Drupal AI 기여 모듈을 쓰는 사이트는 이번 CVE-2026-118545 취약점으로 크로스 사이트 스크립팅(XSS) 공격에 노출될 수 있습니다. 시스템 관리자와 보안 담당자라면 모듈 버전을 서둘러 업데이트하는 편이 좋습니다.
CVE-2026-118545 취약점 개요
최근 Drupal AI(Artificial Intelligence) 기여 모듈에서 크로스 사이트 스크립팅(Cross-site scripting, XSS) 취약점이 발견됐습니다. 취약점은 보안 커뮤니티와 Drupal 보안 팀을 통해 공개됐으며, 공식 식별 번호로 CVE-2026-118545와 공고 식별자 SA-CONTRIB-2026-266이 붙었습니다.
이번 문제는 Drupal의 AI 관련 기능을 확장하려고 설치한 기여 모듈에서 발생한 것으로 확인됐습니다.
영향 범위 및 심각도 분석
Drupal 보안 팀은 이번 CVE-2026-118545 취약점의 심각도를 ‘보통 수준(Moderately critical)’으로 분류했습니다. 시스템 전체에 치명적인 영향을 줄 가능성은 낮지만, 적절한 조치가 이루어지지 않으면 특정 조건에서 보안 위협이 될 수 있다는 뜻입니다.
취약점 관리와 레코드 발행 현황은 다음과 같습니다.
| 구분 | 상세 내용 |
|---|---|
| CVE 식별 번호 | CVE-2026-118545 |
| 공고 식별자 | SA-CONTRIB-2026-266 |
| 취약 대상 | Drupal AI 기여 모듈 |
| 취약점 유형 | 크로스 사이트 스크립팅 (XSS) |
| 보안 심각도 | 보통 수준 (Moderately critical) |
| 발행 기관 (CNA) | Drupal |
기술적 분석 및 타임라인
이번 취약점 처리는 2026년 10월 말부터 집중적으로 진행됐습니다. NVD(National Vulnerability Database) 레코드에 따르면 2026-10-30에 게재됐고, 같은 날 최종 수정됐습니다. CVE 레코드를 발행한 CNA는 Drupal이며 레코드 상태는 PUBLISHED로 공개돼 있습니다.
다만 지금 상황에서 눈여겨볼 대목은 NVD의 분석 상태입니다. NVD 레코드가 아직 ‘Awaiting Analysis’ 상태라서 NVD 차원의 독립적인 정밀 분석과 CVSS 점수 산정은 마무리되지 않았습니다. 관리자가 참고할 기준은 NVD의 수치적 점수보다 Drupal 보안 팀의 권고 사항과 릴리스 태그 쪽입니다.
대응 방안 및 점검 방법
Drupal AI 모듈을 쓰는 시스템 관리자라면 지금 설치된 모듈 버전부터 확인해 최신 보안 패치가 적용된 버전으로 올리는 것이 우선입니다.
- 릴리스 버전 확인: AI 모듈 저장소 확인 결과, 2026-10-28에 보안 수정 사항이 포함된 1.4.11과 1.5.2 릴리스 태그가 게시되었습니다.
- 업데이트 적용: 현재 운영 중인 Drupal 사이트의 AI 모듈 버전이 위 릴리스 태그보다 낮은 버전인지 확인한 뒤, 가급적 빠르게 1.4.11 또는 1.5.2 버전으로 올리는 것이 좋습니다.
- 추가 모니터링: NVD의 독립 분석이 끝나 구체적인 공격 벡터나 CVSS 점수가 업데이트되면, 그 내용을 바탕으로 추가적인 보안 설정(WAF 룰 적용 등)을 점검해 보면 됩니다.