위협 피드
실제로 악용되고 있는 취약점(CISA KEV)을 최신순으로 정리했습니다. 각 항목에 악용 확률(EPSS)과 심각도(CVSS)를 함께 표시하여 '지금 바로 조치해야 하는가?'를 방어 관점에서 판단할 수 있도록 한 피드입니다.
Fortinet FortiOS(버전 6.4 전 버전 포함, 7.0.0–7.0.17, 7.2.0–7.2.11, 7.4.0–7.4.8, 7.6.0–7.6.3) 및 FortiSwitchManager(버전 7.0.0–7.0.5, 7.2.0–7.2.6)에서 발견된 힙 기반 버퍼 오버플로우 취약점으로, 특수하게 조작된 패킷을 통해 공격자가 권한 없는 코드 또는 명령을 실행할 수 있습니다.
KEV 등재: 2026-09-09공식(NVD) →153.0.8010.36 이전의 Google Chrome 내부 V8에서 발생한 범위 초과 쓰기(out-of-bounds write) 취약점으로, 조작된 HTML 페이지를 통해 원격 공격자가 샌드박스 내부에서 임의의 코드를 실행할 수 있었습니다. (Chromium 보안 심각도: 보통)
KEV 등재: 2026-09-09공식(NVD) →Adobe Commerce는 템플릿 엔진에서 사용되는 특수 요소를 부적절하게 무효화(Neutralization)하는 취약점으로 인해 영향을 받으며, 이로 인해 현재 사용자의 권한으로 임의의 코드 실행이 발생할 수 있습니다. 공격자는 이 취약점을 악용해 임의의 코드를 실행할 수 있으며, 이 문제의 악용은 사용자 상호작용을 필요로 하지 않습니다. 권한 범위(Scope)가 변경됩니다.
KEV 등재: 2026-09-08공식(NVD) →N-central은 인증 이전(pre-auth) 원격 코드 실행 취약점을 포함하고 있습니다. 이 문제는 N-central의 2026.3.1.14 이전 버전에 영향을 미칩니다.
KEV 등재: 2026-09-08공식(NVD) →Windows 업데이트 스택의 파일 접근 이전 부적절한 링크 해석(심볼릭 링크 추적) 취약점으로, 권한이 있는 공격자가 로컬에서 권한 상승을 할 수 있음
KEV 등재: 2026-09-08공식(NVD) →Windows ALPC의 힙 기반 버퍼 오버플로우 취약점으로, 권한이 있는 공격자가 로컬에서 권한 상승을 수행할 수 있습니다.
KEV 등재: 2026-09-08공식(NVD) →Google Chrome 152.0.7977.82 이전 버전의 V8에서 타입 혼동(type confusion) 취약점이 있어, 원격 공격자가 조작된 HTML 페이지를 통해 샌드박스 내부에서 임의 코드를 실행할 수 있었습니다. (Chromium 보안 심각도: 높음)
KEV 등재: 2026-09-04공식(NVD) →Starlette는 경량 ASGI 프레임워크/툴킷입니다. 버전 1.0.1 이전에서는 HTTP `Host` 요청 헤더가 `request.url`을 재구성하기 전에 검증되지 않았습니다. 라우팅 알고리즘은 원시 HTTP 경로(raw HTTP path)에 의존하는 반면 `request.url`은 `Host` 헤더로부터 재구성되므로, 잘못된 형식의 헤더가 `request.url.path`를 실제 요청된 경로와 다르게 만들 수 있습니다. 따라서 `request.url`(원시 `scope` 경로가 아닌)을 기준으로 보안 제약을 적용하는 미들웨어나 엔드포인트는 우회될 수 있습니다. 사용자는 `Host` 헤더를 `request.url` 구성 시 RFC 9112 §3.2 / RFC 3986 §3.2.2 문법에 대해 검증하고 잘못된 값에 대해서는 `scope["server"]`로 대체하는 동작을 포함한 버전 1.0.1 이상으로 업그레이드해야 합니다.
KEV 등재: 2026-09-02공식(NVD) →예기치 않은 대체 접근 경로로 인해 SMA1000 어플라이언스의 Work Place 인터페이스에 인증 전(Pre-auth) SSRF(서버 측 요청 위조) 취약점이 존재합니다. 원격의 인증되지 않은 공격자는 이 취약점을 악용하여 민감한 기능에 대한 무단 접근을 얻고, 권한이 없는 작업을 수행할 가능성이 있습니다.
KEV 등재: 2026-09-02공식(NVD) →Sangoma Switchvox SMB Edition 8.3 (104997)에 인증 없이 악용 가능한 SQL 인젝션 취약점이 존재합니다. /pa 엔드포인트는 <PolycomIPPhone>로 시작하는 XML 콘텐츠를 처리하며, 사용자 제어 값인 PhoneIP를 PostgreSQL 쿼리에 대해 검증이나 파라미터화 없이 직접 연결(concatenate)합니다. 인증되지 않은 원격 공격자는 단일 조작된 요청으로 백엔드 PostgreSQL 데이터베이스에 임의의 SQL 문을 실행할 수 있으며, 데이터베이스 조작 및 원격 코드 실행과 같은 공격이 가능합니다.
KEV 등재: 2026-09-02공식(NVD) →JFrog Artifactory에는 기본 설정 상태에서 인증되지 않은 공격자가 네트워크 접근만으로 관리 권한을 획득할 수 있는 인증 취약점이 존재합니다.
KEV 등재: 2026-09-02공식(NVD) →SMA1000 Appliance Management Console(AMC)에 인증 후 OS 명령어에 사용되는 특수 요소를 적절히 무력화하지 않는 취약점('OS 명령어 주입')이 확인되었습니다. 특정 조건에서 이 취약점을 이용하면 인증된 원격 공격자가 관리자 권한으로 임의의 운영체제 명령을 실행하여 원격 코드 실행을 발생시킬 수 있습니다.
KEV 등재: 2026-09-02공식(NVD) →Kestra는 오픈소스 이벤트 기반 오케스트레이션 플랫폼입니다. 1.0.45 및 1.3.21 이전 버전에서 Kestra OSS의 AuthenticationFilter는 공개 구성 엔드포인트를 Basic Auth에서 화이트리스트 처리하기 위해 request.getPath().endsWith("/configs")를 사용합니다. 이 검사 방식이 정확한 경로 일치가 아니라 접미사 검사(suffix match)이기 때문에 마지막 세그먼트가 configs인 모든 API 경로가 인증을 완전히 우회합니다. 인증되지 않은 원격 공격자는 이를 악용해 자격증명 없이 임의의 워크플로를 생성·실행할 수 있습니다. Kestra가 기본적으로 스크립트 실행 플러그인(plugin-script-shell, plugin-script-python 등)을 활성화한 상태로 배포되기 때문에, 이 취약점은 Kestra 워커 컨테이너 내부에서 루트 권한으로 인증 우회 원격 코드 실행(RCE)으로 곧바로 이어집니다. 이 취약점은 1.0.45 및 1.3.21에서 수정되었습니다.
KEV 등재: 2026-09-02공식(NVD) →LiteLLM은 OpenAI 형식(또는 네이티브 형식)의 LLM API를 호출하기 위한 프록시 서버(AI 게이트웨이)입니다. 1.84.0 이전 버전에서 LiteLLM의 MCP Streamable HTTP 엔드포인트는 인증되지 않은 공격자가 조작된 Authorization 헤더를 사용하여 OAuth2 페이스트루(fallback) 경로를 유발할 수 있었습니다. 이 경로는 실패한 LiteLLM 키 검증을 빈 UserAPIKeyAuth() 객체로 대체하여 유효한 LiteLLM 키 없이도 요청이 MCP 도구로 전달되도록 허용했습니다. 이 문제는 버전 1.84.0에서 수정되었습니다.
KEV 등재: 2026-09-02공식(NVD) →PaperCut MF 및 PaperCut NG의 웹 관리 인터페이스에 부적절한 접근 제어 취약점이 존재합니다. 특정 조건 하에서 인증되지 않은 원격 요청이 관리자 기능을 겨냥하면 접근 검증이 완료되기 전에 백엔드 동작을 트리거할 수 있습니다. 이를 통해 인증되지 않은 원격 공격자가 일부 시스템 구성을 변경할 수 있습니다.
KEV 등재: 2026-08-31공식(NVD) →PaperCut MF 및 PaperCut NG의 데이터베이스 연결 유틸리티에서 안전하지 않은 동적 클래스 로딩 취약점이 존재합니다. 애플리케이션은 허용된 드라이버 목록(화이트리스트)과 대조 검증 없이 구성 가능한 드라이버 이름을 기반으로 데이터베이스 드라이버 클래스를 인스턴스화합니다. 공격자가 시스템 구성 파라미터를 조작할 수 있으면, 이는 애플리케이션 클래스패스에 위치한 임의의 Java 바이트코드를 PaperCut 서버 프로세스의 보안 컨텍스트에서 실행할 수 있게 합니다.
KEV 등재: 2026-08-31공식(NVD) →ownCloud core(owncloud/core) 버전 10.13.1 이전에서 취약점이 발견됨. 공격자는 피해자의 사용자명이 알려져 있고 피해자가 서명 키(signing-key)를 구성하지 않은 경우 인증 없이 임의의 파일에 접근, 수정 또는 삭제할 수 있음. 이는 파일 소유자에게 서명 키가 구성되어 있지 않더라도 사전 서명된(pre-signed) URL을 수락하기 때문에 발생함. 영향을 받는 최초 버전은 10.6.0임.
KEV 등재: 2026-08-27공식(NVD) →Linux 커널에서 다음 취약점이 수정되었습니다: ipv6: 페이дж드 할당 경로에서 fraggap을 고려하도록 수정 __ip6_append_data()의 페이дж드-할당 분기(MSG_MORE / NETIF_F_SG / 큰 fraglen)가 선택될 때, alloclen과 pagedlen은 다음과 같이 계산됩니다. alloclen = fragheaderlen + transhdrlen; pagedlen = datalen - transhdrlen; 그러나 datalen은 이미 fraggap을 포함합니다 (datalen = length + fraggap). fraggap이 0이 아닐 경우, 이는 첫 번째 skb가 아니며 transhdrlen은 0이 됩니다. 이전 skb로부터 이어진 fraggap 바이트들은 새 skb의 선형 영역에서 프래그먼트 헤더 바로 다음 위치에 복사됩니다. 따라서 선형 영역의 크기는 fraggap 바이트만큼 부족하게 할당되지만 pagedlen은 동일한 크기만큼 과대 계산되어 복사 작업이 skb->end를 넘어 후속 skb_shared_info 영역을 덮어쓰게 됩니다. 권한 없는 사용자는 MSG_MORE와 MSG_SPLICE_PAGES를 함께 사용하는 UDPv6 소켓을 통해 이 문제를 트리거할 수 있습니다. 잘못된 계산은 커밋 773ba4fe9104("ipv6: avoid partial copy for zc")에서 도입되었습니다. 커밋 ce650a166335("udp6: Fix __ip6_append_data()'s handling of MSG_SPLICE_PAGES") 이전에는, 음수 복사 길이로 인해 -EINVAL이 반환되었습니다. 이후 커밋에서 해당 경우에도 MSG_SPLICE_PAGES가 진행되도록 허용하면서 손상 가능성이 생겼습니다. 비-페이дж드 분기는 alloclen을 이미 fraggap을 반영한 fraglen으로 설정합니다(datalen이 fraggap을 포함하므로). 페이дж드 분기도 동일하게 동작하도록 alloclen에 fraggap을 더하고 pagedlen에서 fraggap을 빼도록 조정했습니다. 이 조정 후에는 페이дж드 경로에서 복사 길이가 더 이상 -fraggap으로 수렴하지 않으므로, 이전 산술을 설명하던 오래된 주석을 제거했습니다. 또한 유효한 MSG_SPLICE_PAGES 케이스에서 음수 복사가 더 이상 예상되지 않으므로 음수 복사 검사에서 MSG_SPLICE_PAGES 예외 처리도 제거했습니다.
KEV 등재: 2026-08-27공식(NVD) →인증된 사용자가 특정 원격 저장소 조건에서 의도된 Docker 캐시 경로 밖에 데이터를 쓸 수 있습니다.
KEV 등재: 2026-08-27공식(NVD) →패키지 ajaxpro.2의 모든 버전은 임의의 .NET 클래스를 역직렬화할 수 있는 가능성으로 인해 신뢰되지 않은 데이터의 역직렬화 취약점에 영향을 받습니다. 이 취약점을 악용하면 원격 코드 실행을 달성할 수 있습니다.
KEV 등재: 2026-08-26공식(NVD) →Microsoft SQL Server가 내부 함수 처리를 잘못할 때 원격 코드 실행 취약점이 존재합니다(일명 'Microsoft SQL Server 원격 코드 실행 취약점').
KEV 등재: 2026-08-26공식(NVD) →메모리 범람 취약점: NetScaler ADC 및 NetScaler Gateway에서 메모리 오버플로우가 발생하여 장치가 예측할 수 없거나 잘못된 동작을 하거나 서비스 거부(DoS)가 발생할 수 있음. 취약한 구성은 Gateway(SSL VPN, ICA 프록시, CVPN, RDP 프록시) 또는 AAA 가상 서버로 설정된 경우를 포함함.
KEV 등재: 2026-08-26공식(NVD) →Linux 커널의 watch_queue 이벤트 알림 서브시스템에서 경계 외(OOB) 메모리 쓰기 취약점이 발견되었습니다. 이 취약점은 커널 상태의 일부를 덮어쓸 수 있어 로컬 사용자가 권한 상승을 하거나 시스템 서비스 거부(DoS)를 유발할 가능성이 있습니다.
KEV 등재: 2026-08-26공식(NVD) →usermode 패키지의 userhelper 프로그램에서 사용되는 libuser 버전 0.56.13-8 이전 및 0.60-7 이전 버전은 /etc/passwd를 직접 수정합니다. 이로 인해 로컬 사용자가 수정 중 에러를 유발하여 서비스 거부(파일 불일치 상태)를 초래할 수 있습니다. 참고: 이 문제는 CVE-2015-3245와 결합되어 권한 상승에 악용될 수 있습니다.
KEV 등재: 2026-08-26공식(NVD) →Automatic Bug Reporting Tool(ABRT) 2.7.1 이전 버전의 abrt-hook-ccpp 헬프 프로그램은 특정 권한을 가진 로컬 사용자가 예측 가능한 이름의 파일에 대해 심볼릭 링크 공격을 통해 권한을 상승시킬 수 있습니다. 이 문제는 /var/tmp/abrt/abrt-hax-coredump 또는 /var/spool/abrt/abrt-hax-coredump와 같이 예측 가능한 경로의 파일을 대상으로 재현되었습니다.
KEV 등재: 2026-08-26공식(NVD) →Gitea에는 코드 주입 취약점이 있어 저장소 쓰기 권한이 있는 공격자가 diffpatch API 엔드포인트에 악성 패치를 전송하여 실행 가능한 Git 훅을 심고 Gitea 서비스 계정으로 셸 명령을 실행할 수 있습니다.
KEV 등재: 2026-08-25공식(NVD) →Oracle Fusion Middleware의 Oracle HTTP Server 및 Oracle WebLogic Server Proxy Plug-in(구성요소: Apache HTTP Server용 WebLogic Server Proxy Plug-in, IIS용 WebLogic Server Proxy Plug-in)에 존재하는 취약점. 영향을 받는 지원 버전은 12.2.1.4.0, 14.1.1.0.0 및 14.1.2.0.0임. 이 취약점은 HTTP를 통한 네트워크 접근이 가능한 인증되지 않은 공격자가 쉽게 악용할 수 있어 Oracle HTTP Server 및 WebLogic Server Proxy Plug-in을 손상시킬 수 있음. 취약점은 Oracle HTTP Server 및 WebLogic Server Proxy Plug-in에 존재하지만, 공격은 추가 제품에 중대한 영향을 미칠 수 있어(범위 변경) 추가적인 피해가 발생할 수 있음. 이 취약점이 성공적으로 악용되면 중요 데이터 또는 모든 Oracle HTTP Server 및 WebLogic Server Proxy Plug-in으로 접근 가능한 데이터에 대한 무단 생성, 삭제 또는 수정 권한을 얻거나, 중요 데이터에 대한 무단 접근 또는 모든 접근 가능한 데이터에 대한 완전한 접근을 초래할 수 있음. 참고: IIS용 WebLogic Server Proxy Plug-in에 영향을 주는 버전은 12.2.1.4.0 한정임. CVSS 3.1 기본 점수 10.0 (기밀성 및 무결성 영향). CVSS 벡터: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N).
KEV 등재: 2026-08-24공식(NVD) →선택적 zimbra-snmp 패키지가 설치되고 SNMP 알림이 활성화된 Zimbra Collaboration (ZCS) 10.1.20 이전 버전에서 원격 코드 실행 취약점이 존재합니다. SNMP 알림 처리 중 신뢰할 수 없는 입력을 적절히 정제하지 않아 인증되지 않은 공격자가 특수하게 조작된 SMTP 요청을 전송하면 Zimbra 사용자 권한으로 임의의 운영체제 명령이 실행될 수 있습니다.
KEV 등재: 2026-08-21공식(NVD) →원격의 권한 없는 공격자가 포트 4307/TCP를 통해 네트워크로 접근 가능한 TrueConf 서버 버전 5.3.X~5.3.9, 5.4.X~5.4.9, 5.5.X~5.5.5 및 그 이전 버전에서, 특수 제작된 스크립트를 사용해 격리된 환경을 탈출하고 호스트 시스템에서 임의의 코드를 실행할 수 있습니다.
KEV 등재: 2026-08-20공식(NVD) →원격의 권한 없는 공격자가 포트 4307/TCP를 통해 네트워크로 접속한 상태에서 TrueConf 서버 버전 5.3.X ~ 5.3.9, 5.4.X ~ 5.4.9, 5.5.X ~ 5.5.5 및 그 이전 버전에서 문서화되지 않은 함수를 호출하여 임의의 스크립트를 실행할 수 있습니다.
KEV 등재: 2026-08-20공식(NVD) →MLflow는 에이전트, 대형 언어 모델 및 머신러닝 모델을 위한 오픈 소스 AI 엔지니어링 플랫폼입니다. 3.15.0 이전 버전에서 인증되지 않은 POST /api/2.0/mlflow/webhooks/{id}/test 엔드포인트는 mlflow/utils/validation.py의 _validate_webhook_url()을 원래 URL에 대해서만 호출했으나, mlflow/webhooks/delivery.py는 리디렉션을 따르고 검증된 주소를 고정(pin)하지 않은 채 호스트명을 재해석(resolve)합니다. 이로 인해 공격자가 내부 네트워크 또는 클라우드 메타데이터 서비스에 접근하여 response_status와 response_body를 획득할 수 있습니다. 해당 문제는 버전 3.15.0에서 수정되었습니다.
KEV 등재: 2026-08-19공식(NVD) →Windows IKE 확장 기능의 이중 해제(double free) 취약점으로 인해 권한 없는 공격자가 네트워크를 통해 원격에서 코드 실행이 가능함.
KEV 등재: 2026-08-18공식(NVD) →Microsoft Office SharePoint의 약한 인증으로 인해 권한 없는 공격자가 네트워크를 통해 보안 기능을 우회할 수 있습니다.
KEV 등재: 2026-08-18공식(NVD) →VMware vCenter의 Syslog 서버에서 디렉터리 트래버설 취약점이 존재합니다. 네트워크를 통해 vCenter에 접근할 수 있는 악의적인 공격자는 이 취약점을 악용하여 임의의 코드를 실행할 수 있습니다.
KEV 등재: 2026-08-18공식(NVD) →인증 상태 관리 개선으로 인증 문제를 해결했습니다. 이 문제는 macOS Sequoia 15.7.9, macOS Sonoma 14.8.9, macOS Tahoe 26.6.1에서 수정되었습니다. 네트워크 상의 공격자가 유효한 자격 증명 없이 화면 공유(Screen Sharing)에 인증할 수 있을 가능성이 있습니다.
KEV 등재: 2026-08-18공식(NVD) →Ray는 AI 연산 엔진입니다. 버전 2.52.0 이전의 Ray는 개발 도구로 사용될 때 Firefox 및 Safari를 통해 악용 가능한 심각한 원격 코드 실행(RCE) 취약점에 노출됩니다. 이 취약점은 브라우저 기반 공격에 대한 방어가 충분치 않아 발생합니다. 현재 방어 로직은 User-Agent 헤더가 "Mozilla" 문자열로 시작하는지를 기준으로 차단하는데, 이는 fetch 규격상 User-Agent 헤더를 조작할 수 있으므로 불충분합니다. 여기에 브라우저에 대한 DNS 리바인딩 공격이 결합되면, Ray를 실행 중인 개발자가 악성 사이트를 방문하거나 악성 광고(멀버타이징)를 통해 악성 콘텐츠에 노출되는 경우 취약점이 악용될 수 있습니다. 해당 문제는 버전 2.52.0에서 수정되었습니다.
KEV 등재: 2026-08-17공식(NVD) →Metabase의 '/reset_password' 데이터베이스 엔드포인트를 통해 원격의 인증되지 않은 공격자가 임의의 SQL을 주입하여 연결된 Metabase 인스턴스에 대한 관리자 권한을 획득할 수 있습니다.
KEV 등재: 2026-08-11공식(NVD) →Cisco Secure Firewall Adaptive Security Appliance(ASA) 소프트웨어 및 Cisco Secure Firewall Threat Defense(FTD) 소프트웨어의 원격 접속 SSL VPN 서비스에 존재하는 취약점으로, 인증되지 않은 원격 공격자가 장비를 예기치 않게 재시작하게 만들어 서비스 거부(DoS) 상태를 초래할 수 있습니다. 이 취약점은 HTTP 요청을 처리할 때 오류 검사 부족으로 인해 발생합니다. 공격자는 조작된(특수하게 구성된) HTTP 요청을 영향을 받는 장비의 원격 접속 SSL VPN 서비스로 전송하여 이 취약점을 악용할 수 있습니다. 악용에 성공하면 공격자는 해당 장비를 재시작시켜 서비스 거부 상태를 유발할 수 있습니다.
KEV 등재: 2026-08-11공식(NVD) →Windows Ancillary Function Driver for WinSock의 Use-after-free 취약점으로 인해 권한 있는 공격자가 로컬에서 권한 상승을 수행할 수 있습니다.
KEV 등재: 2026-08-11공식(NVD) →Progress ADC 제품의 API에서 발생하는 OS 명령 인젝션 원격 코드 실행 취약점은 인증되지 않은 공격자가 여러 명령 엔드포인트에서 입력값 검증이 이루어지지 않는 점을 악용하여 LoadMaster 어플라이언스에서 임의 명령을 실행할 수 있도록 허용합니다.
KEV 등재: 2026-08-07공식(NVD) →
우선순위 = KEV(실제로 악용 중) + EPSS(30일 이내 악용될 확률) + CVSS(심각도)의 종합. 방어를 목적으로 한 피드이며, 공격 코드나 PoC는 다루지 않습니다. 각 CVE는 공식 출처(NVD)로 연결됩니다.