fix(security): 스케줄러 Shell/Artisan 명령 실행 하드닝

미출시 예약 작업 기능에서 스케줄 권한만 위임받은 계정이 Shell/Artisan
명령으로 임의 코드를 실행할 수 있던 문제를 선제적으로 차단(KVE-2026-1567).
Shell 은 기본 차단 + 실행 파일 화이트리스트 + 셸 미경유 인자배열 실행,
Artisan 은 차단목록. 저장 시점(FormRequest)과 실행 시점(Service) 이중 검증.

아울러 공개 release 보다 앞선 미출시 버전들의 CHANGELOG 출시 날짜를
2026-07-14 로 통일.

app/Rules/AllowedShellCommand.php

@@ -0,0 +1,41 @@
+<?php
+
+namespace App\Rules;
+
+use App\Support\ScheduleCommandValidator;
+use Closure;
+use Illuminate\Contracts\Validation\ValidationRule;
+
+/**
+ * Shell 타입 스케줄의 command 가 실행 허용된 명령인지 검증하는 Custom Rule.
+ *
+ * 스케줄 생성 권한만 위임받은 계정이 임의 OS 명령을 서버에서 실행하는 것을 저장 시점에 차단한다.
+ * 허용 여부는 `config/schedule_security.php` 의 opt-in 게이트와 실행 파일 화이트리스트가 결정하며,
+ * 관리자 환경설정에 노출되지 않으므로 위임 관리자가 스스로 범위를 넓힐 수 없다.
+ */
+class AllowedShellCommand implements ValidationRule
+{
+    /**
+     * 값이 실행 허용된 shell 명령인지 검증합니다.
+     *
+     * @param  string  $attribute  검증 대상 필드명
+     * @param  mixed  $value  검증 대상 값
+     * @param  Closure  $fail  실패 콜백
+     */
+    public function validate(string $attribute, mixed $value, Closure $fail): void
+    {
+        if ($value === null || $value === '') {
+            return;
+        }
+
+        if (! is_string($value)) {
+            $fail(__('validation.schedule_command.shell_not_allowed'));
+
+            return;
+        }
+
+        if (! ScheduleCommandValidator::isShellCommandAllowed($value)) {
+            $fail(__('validation.schedule_command.shell_not_allowed'));
+        }
+    }
+}