 부여할 수 있는 최고점인 10.0을 기록했다. 어도비는 보안 권고문에서 “이번 업데이트는 임의 코드 실행과 임의 파일 시스템 읽기로 이어질 수 있는 심각한 취약점을 해결한다”고 밝혔다. 이어 “어도비는 이번 업데이트로 해결된 문제들이 실제 환경에서 악용된 사례를 인지하지 못하고 있다”고 덧붙였다.

이 결함의 핵심은 ‘잘못된 권한 부여’라는 취약점 유형이다. 공격자가 별도의 사용자 클릭이나 승인 절차 없이도 현재 로그인한 사용자의 권한 범위 내에서 임의 코드를 실행할 수 있다는 뜻이다. 사용자 상호작용이 전혀 필요 없다는 점은 공격 난이도를 크게 낮춘다. 통상 피싱 링크 클릭이나 파일 실행 같은 사용자 행동이 필요한 취약점과 비교하면, 공격자가 원격에서 조건만 갖추면 자동으로 침해가 가능하다는 의미여서 위험도가 더 크게 평가된다.

SQL 인젝션으로 파일까지 훔쳐본다 / AI 생성 이미지

SQL 인젝션으로 파일까지 훔쳐본다

캠페인 클래식에서 함께 패치된 또 다른 결함 CVE-2026-48448은 CVSS 8.6의 고위험 취약점이다. SQL 인젝션 방식으로 발생하며 공격자가 임의의 파일을 읽어낼 수 있는 길을 열어준다. SQL 인젝션은 데이터베이스에 조작된 질의문을 삽입해 원래 접근 권한 밖의 데이터를 빼내는 공격 기법이다. 마케팅 자동화 플랫폼은 고객 데이터베이스와 직접 연동되는 경우가 많아, 이런 결함이 악용되면 민감한 고객 정보나 시스템 파일이 노출될 위험이 있다.

보안 매체 시큐리티어페어스는 8월 1일(현지시각) 보도에서 “캠페인 클래식을 사용하는 조직은 악용 위험을 줄이기 위해 가능한 한 빨리 이용 가능한 보안 업데이트를 적용해야 한다”고 전했다. CVE-2026-48449와 CVE-2026-48448 두 결함 모두 ACC v7.4.3 빌드 9398(윈도우·리눅스)에서 함께 수정됐다.

어도비 브리지에서도 최고위험 결함 8건 한꺼번에 발견

어도비는 캠페인 클래식과는 별도로 이미지 관리 도구 ‘어도비 브리지(Adobe Bridge)’에서도 크리티컬 등급 결함 8건을 수정하는 업데이트를 배포했다. 이 결함들은 권한 상승이나 임의 코드 실행으로 이어질 수 있는 것으로 분류됐다.

구체적으로는 신뢰할 수 없는 검색 경로(untrusted search path) 문제로 인한 임의 코드 실행 결함이 CVE-2026-48395(CVSS 8.6), CVE-2026-48391 등에서 확인됐다. 잘못된 권한 부여로 인한 결함은 CVE-2026-48396(CVSS 8.6)과 CVE-2026-48390에서 나타났는데, CVE-2026-48390의 CVSS 점수는 보도에 따라 8.6과 8.2로 다르게 제시돼 정확한 수치는 엇갈린다. 이밖에 경로 탐색(path traversal) 취약점인 CVE-2026-48374(CVSS 7.8), 경계를 벗어난 쓰기(out-of-bounds write) 취약점인 CVE-2026-48392·CVE-2026-48393·CVE-2026-48394(모두 CVSS 7.8)가 함께 패치됐다. 전체적으로 브리지 결함들의 CVSS 점수는 7.8에서 8.6 사이에 분포한다.

어도비는 이번에 발견된 취약점들을 보고한 보안 연구자들의 이름도 공개했다. 연구자 키런(‘kaiksi’)은 CVE-2026-48390, CVE-2026-48391, CVE-2026-48395, CVE-2026-48396, CVE-2026-48374 등 5건을 발견해 신고했다. 연구자 ‘yjdfy’는 CVE-2026-48392, CVE-2026-48393, CVE-2026-48394 등 3건의 결함을 보고했다.

실전 악용 사례 없어도 패치는 미룰 수 없다

어도비는 캠페인 클래식과 브리지에서 발견된 모든 결함에 대해 실제 환경에서 악용된 사례를 인지하지 못했다고 밝혔다. 다만 이는 안심할 근거가 되지 못한다. CVSS 10.0은 CVSS 체계에서 부여 가능한 가장 높은 점수이며, 사용자 상호작용이 필요 없는 자동 실행형 결함은 발견 이후 공격 코드가 빠르게 만들어지는 경우가 흔하다.

어도비는 두 제품 모두에 대해 이용자들에게 최신 업데이트 적용을 권고했다. 캠페인 클래식은 대기업들이 이메일·SMS 등 다채널 마케팅 캠페인을 관리하는 데 널리 쓰이는 엔터프라이즈 플랫폼이다. 이런 시스템이 뚫리면 고객 데이터베이스 전체가 위험에 노출될 수 있어, 보안 담당자들은 CVE-2026-48449와 CVE-2026-48448을 최우선 패치 대상으로 다뤄야 한다는 지적이 나온다.