CISA, 오픈소스 CMS 'Strapi' 취약점 CVE-2023-22894 '실제 악용' 목록에 올려… 원격 코드 실행 연계 우려
미국 사이버보안·인프라보안국(CISA)이 오픈소스 콘텐츠관리시스템(CMS) Strapi의 보안 취약점 CVE-2023-22894를 '실제 악용이 확인된 취약점(KEV)' 목록에 올렸다. CISA는 2026년 10월 8일 이 취약점을 목록에 추가했다고 공개했다. 미국 연방기관에는 10월 11일까지 조치를 마치라고 요구했다. KEV 목록에는 이론적으로 위험한 취약점이 아니라 실제 공격에 쓰인 사실이 확인된 취약점만 오른다. 이 취약점을 노린 공격이 현장에서 이미 있었다는 뜻이다.
CISA가 붙인 이름은 'Strapi 민감 정보 평문 저장 취약점(Cleartext Storage of Sensitive Information Vulnerability)'이다. CISA 설명에 따르면 관리자 패널에 접근할 수 있는 공격자가 쿼리 필터를 이용해 민감한 사용자 정보를 알아낼 수 있다. 암호화하지 않은 채 저장된 정보가 검색 기능을 거쳐 노출되는 구조다. CISA는 이 취약점이 다른 취약점인 CVE-2023-22621과 함께 쓰이면 원격 코드 실행(RCE)까지 이어질 수 있다고 경고했다. 원격 코드 실행은 공격자가 서버에서 원하는 명령을 실행할 수 있는 상태를 말한다. 정보 유출에서 서버 장악으로 피해가 커질 수 있다는 의미다.
취약점 번호에 '2023'이 붙은 데서 알 수 있듯 이 취약점은 몇 년 전 공개됐다. 그런데도 2026년에 와서 실제 악용 목록에 올랐다. 이미 알려진 취약점이라도 패치하지 않은 시스템이 남아 있으면 공격 대상이 된다는 점을 다시 보여준다. CISA도 영향받는 제품이 지원 종료(EoL) 또는 서비스 종료(EoS) 상태일 수 있다고 밝혔다. 이에 해당하면 사용을 중단하거나 지원되는 버전으로 옮기라고 권고했다. 오래된 버전을 업데이트 없이 그대로 운영하는 곳이 특히 위험하다는 뜻이다. 다만 어떤 버전이 영향을 받는지, 어떤 공격 조직이 얼마나 악용했는지는 이번 CISA 자료에서 확인되지 않았다.
CISA는 공급사 지침에 따라 완화 조치를 적용하라고 요구했다. 이때 위험도에 따라 보안 업데이트 우선순위를 정하는 구속력 있는 운영 지침 'BOD 26-04'와 '포렌식 분류 요건'을 지키도록 했다. 클라우드 서비스에는 BOD 26-04의 해당 지침을 적용해야 한다. 완화 조치가 없으면 제품 사용을 중단하라고 했다. 각 기관은 자산이 인터넷에 얼마나 노출됐는지 직접 평가할 책임도 진다. 목록 추가일(10월 8일)과 이행 기한(10월 11일)의 간격은 사흘에 불과하다. 실제 공격이 진행 중인 만큼 대응을 서두르라는 신호로 읽힌다. 이 기사 작성 시점(10월 13일)에는 이미 기한이 지났다.
CISA의 이행 의무는 미국 연방기관에만 적용된다. 하지만 KEV 목록은 실제 공격이 확인된 취약점을 모은 것이어서 각국 보안 담당자들이 패치 우선순위를 정할 때 참고 자료로 쓴다. 국내에서도 Strapi로 웹사이트나 서비스 백엔드를 운영하는 기관·기업이라면 먼저 사용 중인 버전을 확인할 필요가 있다. 그다음 공급사 보안 공지에 따라 최신 버전으로 업데이트해야 한다. 함께 언급된 CVE-2023-22621의 조치 여부도 점검해야 한다. 관리자 패널이 인터넷에 노출돼 있는지, 관리자 계정이 제대로 관리되고 있는지도 확인해 둘 만하다. 이 취약점은 관리자 패널에 접근할 수 있어야 악용할 수 있기 때문이다.