CISA, 오픈소스 CMS 'Strapi' 취약점 CVE-2023-22894 실제 악용 확인… 연방기관에 사흘 안에 조치 지시
미국 사이버보안·인프라보안국(CISA)은 2026년 10월 8일 오픈소스 콘텐츠관리시스템(CMS) Strapi의 보안 취약점 CVE-2023-22894를 '악용이 확인된 취약점(KEV)' 목록에 추가했다. CISA KEV 목록에 따르면 이 취약점은 실제 공격에 쓰인 사실이 확인됐다. 미국 연방기관은 10월 11일까지 조치를 마쳐야 한다. 등재일부터 기한까지 사흘밖에 되지 않는다.
CISA가 붙인 이름은 '민감정보 평문 저장 취약점(Cleartext Storage of Sensitive Information Vulnerability)'이다. CISA 설명을 보면, 관리자 패널에 접근할 수 있는 공격자가 쿼리 필터를 이용해 민감한 사용자 정보를 알아낼 수 있다. 중요한 정보가 암호화되지 않은 채 저장돼 있어서, 필터 조건을 바꿔 가며 조회하면 그 값을 추려낼 수 있다는 뜻이다.
CISA는 이 취약점을 따로 보지 않았다. 같은 제품의 다른 취약점인 CVE-2023-22621과 함께 쓰면 원격 코드 실행(RCE)까지 할 수 있다고 밝혔다. 원격 코드 실행은 공격자가 서버에서 원하는 명령을 실행할 수 있다는 뜻이어서 보안 취약점 중에서도 가장 심각한 단계로 꼽힌다. 하나만 놓고 보면 정보 노출 문제지만, 연계되면 서버 장악으로 번질 수 있다는 얘기다.
취약점 번호를 보면 CVE-2023-22894는 2023년에 번호가 매겨진 취약점이다. 공개된 지 몇 년이 지났는데 이제야 악용 확인 목록에 오른 셈이다. 오래된 취약점이라도 패치하지 않은 시스템이 인터넷에 남아 있으면 공격자는 언제든 다시 노린다. CISA는 이번 등재 자료에서 해당 제품이 지원 종료(EoL)나 서비스 종료(EoS) 상태일 수 있다고 밝히고, 사용을 중단하거나 지원되는 버전으로 옮기라고 권고했다. 업데이트가 멈춘 구버전을 계속 쓰는 곳이 위험하다는 경고로 읽힌다. 다만 누가 이 취약점을 악용했는지, 피해가 어느 정도인지는 CISA 자료에 나와 있지 않아 확인되지 않았다.
CISA가 요구한 조치는 공급사 지침에 따라 완화 조치를 적용하는 것이다. 이 과정에서 CISA의 구속력 있는 운영지침 'BOD 26-04(위험 기반 보안 업데이트 우선순위)'와 '포렌식 분류 요건'을 지키도록 했다. 클라우드 서비스는 BOD 26-04의 해당 지침을 따르고, 완화 조치가 없으면 제품 사용을 중단하라고 했다. 또 각 기관이 자산별로 인터넷 노출 여부를 직접 평가하고 패치 지침을 지킬 책임이 있다고 명시했다. 포렌식 요건이 함께 붙은 것은 패치만 하고 끝내지 말고 이미 침해됐는지도 점검하라는 뜻으로 볼 수 있다.
KEV 목록은 이론적으로 위험한 취약점이 아니라 실제 공격에 쓰인 것이 확인된 취약점만 모은다. 그래서 전 세계 보안 담당자들이 패치 순서를 정할 때 참고하는 기준 중 하나다. 이행 의무는 미국 연방기관에만 있지만, Strapi는 웹사이트와 앱의 콘텐츠 백엔드로 널리 쓰이는 오픈소스 프로젝트라 국내 기업과 개발 조직에서도 쓰고 있을 수 있다.
Strapi를 운영하는 국내 기관·기업은 쓰고 있는 버전을 확인하고, 공급사 보안 공지에 따라 최신 지원 버전으로 업데이트하는 것이 좋다. 관리자 패널이 인터넷에 그대로 노출돼 있다면 접근을 제한하고, CVE-2023-22621에 대한 조치도 함께 됐는지 점검해야 한다. 어느 버전부터 문제가 해결됐는지는 CISA 자료에 나와 있지 않으므로 공급사 공지에서 직접 확인해야 한다.
