최근 발표된 Drupal AI 모듈의 XSS 취약점(CVE-2026-118549)은 특정 조건에서 마크다운 링크 검증이 불충분해 생긴 보안 결함입니다. Drupal 보안 팀이 Critical 등급으로 분류했을 만큼 위험도가 높습니다.
CVE-2026-118549 취약점 개요
Drupal 생태계에서 AI 서비스용 추상화 계층을 제공하는 AI(Artificial Intelligence) 모듈에서 크로스 사이트 스크립팅(XSS) 취약점이 발견되었습니다. Drupal 보안 팀의 커뮤니티 보안 공고 SA-CONTRIB-2026-269로 공식 발표됐으며, 현재 CVE-2026-118549 기록에 PUBLISHED 상태로 등록되어 관리되고 있습니다.
이 취약점은 웹 페이지 생성 과정에서 입력값이 적절히 중립화되지 않아 생기는 CWE-79 분류의 전형적인 XSS 취약점으로 분석됩니다. 시스템 관리자와 보안 담당자라면 해당 모듈이 제공하는 추상화 계층의 특성과 의존성부터 파악하는 게 우선이고, 그다음 신속한 패치 적용이 뒤따라야 합니다.
영향 범위 및 취약 버전
해당 취약점은 AI 모듈의 특정 버전 범위에 영향을 미칩니다. 특히 코어 요구사항으로 ^10.5 또는 ^11.2 버전을 사용하면서 key:key와 drupal:file에 의존하는 환경이라면 주의가 필요합니다.
영향을 받는 버전 범위는 다음과 같습니다.
- 1.4.x 계열: 1.4.11 버전 미만의 모든 버전
- 1.5.x 계열: 1.5.0 버전 이상에서 1.5.2 버전 미만의 버전
일부 CVE 기록 발췌본에는 버전 값으로 5.2가 나오기도 해서, 운영 중인 모듈의 정확한 버전 확인이 필수입니다.
기술적 분석 및 위험도
취약점 발생 원인
원인을 따져 보면 핵심은 마크다운 링크(Markdown links) 검증이 불충분하다는 점입니다. 모듈이 특정 조건에서 마크다운 링크를 처리할 때 충분히 검증하지 않으면서, 공격자가 악의적인 스크립트를 삽입해 사용자 브라우저에서 실행시키는 경로가 열립니다.
심각도 평가의 불일치
이 취약점의 위험도 평가는 소스마다 다릅니다.
- Drupal 보안 팀: 이 취약점을 ‘Critical’ 등급으로 분류했고, 보안 리스크 점수는 25점 만점에 15점으로 평가했습니다.
- 독립 집계 소스: CVSSv4 기준 5.1 점수를 매기며 CWE-79로 분류했습니다.
공식 보안 공고에 ‘Critical’이라는 강한 경고 등급이 명시된 만큼, 관리자는 보수적으로 판단해 즉각 대응하는 편이 안전합니다.
대응 및 조치 방법
취약점에 노출된 시스템 관리자는 사용 중인 AI 모듈 버전에 따라 다음 표와 같이 업데이트하면 됩니다.
| 현재 사용 버전 | 권장 업데이트 버전 | 비고 |
|---|---|---|
| AI 1.4.x 계열 | AI 1.4.11 | 보안 패치 적용 버전 |
| AI 1.5.x 계열 | AI 1.5.2 | 보안 패치 적용 버전 |
업데이트는 아래 순서로 진행하면 됩니다.
- 버전 확인: 현재 설치된 AI 모듈의 정확한 버전과 Drupal 코어 버전(^10.5 || ^11.2)을 확인합니다.
- 백업 수행: 업데이트 전 데이터베이스와 파일 시스템 전체를 백업합니다.
- 버전 업그레이드: 사용 중인 메이저/마이너 버전에 맞춰 1.4.11 또는 1.5.2로 업데이트합니다.
- 검증: 업데이트 후 마크다운 렌더링 영역에서 비정상적인 스크립트 동작 여부를 점검합니다.
Drupal AI 모듈은 AI 서비스 연결을 돕는 추상화 계층을 제공하는 만큼, 이번 XSS 취약점은 외부 데이터가 입력되는 지점에서 보안 허점이 생긴 사례입니다. 패치를 적용한 뒤에도 입력값 검증 체계를 계속 지켜 보는 보안 운영 전략이 필요합니다.