사이버보안 및 인프라 보안국, CISA가 어제(15일) 어도비의 ‘익스피리언스 매니저(AEM)’ 소프트웨어에서 발견된 치명적 보안 취약점이 실제 공격에 이용되고 있다며 긴급 경보를 냈습니다.
이번에 문제가 된 취약점은 CVE-2025-54253, 완전한 원격 코드 실행(RCE)을 허용하는 심각한 인증 우회 결함으로 평가됩니다.
공격자는 단 한 번의 조작된 요청만으로, 아무런 인증 없이 피해 서버에서 임의의 시스템 명령을 실행할 수 있습니다.
이 취약점은 AEM Forms on JEE 버전 6.5.23 이하에서 발견됐으며, 취약점 심각도 점수(CVSS)는 만점인 10.0을 기록했습니다.
CISA는 이 결함을 ‘Known Exploited Vulnerabilities’ 목록에 추가하며, 미국 연방기관들은 3주 안에 패치를 완료하거나 제품 사용을 중단해야 한다고 명령했습니다.
즉, 연방기관은 11월 5일까지 모든 시스템을 업데이트해야 하며, 이를 지키지 않으면 보안 지침(BOD 22-01) 위반이 됩니다.
민간 기업 역시 사이버공격이 연이어 관찰되는 만큼, 신속히 패치를 적용하라는 권고를 받았습니다.
보안 분석가들은 이 공격이 이미 클라우드 기반 AEM 서버들을 주요 타깃으로 삼고 있으며, 해커 포럼에서도 공격 코드와 스크린샷이 유포 중이라고 경고했습니다.
전문가들은 이번 사태가 랜섬웨어 조직으로 확산될 가능성이 있다고 내다봤습니다.
패치가 나온 지 두 달이 지났지만, 여전히 다수의 시스템이 미패치 상태로 남아있습니다.
CISA는 “이번 취약점은 단순한 코드 오류가 아닌, 국가 기반 인프라를 위협할 수 있는 공격 벡터”라며 모든 기관에 즉각적인 대응을 촉구했습니다
