대상 독자: 서버, VPN 장비, 회원 데이터, 외부 서비스를 운영하는 분과 자신이 쓰는 서비스가 유출되었는지 알고 싶은 분. 이 글은 이 사이트가 10월에 게시한 내용과 CISA의 공개 정보를 정리한 것입니다. 공격 절차는 다루지 않습니다.
10월을 숫자로 보면
115는 이 사이트 기사의 수입니다
이 사이트가 10월에 게시한 첫 보도 기사만 센 것입니다(11월 1일에 게시한 기사는 제외). 일본 사고 65건, 해외 사고 28건, 글로벌 사고 4건, 취약점 18건입니다. 다루지 않은 사고는 포함되지 않으며, 정부나 기관이 집계한 통계가 아닙니다. 전월보다 사고가 늘었다고 말하는 데 쓸 수 없습니다.
악용된 취약점: 36건의 내역
KEV는 CISA가 악용되고 있다고 판단한 취약점의 목록입니다. 10월 1일부터 31일까지 36건이 추가되어 카탈로그는 1,766건이 되었습니다. 제품 유형별 내역입니다.
엣지 및 원격 접속 제품: 11
Plex, PHP, Ahsay, Zammad: 10
기타(Windows, Linux 커널, GitLab 등): 10
2015–2023년에 공개된 오래된 결함: 5
이 사이트에 기사가 있는 항목에는 링크가 걸려 있습니다. 기사가 없는 항목은 KEV의 기록 그대로 적었습니다.
| 그룹 | 제품과 CVE | 추가일 | 이 사이트의 기사 |
|---|---|---|---|
| 엣지 장비 | Ivanti Connect Secure CVE-2026-104935 | 10월 13일 | 엣지 장비 취약점 총정리 |
| 엣지 장비 | Ivanti Connect Secure CVE-2026-111357, CVE-2026-118527 | 10월 30일 | Ivanti Connect Secure 후속 |
| 엣지 장비 | Palo Alto Networks PAN-OS CVE-2026-0322 | 10월 14일 | 엣지 장비 취약점 총정리 |
| 엣지 장비 | Fortinet CVE-2025-61624(FortiOS 등) | 10월 16일 | 엣지 장비 취약점 총정리 |
| 엣지 장비 | Fortinet FortiMail CVE-2026-104286 | 10월 1일 | 없음 |
| 엣지 장비 | Cisco Secure Email Gateway CVE-2026-76519 | 10월 14일 | 엣지 장비 취약점 총정리 |
| 엣지 장비 | Cisco Secure Firewall ASA CVE-2026-76418 | 10월 29일 | Cisco ASA 및 FTD VPN |
| 엣지 장비 | Citrix NetScaler CVE-2026-88779 | 10월 4일 | CVE-2026-88779 |
| 엣지 장비 | Arista VeloCloud Orchestrator CVE-2026-114625 | 10월 23일 | VeloCloud Orchestrator |
| 엣지 장비 | BeyondTrust Remote Support CVE-2026-102764 | 10월 16일 | 없음 |
| 오래된 결함 | ISC BIND CVE-2015-5477, ProFTPD CVE-2015-3306, Apache Struts CVE-2016-3081, ONLYOFFICE Docs CVE-2021-3199, Strapi CVE-2023-22894 | 10월 8일(5건 모두) | 없음 |
| 같은 제품 그룹 | Plex Media Server CVE-2026-96652, 96654, 96655, 96656 | 10월 20일 | Plex Media Server |
| 같은 제품 그룹 | PHP CVE-2026-109618, CVE-2026-109619 | 10월 26일 | PHP 긴급 보안 릴리스 |
| 같은 제품 그룹 | Zammad CVE-2026-102489, CVE-2026-102490 | 10월 2일 | DIVD 침입과 Zammad |
| 같은 제품 그룹 | Ahsay AhsayCBS CVE-2026-105133, CVE-2026-105134 | 10월 14일 | 없음 |
| 기타 | SiteGuard Server Edition(일본산) CVE-2026-106931 | 10월 20일 | SiteGuard Server Edition |
| 기타 | Linux 커널 CVE-2026-46300 | 10월 28일 | Linux 커널 CVE-2026-46300 |
| 기타 | VMware ESX CVE-2026-41709 | 10월 28일 | VMware ESX 로깅 결함 |
| 기타 | GitLab CVE-2026-97229 | 10월 29일 | GitLab 긴급 패치 |
| 기타 | Adobe Commerce CVE-2026-48356 | 10월 27일 | Adobe Commerce |
| 기타 | Google Brotli CVE-2026-111497 | 10월 27일 | Brotli |
| 기타 | Collabora Online CVE-2026-110447 | 10월 23일 | Collabora CODE |
| 기타 | Microsoft Windows CVE-2026-96951, Atlassian CVE-2026-21589, Siemens Software Center CVE-2026-110936 | 10월 13일, 15일, 20일 | Atlassian만: 엣지 장비 취약점 총정리 |
“엣지 장비”, “같은 제품 그룹”, “기타” 그룹은 KEV의 분류가 아니라 이 사이트가 나눈 것입니다.
이 사이트의 해석: 10월 KEV에서 두드러진 것은 새로운 유형의 약점이 아니라 엣지 장비와 업데이트가 끊기기 쉬운 오래된 제품입니다. 10월 8일에 추가된 5건은 3년에서 11년 전에 공개된 것입니다. 해당 제품을 쓰지 않더라도 오래된 환경이 계속 돌아가고 있지 않은지 점검하는 계기로 삼으십시오. 수정 순서를 정하는 방법은 어떤 CVE를 먼저 수정할지 정하는 방법 (CVSS, EPSS, KEV)을 참고하십시오.
일본의 대형 유출
표는 이 사이트 기사에 적힌 공식 수치입니다. 건수는 레코드 하나를 뜻하고, 인원은 중복을 제거한 대략적인 수입니다. “가능성”은 발표에서 유출이 확인되었다고 하지 않았다는 뜻입니다. 단위와 확실성이 다르므로 순위가 아닙니다. 날짜는 발표일입니다. 10월에 발표된 일부 사안(Club Tourism, Tin Pan Alley, Northflank, Chainalysis, Linux CVE-2026-98432)은 이 사이트에서 11월 1일에 게시되었습니다.
| 조직과 서비스 | 발표일 | 수치(사용된 단위) | 확실성(발표 기준) | 이 사이트의 기사 |
|---|---|---|---|---|
| E-Store(ShopServe) | 10월 16일(최종 보고) | 약 2,335.6만 명 | 유출됨(구매자, 쇼핑몰 운영자, 제휴사 합산, 중복 제거, 대략적인 수) | ShopServe |
| 료힌케이카쿠(MUJI 앱) | 10월 30일 | 최대 약 2,726만 건 | 유출 가능성(탈퇴한 사람 포함) | MUJI 앱 |
| Club Tourism | 10월 31일(첫 통지) | 약 432만 건 | 유출 가능성 | Club Tourism |
| Hana Cupid | 10월 28일 | 최대 4,238,242건 | 유출됨(이 수치는 “영향을 받았을 수 있는 고객”) | Hana Cupid |
| Matsuya Foods Holdings(Matsuya 앱) | 10월 30일 | 2,377,127건 이상(앱 회원: 2,000명, 최대 3,000명일 수 있음) | 유출됨 | Matsuya |
| Sony Network Communications(So-net) | 10월 27일 | So-net 회원 2,141,986건, plala(S Course) 회원 443,495건 | 유출 확인 | So-net |
| H2O Retailing(H2O ID) | 10월 19일 | 약 126만 건 | 유출됨(거의 모든 H2O ID 회원 데이터의 일부) | H2O ID |
| World(자회사 Tin Pan Alley) | 10월 30일 | 합계 약 120만 건 | 유출 가능성 | Tin Pan Alley |
유출된 항목은 사안마다 다릅니다. 예를 들어 MUJI 앱 발표에는 이메일 주소, 생년월일, 성별이 나와 있고 이름과 주소는 포함되지 않는다고 되어 있습니다. Hana Cupid는 사용자 ID, 암호화된 비밀번호, 이메일 주소를 들었습니다. 본인의 항목은 각 기사에서 확인하십시오.
건수는 인원이 아니며, 집계에 포함된 것과 피해를 입은 것은 다릅니다
건수는 사람이 아니며, 여러 사안에는 이미 서비스를 탈퇴한 사람도 포함되어 있습니다. 피해 여부는 각 기업이 보내겠다고 밝힌 개별 통지와 공식 사이트의 공지로 확인하십시오.
10월의 다섯 가지 주제
(a) 서비스 제공업체와 SaaS를 통한 유출
자사에 잘못이 없어도 서비스 제공업체에 맡긴 목록이 유출될 수 있습니다. 10월에는 이메일 발송 서비스, 재난 경보 메일 서비스, 항공사 예약 위탁업체, IT 관리 플랫폼에서 사고가 발생했습니다.
- Blastmail: 전체 계약의 회사명과 담당자명, 그리고 345건 계약의 수신자 목록 유출이 확인됨
- SpeeCAN RAIDEN: 지자체의 재난 메일에 쓰이는 서비스로, 최대 약 313.6만 개의 이메일 주소(추정)가 유출되었을 수 있음
- JAL·ANA 예약 위탁업체: 발표에 따르면 위탁업체를 통해 약 9.2만 명(JAL과 JTA), 약 3.78만 명(ANA)의 예약 데이터에 접근이 있었음
- ConnectWise Cloud Backup: 앱 자격 증명에 대한 무단 접근으로 서비스가 중단됨. 한 클라우드 업체는 2,250개가 넘는 테넌트에 대한 로그인 시도를 보고함
(b) 회원 및 앱 데이터베이스
소매, 외식, 통신 브랜드의 회원 데이터베이스와 앱 관리 시스템에서의 유출이 10월 하순까지 이어졌습니다. 위 표 외에도 이 사이트는 이달에 몇 건을 더 다루었습니다.
- MUJI 앱(최대 약 2,726만 건, 가능성)
- Matsuya 앱 관리 시스템(2,377,127건 이상)
- Hana Cupid(최대 4,238,242건)
- H2O ID(약 126만 건)
(c) 암호화폐 도난
9월 말부터 10월 말까지 거래소와 관련 서비스에서 사고가 잇따랐습니다. 수치는 각 기업이 발표한 그대로이며 대부분 원인은 아직 조사 중입니다.
- Binance: 10월 29일 무단 출금의 영향을 약 63억 달러로 추정했으며 손실을 보전하겠다고 밝힘
- Bitget: 서드파티 보안 제품의 제로데이가 악용되어 약 3억 8,750만 달러가 도난당했다고 밝힘(사고는 9월 말, 이 사이트의 기사는 10월 게시)
- Bithumb: 보도에 따르면 사내 모바일 그룹웨어에 대한 무단 접근으로 고객 844명의 개인 데이터가 노출됨
- Polymarket: 서드파티 제공업체가 침해되었다고 밝히고(스크립트를 통한 것으로 보도됨) 거래를 중단했으며, 피해 이용자에게 보상하겠다고 밝힘
(d) AI 개발 플랫폼과 AI를 활용한 공격
AI API 키를 보관하는 플랫폼, AI 개발 도구, 호스팅 AI에서 사고가 발생했습니다. AI 기능을 활용한 공격 보고도 이어졌습니다.
- Northflank: 저장된 모든 환경 변수를 복호화된 것으로 간주하라고 고객에게 안내함. AI API 키 오용이 보고됨
- OpenCode: 일부 이용자가 연결한 AI 제공업체 API 키가 영향을 받음
- Zeabur: 환경 변수 3,218,965개와 계정 321,810개의 정보가 읽혔다고 밝힘
- Cursor 확장 프로그램 1건: 변조된 “Claude Code” 확장 프로그램이 마켓플레이스에서 약 11시간 동안 배포됨
- Chainalysis: 자사가 “offensive agentic techniques”라고 부르는 방식을 이용한 무단 접근을 당했다고 밝힘
- Cloudflare Workers AI: 다른 고객의 요청 데이터가 응답에 섞인 사례가 155건이라고 밝힘
별도로, Linux 커널 CVE-2026-98432는 한 AI 기업의 연구팀이 실험실에서 원격 코드 실행으로 시연했다고 보도되었습니다. 이는 그 기업 자체의 보고에 근거한 것이며 언론이 검증하지 않았습니다. 확인할 수 있는 한 실제 공격은 관측되지 않았고 KEV에도 없습니다. 전체 그림은 AI를 활용한 공격과 방어의 순서에 있습니다.
(e) 엣지 장비
KEV의 11건 외에도 Ivanti Connect Secure는 서로 다른 결함으로 10월 13일과 30일에 두 번 추가되었습니다. 패치를 해도 업데이트 이전에 일어난 침입의 흔적은 사라지지 않습니다.
- 악용된 엣지 장비 취약점, 2026년 10월 중순
- Ivanti Connect Secure CVE-2026-111357 및 CVE-2026-118527
- VeloCloud Orchestrator CVE-2026-114625
- VPN 장비와 원격 접속을 방어하는 방법
11월에 할 일
KEV에 오른 엣지 장비를 먼저 패치
모든 VPN 장비, 방화벽, 메일 게이트웨이의 제품과 버전을 목록으로 만들고, KEV에 오른 것은 며칠 안에 수정 버전으로 옮기십시오. 업데이트 전에 로그를 보존하고, 관리 인터페이스에 접근할 수 있는 출처를 관리 네트워크로 제한하십시오.
고객 목록을 맡긴 외부 서비스 파악
고객 이메일과 이름을 보관하는 서비스(이메일 발송, 예약, 회원 관리, 백업)를 목록으로 만드십시오. 계약이 끝난 뒤에도 데이터가 남아 있는지도 확인하십시오.
플랫폼 사고 시 저장한 키 교체
클라우드나 AI 개발 플랫폼이 사고를 보고하면 그곳에 저장한 환경 변수, API 키, 토큰을 교체하고, 사용 기록에서 알아볼 수 없는 항목이 있는지 확인하십시오.
유출된 기업을 사칭하는 이메일에 대비
유출이 발표되면 그 기업 이름의 이메일이 늘어나는 경향이 있습니다. 링크로 로그인하거나 무언가를 입력하지 말고 공식 사이트의 공지와 대조하십시오. 영향을 받았을 수 있다면, 같은 비밀번호를 재사용한 서비스부터 비밀번호를 바꾸십시오.
이런 이메일을 알아보는 방법은 피싱이란?을 참고하십시오.
출처
- CISA, “Known Exploited Vulnerabilities Catalog”(JSON 피드, 이 사이트가 2026년 10월 1일–31일의 추가분을 집계) — cisa.gov
- 이 사이트의 기사: 엣지 장비 취약점 총정리, ShopServe, MUJI 앱, Club Tourism, Hana Cupid, Matsuya, So-net, H2O ID, Tin Pan Alley(각 기사가 공식 발표를 인용)
- 첫 보도 건수는 이 사이트가 2026년 10월에 게시한 일본어 속보 기사의 수를 센 것입니다
함께 읽기
- 연간 목록: 2026년 개인정보 유출·사이버 공격 타임라인
- 노출된 장비 방어: VPN 장비와 원격 접속을 방어하는 방법
- 수정 우선순위: 어떤 CVE를 먼저 수정할지 정하는 방법 (CVSS, EPSS, KEV)
- AI를 활용한 공격: AI를 활용한 공격과 방어의 순서
- 침해 여부 확인: 서버가 침해되었는지 확인하는 방법