Drupal AI 모듈에서 민감정보가 안전하지 않은 방식으로 저장되는 CWE-922 취약점이 발견되었습니다. 이 취약점으로 시스템 내의 중요 정보가 외부에 노출될 위험이 있습니다.
CVE-2026-118551 취약점 개요
최근 Drupal의 기여 모듈 중 하나인 AI(Artificial Intelligence) 모듈에서 민감정보의 불안전한 저장으로 분류되는 취약점이 보고되었습니다. 식별 번호는 CVE-2026-118551입니다. Drupal 보안 공지 번호 SA-CONTRIB-2026-271과 함께 공개되었습니다.
본 취약점은 정보 노출(Information Disclosure) 유형으로 분류됩니다. CWE-922에 따르면 민감한 정보가 안전하지 않은 방식으로 저장될 때 발생하는 문제인데, 공격자가 이 정보에 접근하게 되면 민감 정보 노출로 이어집니다.
영향을 받는 버전 및 범위
이번 취약점은 Drupal AI 모듈의 특정 버전 범위에 영향을 미칩니다. 시스템 관리자는 현재 운영 중인 모듈의 버전을 즉시 확인해서 아래 표의 영향 범위에 해당되는지 살펴보시기 바랍니다.
| 구분 | 영향을 받는 버전 범위 | 비고 |
|---|---|---|
| 1.4 계열 | 1.4.11 미만 | 업데이트 필요 |
| 1.5 계열 | 1.5.0 이상 1.5.2 미만 | 업데이트 필요 |
이 버전 범위에서 AI 모듈을 사용하는 웹사이트 운영자에게는 잠재적인 정보 노출 위험이 따릅니다.
심각도 분석 및 평가 차이
CVE-2026-118551의 심각도 평가는 분석 기관마다 다릅니다. 취약점이 실제 환경에 미치는 영향력을 어떻게 해석하느냐의 차이입니다.
- Drupal 공식 공지: Drupal 측은 공지 제목에서 이 취약점을 ‘Less critical’ 등급의 정보 노출(Information Disclosure)로 표기했습니다.
- OffSeq Threat Radar: 반면 OffSeq Threat Radar는 이 문제가 drupal/ai 모듈에 영향을 주는 ‘High’ 등급의 취약점이라고 정의하며 더 높은 위험 수준으로 평가했습니다.
평가가 갈리긴 하지만 민감정보가 불안전하게 저장된다는 사실 자체가 보안상 중대한 결함입니다. 특히 외부 위협 인텔리전스가 High 등급으로 분류한 만큼 관리자는 보수적인 관점에서 신속한 패치를 진행하는 편이 낫습니다. 다만 현재까지 이 취약점이 실제로 악용된 사례는 알려지지 않았습니다(Not known to be exploited).
권고 대응 방안 및 패치 버전
본 취약점은 설정 변경이나 임시 방편으로는 해결할 수 없으며, 보안 패치가 적용된 최신 버전으로 모듈을 업데이트하는 것이 유일하고 근본적인 대응 방안입니다.
운영 중인 모듈의 계열에 따라 업데이트할 버전은 다음과 같습니다.
- 1.4 계열 사용자: AI 모듈을 1.4.11 버전으로 즉시 업데이트하십시오.
- 1.5 계열 사용자: AI 모듈을 1.5.2 이상의 최신 버전으로 업데이트하십시오.
민감정보 노출 취약점은 단순한 시스템 오류와 달리 데이터 유출이라는 직접적인 피해로 이어질 수 있습니다. 영향 범위 내 버전 사용자라면 지체 없이 패치를 완료하는 것이 맞습니다.