최근 보고된 CVE-2026-116118 취약점은 Z.ai Zcode의 Sed Command Filter 구성 요소에서 발생하며, 낮은 권한의 사용자가 OS 명령어를 주입해 시스템에 영향을 줄 수 있는 위험이 있습니다.
CVE-2026-116118 취약점 개요
CVE-2026-116118은 Z.ai Zcode 소프트웨어의 특정 기능에서 발생하는 OS 명령 주입(OS Command Injection) 취약점입니다. 결함이 보고된 지점은 Sed Command Filter 구성 요소입니다.
이 취약점은 보안 취약점 분류 체계인 CWE(Common Weakness Enumeration) 기준으로 CWE-78과 CWE-77로 분류됩니다. 외부 입력값이 적절히 필터링되지 않은 채 시스템 명령어로 전달될 때 발생하는 전형적인 명령 주입 형태입니다. 등록 및 게시 주체는 VulDB(CNA)이며, 현재 레코드 상태는 PUBLISHED로 기록되어 있습니다.
영향 받는 버전 및 범위
Z.ai Zcode를 운영 중인 시스템 관리자와 인프라 엔지니어는 현재 사용 중인 소프트웨어의 버전을 즉시 확인해야 합니다. 영향을 받는 버전 범위는 다음과 같습니다.
- 3.14.0 버전부터 3.14.3 버전까지의 모든 릴리스
- 3.15.0 버전
- 3.15.1 버전
위 버전을 사용하는 환경에서는 Sed Command Filter 기능을 노린 공격이 가능하므로 주의가 필요합니다.
기술적 분석 및 CVSS 위험도
CVSS 점수 및 위험 수준
위험도는 CVSS(Common Vulnerability Scoring System) 버전별로 다음과 같이 측정됐습니다. 전반적으로 Medium(중간) 수준입니다.
| CVSS 버전 | 점수 | 위험 등급 |
|---|---|---|
| v4.0 | 5.3 | Medium |
| v3.1 | 6.3 | Medium |
| v2 | 6.5 | – |
공격 벡터 분석
기술적인 공격 경로를 분석하면 다음과 같은 특성이 나타납니다.
- 공격 경로(Attack Vector): 네트워크(AV:N)를 통해 접근이 가능합니다.
- 권한 요구 사항(Privileges Required): 공격자는 시스템에서 낮은 권한(PR:L)만 있으면 됩니다.
- 사용자 상호작용(User Interaction): 공격 성공에 별도의 사용자 상호작용이 필요하지 않습니다(UI:N).
- 영향도: 기밀성(C), 무결성(I), 가용성(A) 모두 낮은 수준(L)의 영향으로 기록되었습니다.
이 취약점의 익스플로잇 성숙도는 현재 PoC(Proof of Concept, 개념 증명) 단계로 파악됩니다. CVE 레코드에는 익스플로잇 관련 태그와 외부 문서 링크도 첨부되어 있어, 기술적인 공격 가능성이 검증된 상태임을 알 수 있습니다.
현재 대응 상태 및 주의사항
시스템 관리자와 보안 담당자가 유의할 사항은 다음과 같습니다.
첫째, 영향 받는 버전(3.14.0~3.14.3, 3.15.0, 3.15.1)을 사용 중인지 확인하십시오. 현재 수집된 근거 장부상으로는 이 버전들이 취약한 상태(affected)로 명시되어 있고, 이를 해결할 공식 수정 버전이나 구체적인 패치 내역은 확인되지 않은 상태입니다.
둘째, 낮은 권한 계정이라도 네트워크로 Sed Command Filter 구성 요소에 접근해 명령어를 주입할 수 있다는 점을 고려해 접근 제어 강화가 필요합니다.
셋째, PoC 단계의 익스플로잇 정보가 존재하므로, 비정상적인 시스템 명령어 실행 로그나 Sed 관련 필터링 과정에서 특수 문자 입력 시도 여부를 모니터링하는 것이 좋겠습니다.
이 취약점은 CVSS 3.1 기준 6.3점으로 Medium 등급에 해당하지만, OS 명령 주입이라는 특성상 공격에 성공하면 시스템 권한 탈취나 데이터 변조로 이어질 수 있습니다. 보안 점검은 보수적인 관점에서 수행하시기 바랍니다.