SAP 커머스 클라우드 CVSS 10.0 결함, 패치 공개 사흘 만에 실제 공격 시작됐다

기업용 전자상거래 플랫폼 SAP 커머스 클라우드(SAP Commerce Cloud)의 치명적 보안 결함이 패치 공개 사흘 만에 실제 공격에 악용되기 시작했다. 위협 인텔리전스 기업 Defused는 8월 14일(현지시각) 자사 허니팟(공격자를 유인하기 위한 가짜 시스템)에서 이 취약점을 겨냥한 공격 시도를 처음 포착했다고 밝혔다. SAP가 해당 결함에 대한 패치를 배포한 지 사흘 만이다. 문제의 취약점은 CVE-2026-58231로, 취약점 위험도를 나타내는 CVSS 점수는 최고치인 10.0을 기록했다. 공개된 공격 코드(PoC)가 없는 상태에서도 공격이 시작됐다는 점에서 보안 업계에 경각심을 주고 있다.

사흘 만에 뚫린 CVSS 10점 결함

SAP는 8월 11일(현지시각) CVE-2026-58231에 대한 패치를 공개했다. 이 취약점은 권한 검증과 입력값 검증이 충분하지 않은 결함으로 설명된다. 공격자는 기본으로 설정된 인증 클라이언트(default authentication client)를 악용해 인증 절차 없이도 임의 코드를 원격 실행할 수 있다.

CVSS 10.0은 이 점수 체계에서 가능한 최고 등급이다. 별도의 사용자 상호작용이나 사전 접근 권한이 필요 없다는 점도 위험도를 키우는 요인이다. 공격에 성공하면 내부 구성 요소가 통째로 장악될 수 있고, 이후 웹셸 설치, 자격증명 탈취, 데이터 유출, 랜섬웨어 배포, 내부망 이동 등으로 이어질 수 있다는 우려가 나온다. SAP 커머스 클라우드는 기업의 고객용 스토어프론트, 결제 처리, 재고 관리, 공급망 연동 등에 쓰이는 플랫폼이다. SAP는 지난 2024년 이 플랫폼에 클라우드 기반 결제 기능을 추가해 서비스를 확장한 바 있다.

공개 익스플로잇 없이도 공격 시작

Defused는 공격이 포착된 8월 14일(현지시각) 시점까지 CVE-2026-58231에 대한 공개 PoC가 없었고, 실전 악용 사례도 이전에 보고된 적이 없었다고 설명했다. 그런데도 패치 공개 사흘 만에 공격 시도가 관측된 것이다. 위협 인텔리전스 기관 KEVIntel도 독자적인 센서와 비공개 허니팟을 통해 같은 공격을 확인했다고 밝혔다. KEVIntel은 8월 15일(현지시각) 별도로 PoC 익스플로잇이 공개됐다고 전했다.

Defused 창립자이자 최고경영자인 시모 코호넨(Simo Kohonen)은 “현재까지 CVE-2026-58231 악용을 시도한 행위자는 단 하나뿐이어서 광범위하게 확산된 것으로는 보이지 않는다”고 말했다. 아직은 특정 공격자 한 곳의 시도로 국한된 상태라는 설명이다. 다만 보안 전문가들은 공개 PoC가 없다는 사실이 곧 안전을 의미하지는 않는다고 지적한다. 공격자들이 벤더가 배포한 패치를 역분석해 취약점이 존재하던 원래 코드 경로를 스스로 찾아냈을 가능성이 있다는 분석도 나온다.

자동화된 대규모 스캐닝으로 확인

Defused가 관측한 공격 트래픽은 HTTPS(TCP 443번 포트)를 통해 노출된 애플리케이션 엔드포인트를 겨냥했다. 초기 공격 시도는 미국의 자율시스템(AS) 번호 AS11402, 즉 샬럿 콜로케이션 센터(Charlotte Colocation Center)와 연관된 인프라에서 발생한 것으로 파악됐다. 관측된 출처 IP 중 하나는 216.249.99.43이었다.

위협 인텔리전스 분석에 따르면 이 활동은 특정 표적을 노린 침투라기보다 자동화된 대규모 스캐닝(mass scanning) 성격에 가깝다. 고위험 취약점이 공개된 뒤 패치되지 않은 인터넷 노출 시스템을 찾아내려는 통상적인 방식이다. 공격자는 이렇게 응답하는 호스트를 우선 표적으로 삼아 후속 침투, 자격증명 탈취, 지속성 확보, 데이터 유출 등을 시도할 수 있다. 관측된 트래픽만으로 실제 침해 성공 여부가 확인되지는 않지만, 패치 공개 직후 이 같은 시도가 나타났다는 사실 자체가 공격자들의 관심이 상당함을 보여주는 신호로 해석된다.

남은 위험과 기업의 대응 과제

미국 사이버보안·인프라보안국(CISA)이 관리하는 알려진 악용 취약점(KEV) 목록에는 현재 SAP 제품 관련 결함 14건이 올라 있다. 이 중 커머스 클라우드에 영향을 미치는 것은 2024년에 등재된 CVE-2019-0344 단 하나뿐이다. CISA는 아직 CVE-2026-58231을 이 목록에 추가하지 않은 상태다.

보안 업계는 SAP처럼 복잡한 기업 생태계에서는 프로덕션 환경에 패치를 적용하기까지 상당한 테스트 기간이 필요한 경우가 많다는 점을 지적한다. 이 시차가 기회주의적 공격자들에게는 유리한 창을 열어주는 셈이다. 전문가들은 인터넷에 노출된 SAP 커머스 클라우드 인스턴스부터 우선 식별해 신속히 패치를 적용하고, 즉시 패치가 어려운 경우 관리 인터페이스 접근을 VPN 전용으로 제한하거나 접근 통제 목록(ACL), 네트워크 분리, 신뢰 IP 화이트리스트 적용 등 임시 조치를 병행해야 한다고 권고한다. 웹서버·리버스 프록시·애플리케이션 로그에서 관리자 엔드포인트를 겨냥한 비정상 요청, 낯선 호스팅 업체발 접속, 이상한 사용자 에이전트 등도 함께 점검해야 할 대상으로 꼽힌다. 최근 관리형 서비스 플랫폼을 겨냥한 인증 우회 취약점 악용 사례에서도 확인됐듯, 고위험 취약점이 공개된 이후 공격자들이 빠르게 움직이는 패턴은 기업용 소프트웨어 전반에서 반복되는 흐름으로 자리잡고 있다.