취약점
이 태그가 달린 문서 45건
SAP 보안 패치 데이 2026년 11월: CVSS 10.0 결함 4건. 인터넷에 노출된 Web Dispatcher와 ICM부터 패치하세요. 영향 여부 확인법과 오늘 할 일
2026년 11월 10일 SAP의 보안 패치 데이에서 새 보안 노트 35건과 GitHub 보안 권고 4건이 공개되었고, 기존 노트 3건이 업데이트되었습니다. SAP의 목록에서 Critical로 표시된 행은 9개입니다. 그중 4건이 CVSS 10.0입니다. NetWeaver AS ABAP의 Internet Communication Manager(ICM)의 메모리 손상(CVE-2026-76964), SAP Web Dispatcher의 메모리 손상(CVE-2026-89126), SAP Gateway의 접근 제어 결함(CVE-2026-89103), AS ABAP의 SAML2 서비스 공급자의 인증 누락(CVE-2026-120017)입니다. CVE 레코드는 네 건 모두 인증 없이, 네트워크를 통해, 사용자 조작 없이 가능하다고 설명합니다(CVE-2026-120017은 특정 구성에서). 3건은 CVSS 9.9(CVE-2026-109803, CVE-2026-76965, CVE-2026-109795)이며 권한이 낮은 로그인이 필요합니다. SAP의 목록에는 악용에 대한 언급이 없고, 이 페이지의 CVE 중 CISA의 KEV 카탈로그에 있는 것은 없습니다(11월 10일 19:00 UTC 버전). CVE 레코드에 붙은 CISA 평가 중 확인한 4건은 악용: 없음으로 되어 있습니다. SAP Note의 본문은 로그인이 필요해 이 사이트는 읽지 못했습니다. 이 사이트의 결론: 인터넷에 노출된 Web Dispatcher와 ICM부터 패치하고, SAP Note에서 수정된 버전을 확인하고, 재시작을 포함해 업데이트를 계획하세요.
OpenSSH 10.6p2 긴급 수정(CVE-2026-123158): CISA KEV에 추가됨, Alpine 등 PAM이 없는 musl 시스템의 sshd에 비밀번호 없이 로그인될 수 있음
2026년 11월 5일 OpenSSH는 PAM을 끈 상태로 빌드·실행되는 일부 Linux 시스템(특히 Alpine Linux 같은 musl libc 사용 시스템)의 sshd 비밀번호 인증 우회 문제에 대한 중요한 회피 조치를 담은 10.6p2를 공개했습니다. CVE는 CVE-2026-123158입니다(CVSS 3.1 기본 점수 8.1, CVE 레코드 기준). 11월 9일 CISA는 이를 알려진 악용 취약점(KEV) 카탈로그에 추가했으며, 미국 연방 기관의 기한은 11월 12일입니다. 한 민간 위협 인텔리전스 업체는 공개 후 9시간도 안 되어 공격 시도를 봤고 미끼 환경에서 한 번 성공했다고 밝혔으나, 실제 운영 시스템의 피해는 보고되지 않았고 독립적인 검증도 찾지 못했습니다. Alpine Linux는 11월 5일 권고문을 내고 모든 브랜치용 수정 패키지를 공개했습니다. Alpine에 따르면 비밀번호 인증이 켜져 있고, 한 계정의 비밀번호 필드가 별표이며, 다른 계정이 일반 해시를 가진 호스트가 영향을 받습니다. PAM이 켜진 환경, PasswordAuthentication no 환경, sshd를 실행하지 않는 컨테이너는 영향이 없습니다. 이 사이트의 결론: Alpine이나 OpenWrt, 임베디드 Linux 같은 다른 musl 기반 시스템에서 sshd를 운영한다면 오늘 수정 패키지로 업데이트하고 sshd를 재시작하며, 그때까지 비밀번호 인증을 끄고 인증 로그를 점검하세요.
SonicWall SonicOS SSL-VPN CVE-2026-19868: SAML과 MFA 우회 가능, CISA KEV 등재(Gen7·Gen8 업그레이드)
CVE-2026-19868은 SonicWall 방화벽의 운영체제인 SonicWall SonicOS의 SSL-VPN 서비스 취약점입니다. 2026년 11월 6일 SonicWall의 권고 SNWLID-2026-0014에 따르면, SSL-VPN 로그인에 SAML을 활성화한 방화벽에서 다른 인증 방식(alternate authentication method)의 유효한 인증 정보를 가진 사용자가 SAML 인증 통제를 우회할 수 있으며, SAML이 강제하는 다중 인증(MFA)도 함께 우회할 수 있습니다. SonicWall은 자사 보안 팀이 악용 가능성을 시사하는 보고를 조사했다고 밝혔습니다. CISA는 11월 6일 이 CVE를 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가했고 기한은 11월 20일입니다. 영향 대상: SonicOS 7.3.3-7015 이하의 Gen7 방화벽과 8.2.2-8015 이하의 Gen8 방화벽. 수정: 7.3.4-7013 및 8.2.3-8015 이상. 우회 방법(workaround)은 없습니다. 같은 권고에는 관리 인터페이스의 취약점과 서비스를 중단시킬 수 있는 SSL-VPN의 인증 전 취약점 등 다른 CVE 6건도 포함되어 있습니다. 우리의 결론: Gen7 또는 Gen8 SonicWall 방화벽을 운영한다면 SAML 사용 여부와 관계없이 지금 업그레이드하고, VPN 로그인을 SAML과 MFA에 의존한다면 다른 방식으로 SSL-VPN에 로그인할 수 있는 계정이 남아 있지 않은지 확인하세요.
Jenkins 2.588과 LTS 2.580.2에서 취약점 15건 수정(CVE-2026-117612부터 117626까지): 버전 확인과 업데이트 후 점검할 것
2026년 10월 28일 Jenkins 프로젝트는 주간 릴리스 2.588과 LTS 2.580.2에서 Jenkins 코어의 취약점 15건(CVE-2026-117612부터 CVE-2026-117626까지)을 수정하는 보안 권고를 공개했습니다. 주간 2.587 이하와 LTS 2.580.1 이하가 영향을 받습니다. 권고는 13건을 High, 2건을 Medium으로 평가합니다. 대부분 Overall/Read나 Item/Configure 같은 어떤 권한이 필요합니다(설정에 따라 익명 사용자에게 Overall/Read를 주는 경우도 있습니다). 예외는 CVE-2026-117618로, 초기 설정 마법사의 경쟁 상태(race condition)를 이용해 인증되지 않은 사용자가 초기 설정 중에 관리자 계정을 만들 수 있게 하므로, 인터넷에 노출된 새로 설치한 Jenkins의 우선순위가 올라갑니다. 권고가 제시하는 우회책은 업데이트로 문제가 생길 때 새 검사를 끄는 설정과, 알려진 영향을 제한하는 XSS 3건에 대한 Content Security Policy 강제뿐이며, 해결책은 업데이트입니다. 이 사이트는 11월 3일 기준 악용에 대한 신뢰할 만한 보고를 찾지 못했고, 15건 모두 CISA의 KEV(Known Exploited Vulnerabilities) 카탈로그에 없습니다. 이 사이트의 결론: Jenkins 버전을 확인하고 2.588(LTS 2.580.2)로 업데이트하며, Jenkins를 인터넷에 노출하지 말고 익명 사용자에게 권한을 주지 않은 뒤, 업데이트 후 사용자, 관리자, 에이전트를 점검하십시오.
Synology DSM 랜섬웨어 공격: 2024년 12월에 수정된 취약점으로 오래된 버전이 노려짐, 오늘 업데이트하고 점검할 것(SA-24:20)
Synology는 2026년 10월 29일, 2024년 12월에 패치된 취약점을 악용해 오래된 버전의 DSM을 쓰는 장치를 노리고 데이터를 암호화해 금전을 요구하는 공격자를 확인했다고 밝혔습니다. 취약한 버전을 쓰는 모든 사용자에게 DSM을 즉시 업데이트하라고 강력히 권고하며 자동 업데이트를 켜라고 권합니다. 안내는 Synology-SA-24:20을 가리키며, 수정 버전은 DSM 7.2.2는 7.2.2-72806-1 이상, 7.2.1은 7.2.1-69057-6, 7.2는 7.2-64570-4, 7.1은 7.1.1-42962-7, 6.2는 6.2.4-25556-8입니다. 이 권고에는 CVE 세 건이 있으며, Synology는 그중 어느 것이 악용되는지 밝히지 않았습니다. 피해자 수와 공격자 이름도 공개하지 않았습니다. 이 사이트의 결론: 오늘 DSM 버전을 확인해 수정 버전 이상으로 업데이트하고, DSM 관리 화면을 인터넷에 노출하지 마세요. NAS와 분리되어 NAS에서 덮어쓸 수 없는 백업을 두세요.
WordPress 7.1.4 취약점 CVE-2026-119977: 원격 코드 실행으로 이어질 수 있는 코어 업데이트 경쟁 상태 수정, 버전과 자동 업데이트 확인
2026년 10월 28일 WordPress 프로젝트는 원격 코드 실행으로 이어질 수 있는 코어 업데이트 과정의 결함을 수정한 보안 릴리스 7.1.4를 공개했습니다. WordPress의 GitHub 권고문에 따르면, 전체 패키지를 사용하는 코어 업데이트 중 WordPress는 웹으로 제공되는 업그레이드 폴더 안의 예측 가능한 디렉터리에 새 파일을 풀었고, 그 압축 해제와의 경쟁에서 이긴 인증 없는 공격자가 원격 코드 실행(RCE)에 도달할 수 있었습니다. 수정은 7.1.4에 포함되며 4.7까지의 모든 브랜치(7.0.8, 6.9.11, 6.8.12 등)로 백포트되었습니다. CVE-2026-119977은 10월 31일 CNA인 Wordfence가 공개했으며 CVSS v3.1 8.1(High), 공격 복잡도 High로 평가되었습니다. WordPress의 권고문은 심각도를 Low로 보며 점수는 제시하지 않았습니다. SecurityWeek에 따르면 한 WordPress 보안 업체는 방화벽 규칙을 배포한 지 9분 만에 첫 일치를 확인했고, 처음 21시간 동안 임시 업데이트 위치를 노린 요청을 18,500건 넘게 기록했으며, 침해 성공은 보고하지 않았습니다. CISA는 11월 3일 이 CVE를 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가했습니다(KEV 항목은 미국 연방 기관의 기한을 11월 6일로 정하고 있으며, CISA는 패치뿐 아니라 BOD 26-04에 따른 포렌식 선별 점검도 요구합니다). 자동 백그라운드 업데이트가 켜진 사이트는 스스로 업데이트되며, 자동 업데이트를 끈 사이트는 업데이트 화면에서 직접 업데이트해야 합니다. 이 사이트의 결론: 악용되고 있는 것으로 취급하고 오늘 업데이트하십시오. 업데이트가 늦었다면 침해 징후가 있는지 확인하십시오(이 사이트의 조언).
Linux 커널 CVE-2026-98432: 네트워크로 유발되는 TCP use-after-free(CVSS 9.8). 수정된 커널을 설치하고 재부팅하며 MPTCP도 확인하세요
CVE-2026-98432는 2026년 10월 15일에 공개된 Linux 커널 IPv4 TCP 코드의 use-after-free입니다. 커널 프로젝트의 CNA는 CVSS v3.1 9.8(네트워크, 권한 불필요, 사용자 조작 불필요)로 평가했습니다. 한 AI 기업의 연구자들이 자체 보고에서, 실험실 환경에서 Multipath TCP(MPTCP) 리스너가 있는 서버에 대해 root 권한의 원격 코드 실행을 시연했다고 알려졌습니다. BleepingComputer는 일반 TCP 서버에 대한 원격 코드 실행은 공개적으로 시연되지 않았고 실제 악용도 확인되지 않았다고 전하며, 이 사이트는 11월 1일에 이 CVE가 CISA의 KEV 카탈로그에 없음을 확인했습니다. 업스트림 수정은 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 이후에 들어 있습니다. 11월 1일 기준 Debian은 수정된 커널이 있고, SUSE는 일부가 있으며, Ubuntu와 Red Hat은 수정을 진행 중으로 표시합니다. MPTCP를 끄는 것만으로는 완전한 수정이 아닙니다. 이 사이트의 결론: 인터넷에 노출된 Linux 서버는 수정이 나오는 대로 업데이트하고 재부팅하며, 그때까지만 업체의 임시 완화책을 쓰세요.
긴급 PHP 업데이트 후 확인할 사항: 웹 PHP와 명령줄 PHP 비교, set -e와 diff 종료 코드, 침입 재점검
2026년 10월 치명적인 PHP 취약점 대응 중, 이 사이트 운영자가 관리하는 한 사이트는 웹 PHP는 업데이트했지만 cron이 사용하는 명령줄 PHP는 여전히 이전 버전을 가리키고 있었습니다. 웹과 CLI를 따로 확인하세요. set -e 환경에서 diff와 grep은 '차이 발견' 또는 '일치 없음'을 뜻하는 종료 상태 1을 반환하며, 이때 스크립트가 중단됩니다. 0, 1, 2를 각각 구분해 처리하세요. 패치 후에는 모든 서버에 같은 침입 점검 목록을 적용하고, 의심스러운 로그 항목은 실시간 파일을 알려진 정상 배포본과 비교해 판단하세요.
2026년 10월 사이버 공격·개인정보 유출 총정리: 악용된 취약점 36건과 대규모 유출
2026년 10월 CISA는 알려진 악용 취약점(KEV) 카탈로그에 취약점 36건을 추가했습니다. 9월의 43건보다 7건 적습니다. 11건은 VPN 장비와 방화벽 같은 엣지 및 원격 접속 제품, 5건은 2015년부터 2023년 사이에 공개된 오래된 결함(모두 10월 8일 추가), 10건은 Plex, PHP, Ahsay, Zammad 관련, 나머지 10건은 기타 제품입니다. 이 사이트는 10월에 사고와 취약점 115건을 처음 보도했습니다(일본 사고 65건, 해외 28건, 글로벌 4건, 취약점 18건). 이는 이 사이트의 기사 수이며 국가 통계가 아닙니다. 일본에서는 회원·앱 데이터베이스 유출이 이어졌습니다. 발표된 수치가 가장 큰 것은 ShopServe(약 2,335.6만 명), MUJI 앱(최대 약 2,726만 건, 가능성), Club Tourism(약 432만 건, 가능성), Hana Cupid(최대 4,238,242건)입니다. 서비스 제공업체와 SaaS 유출, 암호화폐 거래소 도난, AI 개발 플랫폼 사고도 계속되었습니다. 11월에 대한 이 사이트의 결론은 다음과 같습니다. KEV에 오른 엣지 장비를 먼저 패치하고, 고객 목록을 맡긴 외부 서비스를 파악하고, 유출된 기업을 사칭하는 피싱에 대비하십시오.
Cisco Catalyst SD-WAN Manager CVE-2026-76504: 로그인 없이 관리자 권한 접근, 악용됨(수정 릴리스로 업그레이드)
CVE-2026-76504는 Cisco SD-WAN의 관리 시스템인 Cisco Catalyst SD-WAN Manager(구 vManage)의 API 세션 인증 취약점입니다. 2026년 9월 30일 Cisco의 권고에 따르면, HTTP 요청의 URI 인코딩을 잘못 처리해 인증되지 않은 원격 공격자가 인증 규칙을 우회하고 admin 사용자의 권한으로 API에 접근할 수 있습니다. 구성과 관계없이 제품이 영향을 받으며 CVSS 9.8로 평가됩니다. Cisco는 2026년 9월 자사 보안 팀이 실제 악용을 인지했다고 밝혔습니다. 우회 방법(workaround)은 없으며, 수정 방법은 사용 중인 트레인의 첫 수정 릴리스(20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 또는 26.2.1)로 업그레이드하는 것입니다. Cisco가 관리하는 클라우드 서비스는 이미 수정되었습니다. CISA는 9월 30일 KEV 카탈로그에 추가했고 기한은 10월 3일입니다. 우리의 결론: SD-WAN Manager를 온프레미스로 운영한다면 지금 업그레이드하고, 관리 인터페이스를 인터넷에서 분리하고, Cisco 권고의 점검 항목으로 로그를 확인하세요. 몇 주 동안 노출되었을 수 있기 때문입니다.
Drupal Commerce Core CVE-2026-118539: 비인증 접근 우회, 악용 중(8.x-2.41 또는 3.3.13으로 업데이트)
2026년 10월 28일 Drupal 보안 팀은 Commerce Core 모듈(CVE-2026-118539)에 대한 SA-CONTRIB-2026-254를 게시했습니다. 이 모듈은 특정 경로와 엔티티 필드를 충분히 보호하지 않아 접근 우회가 가능하며, 이는 상점 소유자에게 금전적 영향을 줄 수 있습니다. Drupal은 인증이 필요 없는 Highly critical(21/25)로 평가하고 실제로 적극적으로 악용되고 있다고 밝혔습니다. 영향 버전은 8.x-2.41 미만과 3.0.0부터 3.3.13 미만까지이며, 수정 버전은 8.x-2.41과 3.3.13입니다. NVD 기록에는 CISA ADP가 추가한 더 낮은 CVSS v3.1 점수 6.5가 있으며 아직 분석을 기다리고 있습니다. 10월 31일 기준 CISA의 KEV 카탈로그에는 없습니다. 우리의 결론: Drupal Commerce로 온라인 상점을 운영한다면 지금 업데이트하고, 최근 주문과 결제에서 일치하지 않는 것이 없는지 감사하세요.
Ivanti Connect Secure CVE-2026-111357 및 CVE-2026-118527: CISA KEV에 추가된 두 가지 추가 취약점(10월 공격에 대한 대처)
2026년 10월 30일 CISA는 Ivanti Connect Secure의 취약점 두 가지를 알려진 악용 취약점(KEV) 카탈로그에 추가했습니다. CVE-2026-111357은 root로의 로컬 권한 상승이고, CVE-2026-118527은 예측 가능한 식별자 결함으로 원격 인증된 공격자가 공격자가 통제하는 내용의 파일을 알려진 위치에 둘 수 있게 합니다. CISA는 둘 다 10월 13일 KEV에 추가된 인증 우회 CVE-2026-104935와 연계될 수 있다고 밝혔습니다. 11월 2일 미국의 한 연구 업체는 Ivanti가 10월 29일 공지를 업데이트해 두 CVE를 추가하고 수정을 공개했다고 보고했습니다(Ivanti의 공지 자체는 읽을 수 없었으므로 이 업체의 인용에 의존합니다). 수정 버전은 25.1.1.2 이하에는 25.1.1.3, 22.8R2.5 이하에는 22.8R2.6입니다. 10월 13일의 수정(25.1.1.2와 22.8R2.5)으로는 이 두 건이 수정되지 않습니다. Ivanti는 22.8.x에서 25.1.1.3 이상으로 옮기고, 곧바로 어려우면 22.8R2.6을 적용하라고 권고합니다. Ivanti는 공개 전의 악용이 제한된 수의 고객에게 영향을 주었으며 CVE-2026-104935와 연계되었다고 밝혔습니다. 미국 연방 기관의 기한은 CVE-2026-111357이 11월 2일, CVE-2026-118527이 11월 13일입니다. 또 다른 연구 업체는 10월 3일부터의 악용, 자격 증명 탈취, 그리고 Windows LAPS 비밀번호와 BitLocker 복구 키를 찾는 Active Directory 조회를 보고합니다. CISA와 이 업체는 Ivanti의 Integrity Checker Tool이 악용을 탐지하지 못할 수 있다고 경고합니다. 우리의 결론: 지금 패치하고, 패치 후에도 10월 초 이후 인터넷에서 접근할 수 있었던 어플라이언스는 포렌식 점검이 다르게 말해 줄 때까지 침해되었을 수 있다고 간주하세요. 재부팅이나 초기화 전에 메모리와 로그를 보존하고, LAPS가 관리하는 로컬 관리자 비밀번호와 BitLocker 복구 키를 포함해 자격 증명을 교체하세요. 버전 번호는 Ivanti의 공지에서 확인하세요.
Orkes Conductor CVE-2026-58138: 인증 없이 OS 명령 실행, 공격 시도 관측(3.30.2 이상으로 업데이트)
CVE-2026-58138은 conductor-oss 프로젝트의 오픈소스 워크플로 엔진 Conductor(CVE 기록상 Orkes Conductor)의 취약점입니다. 3.21.21부터 3.30.2 미만 버전에서는 스크립트 평가기가 격리되지 않아, 원격 공격자가 JavaScript나 Python 식이 담긴 워크플로 정의를 워크플로 API에 보내는 것만으로 인증 없이 운영체제 명령을 실행할 수 있습니다. CVE는 2026년 6월 30일 공개되었고 CVSS는 9.8(v3.1), 9.3(v4.0)입니다. 수정은 6월 3일 릴리스 3.30.2에 들어 있지만, 릴리스 노트에는 JavaScript 엔진을 더 제한했다고만 적혀 있습니다. 한 네트워크 보안 업체는 9월, 침입 방지 서비스가 하루에 1,290건, 7일간 6,696건의 공격 시도를 차단했다고 보고했습니다. 이는 차단된 시도이며 확인된 침해가 아닙니다. 10월 31일 기준 CISA의 KEV 카탈로그에 없고 NVD도 분석하지 않았습니다(상태 Deferred). 우리의 결론: Conductor를 직접 운영한다면 지금 3.30.2 이상으로 올리고, API를 인터넷에서 보이지 않게 하고, 영향 버전이 외부에서 접근 가능했다면 침해 가능성이 있다고 보고 점검하세요.
Plex2Shell: Plex Media Server CVE 4건이 실제로 악용됨(1.43.3.10861 이상으로 업데이트)
Plex2Shell은 한 보안 연구자가 Plex Media Server의 취약점 4건, CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656에 붙인 이름입니다. Plex에 따르면 이들을 연결하면 인증되지 않은 원격 공격자가 Plex Media Server 프로세스의 권한으로 코드를 실행할 수 있습니다. 4건 모두 2026년 8월 4일 모든 사용자에게 배포된 1.43.3.10861에서 수정되었습니다. Plex는 10월 19일(UTC), 10월 16일 공개 개념 증명(PoC)이 나온 뒤 이 취약점이 활발하고 광범위하게 악용되고 있으며, 침해된 서버가 암호화폐 채굴 프로그램과 프록시 소프트웨어 실행에 쓰였다고 밝혔습니다. CISA는 10월 20일 4건 모두를 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가했고, 기한은 10월 23일과 11월 3일입니다. 각 CVE 단독 점수는 4.3–7.2(CVSS v3.1)에 불과합니다. 11월 6일 QNAP은 일부 사용자가 자신의 NAS에서 실행 중인 Plex Media Server가 침해된 것으로 보인다고 보고했다고 밝혔습니다. QNAP은 자사 운영체제인 QTS와 QuTS hero는 영향을 받지 않는다고 하며, Plex가 인터넷에서 접근 가능했던 소유자에게는 NAS가 침해되었을 수 있다고 보고 대응하라고 요청합니다. 우리의 결론: Plex Media Server를 운영한다면 오늘 1.43.3.10861 이상인지 확인하고, 원격 접속이 필요하지 않다면 포트 32400을 직접 노출하지 말고, 이전 버전이 인터넷에서 접근 가능했다면 Plex의 침해 점검을 따르고 의심스러우면 다시 구축하세요(QNAP NAS라면 QNAP의 FAQ를 따르세요).
SharePoint Server CVE-2026-65660: 로그인한 사용자가 코드 실행 가능, 악용됨(2026년 8월 업데이트 설치)
CVE-2026-65660은 온프레미스 Microsoft SharePoint Server(Subscription Edition, 2019, Enterprise 2016)의 코드 인젝션 취약점입니다. Microsoft에 따르면 낮은 수준의 접근 권한을 가진 인증된 공격자가 특수하게 조작한 요청을 보내 사용자 상호작용 없이 서버에서 코드를 실행할 수 있습니다. CVSS 8.8로 평가됩니다. 수정은 2026년 8월 11일 보안 업데이트에 포함되었습니다. Microsoft는 처음에 스푸핑 취약점으로 공개했다가 8월 27일 원격 코드 실행으로 변경했습니다. 9월 25일 Microsoft는 관측된 공격에 대한 신뢰할 만한 증거가 있다고 추가했고, CISA는 같은 날 KEV 카탈로그에 추가했으며 기한은 9월 28일입니다. 한 보안 업체는 9월 24일, 허니팟에 대한 공격 시도가 이 취약점과, 익명 열람을 허용하는 사이트에서 로그인 없이 요청이 도달하게 하는 별도의 문제(2026년 6월 수정으로 보고됨)를 결합했다고 보고했습니다. 우리의 결론: SharePoint Server를 운영한다면 모든 서버가 수정 빌드 이상인지 확인하고, 2026년 6월 업데이트도 설치되어 있는지 확인하고, 익명 접근을 검토하고, 업데이트가 늦었던 서버는 침해 흔적을 점검하세요.
VMware ESX CVE-2026-41709(CVSS 2.7): CISA가 낮은 심각도의 로깅 결함을 악용 중으로 등재; VMSA-2026-0006 전체를 패치하고 호스트를 점검하세요
CVE-2026-41709는 VMware ESX의 불충분한 로깅 결함(CVSS 2.7, Low)입니다. 이미 관리자 권한을 가진 공격자가 특정 작업을 수행해도 로그에 기록되지 않을 수 있습니다. Broadcom은 2026년 7월 29일 권고 VMSA-2026-0006에서 이를 수정했으며 우회 방법은 없습니다. 2026년 10월 28일(미국 시간) CISA는 이를 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가했고, 미국 연방 기관의 기한은 11월 11일입니다. 한 보안 업체의 위협 보고서에 따르면 중국과 연계된 그룹이 2026년 초까지 미국 조직에 대한 여러 침입에서 이를 제로데이로 사용했으며, SecurityWeek은 그 목적을 감사 추적의 가시성을 줄이는 것이라고 설명합니다. 이 사이트는 그 보고서를 독자적으로 검증하지 않았습니다. 이 결함만으로는 침입할 수 없지만, 영향을 받는 호스트의 로그에 침입자의 행동이 나타나지 않을 수 있다는 뜻입니다. 같은 권고에는 9.8로 평가된 두 개의 vCenter 결함이 포함되어 있고, 그중 하나(CVE-2026-59310)는 CISA가 8월 18일 악용 중으로 등재했으므로, ESX 결함만 패치하면 침입 경로는 열려 있습니다. 이 사이트의 결론: 권고 전체에 대해 ESX와 vCenter를 수정 빌드로 업데이트하고, 호스트 로그를 별도 서버로 보내며, 로그만 믿지 말고 침해 징후를 찾으세요.
Cisco ASA 및 FTD VPN 취약점 CVE-2026-76418: 인증 없는 공격자가 장비를 재시작시킬 수 있음(확인 방법, 수정 버전)
2026년 10월 28일(UTC) Cisco는 Cisco Secure Firewall ASA와 Secure Firewall Threat Defense(FTD)의 원격 접속 SSL VPN 서비스에서 CVE-2026-76418(CVSS v3.1 8.6)을 공개했습니다. 인증 없는 원격 공격자가 장비를 예기치 않게 재시작시켜 서비스 거부를 일으킬 수 있습니다. 원인은 터널 그룹(VPN 접속 프로필)에 보조 인증이 설정된 경우의 논리 오류이며, SSL VPN에 접속하는 동안 조작된 요청으로 유발됩니다. 권고문은 코드 실행이나 데이터 유출을 설명하지 않습니다. 우회책은 없으며 Cisco는 업그레이드를 강력히 권장합니다. Cisco PSIRT는 2026년 10월에 악용을 인지했다고 밝혔지만 세부 내용은 제시하지 않습니다. CISA는 10월 29일 이를 KEV(Known Exploited Vulnerabilities) 카탈로그에 추가했으며, 미국 연방 기관의 기한은 11월 1일입니다. 이 사이트의 결론: ASA나 FTD에서 SSL VPN을 외부에 노출하고 있다면 보조 인증을 쓰는 터널 그룹이 있는지 확인하고, 있다면 업그레이드하십시오. Cisco의 임시 완화책이 있지만 보안 수준이 낮아집니다.
Linux 커널 Fragnesia(CVE-2026-46300): CISA가 악용된 것으로 등재하고 10월 31일을 기한으로 지정. PHP와 커널을 패치하고 재부팅하십시오
별칭 Fragnesia인 CVE-2026-46300은 권한이 낮은 로컬 사용자가 root 권한을 얻을 수 있는 Linux 커널의 결함입니다(CVSS v3.1 7.8, 로컬 공격 벡터). 커널이 네트워크 버퍼 사이에서 데이터 조각을 옮길 때 데이터가 메모리 속 파일과 공유되고 있음을 나타내는 표식이 사라질 수 있고, 그러면 IPsec ESP 코드가 읽기 전용 파일의 캐시된 사본 위에 복호화할 수 있습니다. 커널 프로젝트는 2026년 5월 23일 CVE를 공개했으며, 수정은 커널 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33, 7.0.10 이후에 포함되어 있습니다. 2026년 10월 28일(미국 시간) CISA는 실제 악용 증거를 근거로 이를 KEV(Known Exploited Vulnerabilities) 카탈로그에 추가했으며, 미국 연방 기관의 기한은 10월 31일입니다. CISA의 설명은 PHP 취약점 CVE-2026-109618, CVE-2026-109619와 연계하여 PHP 웹셸을 심고 root 권한으로 명령을 실행할 수 있다고 밝힙니다. 한 보안 기업은 이 연계가 서버 25대(대부분 방화벽)에 사용되었다고 보고했고 SecurityWeek이 이 보고를 되풀이했습니다. 이 사이트는 해당 수치를 독자적으로 검증하지 않았습니다. Ubuntu, Red Hat, Debian은 수정된 커널을 배포했으며, 커널 업데이트는 재부팅한 뒤에야 적용됩니다. 이 사이트의 결론: Linux에서 PHP 사이트를 운영한다면 PHP와 커널을 업데이트하고 재부팅한 뒤 웹셸이 있는지 확인하십시오.
Adobe Commerce 및 Magento 취약점 CVE-2026-48356: CISA가 악용 확인(KEV), 7월 수정과 침입 여부 확인 방법
2026년 10월 27일, CISA는 Adobe Commerce와 Magento Open Source의 파일 업로드 취약점 CVE-2026-48356을 알려진 악용 취약점(KEV) 목록에 추가했습니다. 미국 연방 민간 기관의 대응 기한은 11월 10일입니다. Adobe는 2026년 7월 14일 보안 공지 APSB26-73에서 이 결함을 다른 13개 결함과 함께 수정했습니다. Adobe Commerce 2.4.4부터 2.4.9, Magento Open Source 2.4.6부터 2.4.9, Adobe Commerce B2B, Adobe Commerce Events가 영향을 받습니다. 수정은 각 릴리스 계열의 2026-jul 보안 수정입니다(Events는 1.21.0). Adobe 공지의 표는 CVSS 9.6으로 평가하지만 Adobe의 CVE 레코드와 NVD는 9.3으로 평가하며, 차이는 가용성 영향뿐입니다. Adobe의 공지(8월 11일 업데이트)는 여전히 Adobe가 악용 사실을 알지 못한다고 밝히고 있습니다. 10월 24일, 한 전자상거래 보안 업체는 이 결함(업체는 PolyShell이라고 부름)과 다른 결함을 통해 설치된 웹 셸이 상점 페이지에 JavaScript를 삽입하는 데 쓰였으며, 이 캠페인이 2025년 7월 이후 대부분 Magento인 953개 상점에 이르렀고, 패치된 상점에서도 삽입된 코드를 발견했다고 보고했습니다. 10월 28일 기준 일본 공공 기관의 경보는 없으며 피해를 공개한 일본 상점도 없습니다. 이 사이트의 결론: Adobe Commerce와 Magento 상점은 오늘 7월 수정이 적용되었는지 확인하고, 적용되어 있더라도 업로드 폴더, CMS 블록, 관리자 계정에서 침입 흔적을 확인해야 합니다.
Brotli 취약점 CVE-2026-111497(Node2Shell): Node.js, Python, .NET 확인 방법과 업데이트 대상
2026년 10월 21일(미국 시간) Google은 공식 Brotli 라이브러리의 범위 밖 쓰기 취약점 CVE-2026-111497을 수정한 Brotli 1.2.1, 1.1.1, 1.0.10을 공개했습니다. Brotli 1.0.3–1.0.9, 1.1.0, 1.2.0이 영향을 받습니다. 조작된 Brotli 데이터를 압축 해제하면 메모리가 손상되어 크래시, 메모리 내용 노출, 경우에 따라 임의 코드 실행으로 이어질 수 있습니다. Google은 CVSS v4.0 기준 9.2로 평가했습니다. Node.js는 같은 날 22.23.4, 24.22.1, 26.12.1을 공개했고, 10월 22일에는 PyPI 패키지가 brotli 1.2.1과 brotlicffi 1.2.1.0에서 수정되었습니다. Microsoft는 10월 25일(미국 시간) .NET 8, 9, 10용 수정(8.0.33, 9.0.22, 10.0.14)을 공개했으며, Bun(1.4.4)과 Envoy도 수정을 배포했습니다. 일본의 컴퓨터 비상 대응팀인 JPCERT/CC는 10월 26일 Node2Shell과 HTTP2Shell이라는 별칭을 언급한 주의 환기를 발표했습니다. 많은 프로그램이 자체 Brotli 사본을 포함하므로, 운영체제의 라이브러리를 업데이트해도 공식 Node.js 빌드, PyPI의 Python wheel, 컨테이너 이미지, 단일 파일 실행 파일 안의 사본은 수정되지 않습니다. 10월 27일(미국 시간) CISA는 실제 악용 증거를 근거로 이 취약점을 KEV(Known Exploited Vulnerabilities) 카탈로그에 추가하고, 미국 연방 기관에 11월 10일까지 수정하도록 요구했습니다. CISA는 세부 내용을 공개하지 않았습니다. 한 위협 인텔리전스 기업은 Node.js 24.22.0을 노린 익스플로잇 트래픽을 관측했다고 보고했지만 그 트래픽은 해당 기업의 자체 시험에서 성공하지 못했으며, Microsoft는 여전히 이 결함을 악용되지 않은 것으로 표시하고 있습니다. 언론은 개념 증명(PoC) 코드가 공개되었다고 보도했습니다. 이 사이트의 결론: Node.js, Bun, Python 또는 .NET 서비스가 외부에서 받은 데이터를 압축 해제한다면 유지보수 시간을 기다리지 말고 오늘 업데이트한 뒤 컨테이너와 실행 파일을 다시 빌드하십시오. WordPress와 PHP 사이트: 보안 기업들은 11월 2일, 이것이 WordPress 코어, 플러그인, 테마의 결함이 아니므로 WordPress를 업데이트해도 해결되지 않는다고 설명합니다. WordPress는 Brotli를 포함하지 않고 운영체제의 라이브러리를 쓰므로, OS의 libbrotli 패키지를 업데이트하고 컨테이너를 다시 빌드하고 이후 PHP-FPM이나 Apache를 재시작하세요(재시작은 우리의 추가 조언입니다). 한 기업은 XML-RPC 핑백을 통한 코드 실행을 실험실에서 재현했으며, 11월 2일 기준 실제로 침해된 WordPress 사이트에 대한 공개 보고는 찾지 못했다고 밝혔습니다.
Nextcloud 내장 Collabora CODE 서버 CVE-2026-110447 악용: 영향 범위와 대응 방법
2026년 10월 14일 Collabora Online 개발자들은 Nextcloud 앱 Collabora Online - Built-in CODE Server(앱 ID richdocumentscode)의 인증되지 않은 OS 명령 주입 취약점 CVE-2026-110447을 공개했습니다. 앱의 proxy.php를 통해 웹 서버 사용자 권한으로 명령이 실행될 수 있습니다. 내장 CODE 서버가 실행 중이 아닐 때 조건이 성립하며, 이는 컨테이너 재시작, 업그레이드 또는 충돌 후에 발생할 수 있습니다. 26.4.303 이전 버전이 영향을 받으며, 26.4.303은 9월 11일에 출시되었습니다. 개발자들은 앱을 비활성화해도 문제가 방지되지 않는다고 말하며 업데이트 또는 제거를 요청했습니다. 지원이 종료된 Nextcloud 29 이하에서는 Nextcloud를 업데이트하거나 앱을 제거하십시오. 개발자들은 독립형 Collabora Online 서버, Docker 이미지, RPM/DEB 패키지, Nextcloud All-in-One은 영향을 받지 않는다고 말합니다. CVSS v4.0 점수는 9.2입니다. CISA는 10월 23일 이 취약점을 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가했으며 기한은 10월 26일입니다. 사용자들은 개발자 저장소에서 약 9월 10일부터 공격이 있었다고 보고했고, 언론 보도에 따르면 웹 셸이 심어졌습니다. 이 사이트의 결론: 내장 CODE 앱이 설치되어 있다면, 비활성화된 상태라도 오늘 버전을 확인하고, 업데이트 또는 제거한 뒤, 9월 10일 이후의 흔적을 점검하십시오.
GitLab CVE-2026-110264(CVSS 10.0)와 악용되는 CVE-2026-97229: 셀프 호스팅 GitLab 확인 및 업데이트 방법
2026년 10월 21일 GitLab은 Community Edition(CE)과 Enterprise Edition(EE)용 긴급 패치 버전 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13을 공개했습니다. 가장 심각한 취약점인 CVE-2026-110264(CVSS 10.0)는 특수하게 조작된 정규식을 컴파일할 때 발생하는 정수 오버플로우입니다. 특정 조건에서 인증되지 않은 사용자가 GitLab 서버에서 임의의 코드를 실행할 수 있게 할 수 있습니다. 7.0 이후 거의 모든 버전이 영향을 받습니다. 10월 29일 CISA는 자매 취약점 CVE-2026-97229(CVSS 10.0, CWE-190)를 KEV(Known Exploited Vulnerabilities) 카탈로그에 추가했으며 기한은 11월 1일입니다. 같은 종류의 버그(CI/CD 정규식 컴파일러의 정수 오버플로우, 인증되지 않은 사용자가 도달 가능)로, GitLab은 10월 12일 19.4.2, 19.3.5, 19.2.8에서 먼저 수정했으며 영향받는 범위는 19.2.0부터 19.2.7, 19.3.0부터 19.3.4, 19.4.0부터 19.4.1뿐입니다. 아직 19.4.2, 19.3.5, 19.2.8 미만이라면 악용되는 취약점에 노출된 상태입니다. 여기서 권장하는 버전(19.5.1, 19.4.3, 19.3.6, 19.2.9)으로 업그레이드하면 CVE-2026-97229도 함께 수정됩니다. GitLab.com은 이미 패치되었으며, 셀프 호스팅 설치는 업그레이드해야 합니다. 10월 21일 릴리스는 심각도 High인 취약점 2건(CVSS 8.2와 7.5)과 기타 취약점도 수정하지만, 해당 수정은 19.3.6, 19.4.3, 19.5.1 라인에서만 제공됩니다. 근본 원인은 Ruby의 정규식 엔진(Onigmo)에 있으며, Ruby는 10월 23일 4.0.9, 3.4.12, 3.3.13을 공개했습니다. 공격자가 제어하는 문자열로 정규식을 컴파일하는 애플리케이션이 영향을 받으며, Regexp.timeout은 이 버그들로부터 보호하지 못합니다. GitLab의 공지는 CVE-2026-110264가 악용되었다고 밝히지 않았고, 10월 30일 기준 KEV에도 없습니다. Alpine Linux는 10월 20일과 21일 자사 GitLab에 CVE-2026-97229를 통한 공격 시도가 있었고, GitLab만 (19.3.6으로) 업그레이드해서는 수정에 Ruby 패치도 필요했기 때문에 취약점이 막히지 않았으며, 인스턴스를 재구축했고 공격자의 코드가 실행된 증거는 찾지 못했다고 밝혔습니다. 이 사이트의 결론: 필수 업그레이드 중간 단계를 확인한 뒤 셀프 호스팅 GitLab을 오늘 업그레이드하고, 최종적으로 19.3.6 이상에 도달하며, GitLab을 직접 빌드하거나 자체 Ruby를 쓴다면 Ruby도 3.3.13, 3.4.12 또는 4.0.9 이상인지 확인하십시오. Ruby 애플리케이션은 수정된 Ruby로 옮기고, 사용자 입력으로 정규식을 만드는 방식을 중단해야 합니다.
VeloCloud Orchestrator CVE-2026-114625 악용 확인: 수정 버전과 점검 사항
2026년 10월 22일 Arista는 SD-WAN 관리 플랫폼인 VeloCloud Orchestrator(VCO) 온프레미스 에디션의 SQL 인젝션 취약점 CVE-2026-114625(CVSS v4.0 9.4, v3.1 9.9)를 공개했습니다. Arista는 이 문제를 자체적으로 탐지했으며 실제로 악용되고 있는 것으로 알려져 있다고 밝혔습니다. 가장 낮은 내장 테넌트 역할(Enterprise Read Only)을 포함해 인증된 모든 사용자가 운영자 권한을 얻고 로컬 슈퍼유저 운영자로 가장할 수 있습니다. 수정 릴리스는 5.2.3.18, 6.1.3.10, 6.4.2.12입니다. 권고문은 목록에 없는 릴리스는 취약하지 않다고 밝히고 있으며, 7.0 트레인은 목록에 없고 그 이유는 제시되지 않았습니다. Dedicated를 포함한 호스티드 VCO는 이미 패치되었습니다. CISA는 10월 23일 이 결함을 알려진 악용 취약점(KEV) 카탈로그에 추가했으며 기한은 10월 26일입니다. 7월의 CVE-2026-16812(OS 명령 인젝션, 인증 불필요, CVSS 10.0), 9월의 CVE-2026-93952(부적절한 입력 검증, 인증 불필요, CVSS v3.1 10.0)에 이어 3개월 사이 세 번째로 악용된 VCO 결함입니다. 이 사이트의 결론: VCO를 온프레미스로 운영하는 조직은 오늘 해당 트레인의 최신 수정 릴리스로 옮기고, 관리 인터페이스를 신뢰할 수 있는 관리 네트워크로 제한하며, 업그레이드 전에 로그를 보존하고 침해 여부를 점검해야 합니다.
악용된 엣지 장비 취약점, 2026년 10월 중순: Ivanti, PAN-OS, FortiOS, Cisco
2026년 10월 13일부터 16일 사이 CISA는 널리 사용되는 엣지 장비(네트워크와 인터넷의 경계에 놓이는 장비)의 취약점 4건을 알려진 악용 취약점(KEV) 카탈로그에 추가했습니다. Ivanti Connect Secure CVE-2026-104935(인증 우회, 로그인 불필요, CVSS 8.6), Palo Alto Networks PAN-OS CVE-2026-0322(관리 인터페이스에서 코드 실행, 높은 권한 로그인 필요, CVSS v4.0 8.6), Fortinet FortiOS 및 관련 제품 CVE-2025-61624(경로 탐색, 관리자 로그인 필요, CVSS 6.0), Cisco Secure Email Gateway CVE-2026-76519(임의 파일 쓰기, 로그인 불필요, CVSS 9.8)입니다. 10월 15일에는 Atlassian Data Center CVE-2026-21589(파일 읽기, 로그인 불필요)가 뒤따랐습니다. 미국 연방기관 대상 기한은 모두 지났습니다. 이 사이트의 결론: 이 5개 제품 중 하나라도 운영 중이라면 오늘 수정 버전으로 업그레이드하고, 관리 접근을 관리자 네트워크로 제한하며, 업그레이드 전에 침해 여부를 확인하십시오.
eMudhra(emSign) 중간 CA 키 유출: Python 사용자가 pip, certifi, uv와 관련해 해야 할 일
2026년 10월 17일, 인도 인증기관 eMudhra의 중간 인증서 8개(TLS용 6개)의 개인 키가 누구나 복구할 수 있을 만큼 부실하게 생성되었다는 보고가 나왔습니다. eMudhra는 10월 18일 8개 모두를 폐기했고, Chrome과 Firefox는 10월 17일 푸시 메커니즘을 통해 이들을 차단했습니다. 10월 20일 Mozilla는 상위 루트인 emSign ECC Root CA - G3에 대한 긴급 신뢰 제거를 결정했으며, Chrome은 10월 27일(태평양 시간) 이를 제거할 예정입니다. 브라우저는 보호되었지만, 브라우저 밖의 TLS 클라이언트는 자체 CA 목록이 업데이트되기 전까지 위조 인증서를 신뢰할 수 있습니다. Python에서는 pip가 항상 내장된 certifi를 읽기 때문에, OS 저장소가 수정된 후에도 구버전 pip는 계속 노출됩니다. Python 프로젝트는 10월 20일 공지(10월 22일까지 갱신)를 게시해, 최소 certifi 2026.10.19, pip 26.2.2, uv 0.13.4, sigstore 4.5.1, conda 26.9.4, pixi 0.82.1로 업그레이드하고 레이어 캐시 없이 컨테이너 이미지를 다시 빌드할 것을 요청했습니다. 10월 21일에는 pip 26.2.2를 포함한 Python 3.15.1, 3.14.9, 3.13.17을 배포했습니다. 새 pip를 포함하는 3.11 또는 3.12 릴리스는 없을 예정입니다. 이는 CPython의 코드 실행 취약점이 아닙니다. 네트워크 경로상의 공격자는 PyPI, python.org 및 기타 사이트로의 연결을 가짜 서버로 우회시킬 수 있습니다. 10월 24일 기준 악용 사례는 발표되지 않았습니다. 10월 22일 eMudhra는 글로벌 SSL/TLS 인증서 사업에서 철수하겠다고 밝혔습니다. 이 사이트의 견해: 모든 환경에서 pip를 26.2.2 이상으로, certifi를 2026.10.19 이상으로 업그레이드하고, Docker 이미지는 캐시 없이 다시 빌드하며, 잠금 파일의 certifi 고정 버전을 올리십시오.
SiteGuard Server Edition CVE-2026-106931 악용 확인: 영향 대상과 대응 방법
2026년 10월 14일 EG Secure Solutions는 호스트형 웹 애플리케이션 방화벽(WAF)인 SiteGuard Server Edition의 통계 기능에 OS 명령 인젝션 취약점 CVE-2026-106931이 있다고 공표했으며, 이미 악용이 확인되었다고 밝혔습니다. 악용되면 제품이 동작하는 서버에서 root 또는 SYSTEM 권한으로 임의의 OS 명령이 실행될 수 있습니다. 영향 대상은 통계 기능이 활성화된 Ver2.20 이후 버전입니다(통계 기능은 기본적으로 활성화되어 있습니다). 구체적으로 Apache, Nginx, IIS 에디션은 Ver8.00 Update5 이전, FreeBSD Apache 및 Nginx 에디션은 Ver7.00 Update6 이전입니다. IIS 에디션 Ver3.10부터 Ver4.00 Update4까지는 영향이 없습니다. 수정 버전은 Ver8.00 Update5와 Ver7.00 Update6이며, 업그레이드가 어려운 환경을 위해 지원 종료 버전을 포함한 패치가 제공됩니다. 벤더는 이 취약점을 로컬 공격, 낮은 권한 필요로 평가했습니다(CVSS v3.0 7.8, v4.0 8.5). JPCERT/CC는 이 제품이 일본에서 널리 사용되고 있음을 확인했다며 주의 환기를 발표했고, 통계 기능을 비활성화하면 문제를 피할 수 있다고 밝혔습니다. CISA는 10월 20일 이 취약점을 알려진 악용 취약점(KEV) 카탈로그에 추가했으며 조치 기한은 10월 23일입니다. 이 사이트의 결론: Server Edition을 사용 중이라면 오늘 버전과 통계 기능을 확인하고, 업데이트 전에 진단 정보를 저장한 다음 수정 버전 또는 패치를 적용하십시오.
[속보] PHP 취약점 CVE-2026-109618과 CVE-2026-109619 악용 확인, CISA KEV 카탈로그에 추가: 지금 8.5.12, 8.4.27, 8.3.36 또는 8.2.35로 업데이트
2026년 10월 21일 PHP 보안팀은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 출시해 인증 없이 원격 코드 실행(RCE)이 가능할 수 있는 심각한 취약점 두 가지를 수정했으며, 모든 사용자에게 즉시 업데이트할 것을 촉구했습니다. CVE-2026-109618은 메모리 부족(out-of-memory) 처리, CVE-2026-109619는 요청 사이에 남아 있는 오래된 내부 상태와 관련되며, 둘 다 CVSS v4.0에서 9.2로 평가되었습니다. 웹 요청을 처리하는 모든 PHP 설치 환경(PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed)이 위험에 노출되어 있습니다. PHP 팀은 애플리케이션 코드가 실행되기 전에 인증되지 않은 요청으로 공격이 발생하는 입증된 익스플로잇을 근거로 mod_php를 가장 위험한 것으로 봅니다. PHP 8.1 이하는 공식 업데이트가 제공되지 않으며, 팀은 7.4, 8.0, 8.1에 대한 최소 소스 백포트만 제공했습니다. 리눅스 배포판들은 패치를 사전에 받았습니다. 완전한 완화 방법은 없으며, 업데이트만이 유일하게 안전한 선택입니다. 10월 22일 일본 IPA와 JPCERT/CC가 경보를 발표했고, JVN은 JVNVU#99905564를 공개했습니다. 처음 경보를 발표했을 때 악용을 관찰하지 못했던 CISA는 10월 26일 두 취약점을 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가했으며, 미국 연방 민간 기관의 대응 기한을 10월 29일로 정했습니다. 언론 보도에 따르면 한 보안 연구자가 운영하는, mod_php 환경의 패치되지 않은 PHP 8.4.26 허니팟에서 10월 24일 원격 코드 실행이 성공했습니다. 한 주요 클라우드 제공업체의 허니팟은 공개 4일 전인 10월 17일부터 악용 시도를 포착한 바 있습니다. 이 사이트가 확인한 범위에서는 2026년 10월 27일 기준으로 허니팟 외의 침해 사고는 공개되지 않았습니다. 일본의 주요 공유 호스팅 업체 대부분은 수정이 적용되었다고 발표했지만, KAGOYA 등 일부 업체는 아직 발표하지 않았습니다. 10월 23일 PHP 팀은 10월 21일 릴리스에서 수정되지 않은 세 번째 문제(CVE-2026-115560)를 공개했습니다. 이 문제는 특정 설정과 애플리케이션 코드가 결합된 경우에만 코드 실행으로 이어질 수 있으며, 팀은 실제로는 가능성이 낮다고 평가합니다. 수정 사항과 전체 권고문은 다음 정기 릴리스와 함께 제공될 예정이며, 그때까지 session.upload_progress.enabled=0 설정을 권장합니다. 영향받는 버전과 CVSS 점수는 공개되지 않았으며, 악용 사례도 보고되지 않았습니다. 10월 29일 기준(php.net 확인)으로 이 문제의 수정 릴리스는 아직 나오지 않았습니다. 10월 28일 CISA는 Linux 커널 취약점 CVE-2026-46300도 KEV에 추가하고(미국 연방 기관의 기한 10월 31일), 이 두 취약점과 연쇄되어 PHP 웹셸을 심고 root 권한으로 명령을 실행하는 데 쓰일 수 있다고 밝혔습니다. 이 사이트의 견해: 악용이 확인되었으므로, 사이트별로 본인 또는 호스팅 업체가 PHP를 업데이트하는지 확인하고, 오늘 바로 수정된 버전으로 이동하십시오. 10월 17일 이후의 로그에서 침해 흔적도 확인하십시오. 공유 호스팅을 사용한다면 업체 공식 웹사이트의 완료 공지를 확인하십시오.
MOVEit 대규모 유출 사고(2023) — SQL 인젝션 제로데이가 2,700개 이상 조직에 도달한 경위와 방어법
진입점은 인터넷에 노출된 MOVEit Transfer의 SQL 인젝션 제로데이(CVE-2023-34362)였습니다. 웹 셸(LEMURLOOT)이 심어지고 백엔드 데이터베이스에서 데이터가 대량 탈취되어 2,700개 이상 조직, 약 9,330만 명에게 피해를 입혔습니다. 대부분의 피해자는 벤더가 MOVEit을 썼기 때문에 간접적으로 끌려 들어갔습니다. 여러분의 환경에서는 KEV 신속 패치, 노출 최소화, 웹↔DB 최소 권한과 분리, 벤더 인벤토리와 데이터 최소화가 핵심입니다.
CORS란 — 작동 원리와 잘못된 설정이 노출하는 것
CORS는 다른 오리진의 JS가 내 API 응답을 읽을 수 있는지를 브라우저가 제어하는 방식입니다. 설정 오류 — 임의의 Origin 반사, 또는 자격 증명과 함께 Access-Control-Allow-Origin:* — 는 제3자 사이트가 로그인된 데이터를 읽게 합니다. 기본 방어: 허용 목록, Origin 무분별 반사 금지, 기본 거부.
세션 고정(Session Fixation)이란 — 공격자가 이미 아는 ID로 피해자를 로그인시키는 공격
세션 고정은 공격자가 아는 세션 ID를 피해자가 쓰게 만든 뒤, 그 ID로 로그인하면 피해자를 가장하는 공격입니다. 주된 방어법: 로그인 시(그리고 권한 변경 시) 세션 ID를 재생성하는 것. URL의 ID를 받지 말고, 쿠키에 HttpOnly/Secure/SameSite를 설정하세요.
클릭재킹이란? 다른 페이지 위에 겹친 투명한 페이지의 버튼을 누르게 만드는 공격
클릭재킹은 진짜 사이트를 공격자 페이지 위에 투명하게 겹쳐, 사용자가 의도치 않은 행동(송금, 설정 변경, 동의)을 하게 만듭니다. 주된 방어는 프레임에 삽입되는 것을 거부하는 것으로, CSP frame-ancestors와 X-Frame-Options를 함께 씁니다.
IDOR이란: ID를 바꾸면 다른 사람의 데이터가 보이는 결함
IDOR은 사용자가 ?id=124를 125로 바꿔 남의 청구서나 개인 데이터를 읽게 만드는 — 취약한 접근 제어입니다. 주된 방어: 매 접근마다 서버 측에서 로그인된 사용자가 이 객체에 권한이 있는지 검사하기. 추측하기 어려운 ID는 해결책이 아닙니다.
오픈 리디렉션이란: 신뢰받는 URL에서 사용자를 다른 사이트로 넘겨 보내는 결함
오픈 리디렉션은 ?next= 형태의 파라미터가 사용자를 임의의 외부 사이트로 넘겨 보내, 신뢰받는 도메인을 피싱에 빌려주는 취약점입니다. 주된 방어법: 외부 URL을 리디렉션 대상으로 절대 받지 않고, 상대 경로와 허용 목록만 허용하는 것.
경로 탐색(Path Traversal)이란 — ../ 로 서버가 절대 내주면 안 되는 파일을 읽는 취약점
경로 탐색은 파일명 입력에 ../ 를 섞어 기준 디렉터리를 빠져나가 .env, 설정, 키를 읽거나 쓰는 취약점입니다. 주된 방어법: 사용자 입력을 날것의 파일 경로로 절대 쓰지 말고, 정규화한 뒤 허용된 기준 디렉터리 안으로 가두는 것.
CSRF(사이트 간 요청 위조)란: 로그인된 사용자가 의도하지 않은 요청을 보내게 만드는 공격
CSRF는 브라우저가 쿠키를 자동으로 붙이는 습성을 악용해, 로그인된 사용자의 브라우저가 의도치 않은 행동을 보내게 만듭니다. 주된 방어는 CSRF 토큰과 SameSite 쿠키입니다. 상태 변경에 GET을 절대 쓰지 마세요.
SQL 인젝션(SQLi)이란: 입력이 데이터베이스 명령을 바꿔 쓰게 되는 결함
SQLi는 입력이 데이터가 아니라 '명령의 일부'로 읽혀 쿼리의 의미를 바꾸는 취약점으로, 곧장 읽기/변경/삭제로 이어집니다. 주된 방어법은 SQL을 문자열로 이어 붙이기를 멈추고, 값을 플레이스홀더(프리페어드 스테이트먼트)로 넘기는 것입니다.
XSS(Cross-Site Scripting)란: 공격자의 스크립트를 다른 사용자의 브라우저에서 실행시키는 결함
XSS는 공격자가 제공한 문자열을 다른 사용자의 브라우저에서 '스크립트로' 실행시켜, 곧장 세션 탈취와 가장으로 이어집니다. 주된 방어법은 출력 시 이스케이프입니다. 프레임워크의 자동 이스케이프를 끄지 마세요.
CVE란? 공용 취약점 식별 체계의 작동 원리
CVE는 취약점에 부여되는 전 세계 공용 식별자입니다(예: CVE-2025-12345). CVE = 이름, CVSS = 심각도, KEV = 실제로 악용되는가. 모니터링의 기준점입니다. 손이 아니라 기계로 추적하세요.
CVSS란? 취약점 심각도 점수와 그 계산 방식
CVSS는 심각도를 0.0–10.0으로 평가합니다. 점수는 정의된 지표(공격 벡터, 복잡도, 권한, 사용자 상호작용, 범위, CIA 영향)를 공개 공식으로 계산한 값이며 — 추측이 아닙니다. 기준을 알면 10.0이 무엇을 뜻하는지 읽을 수 있습니다. 그래도 우선순위는 KEV(악용 여부)와 사용 여부로 정하세요.
RCE(원격 코드 실행)란 — 왜 최악의 취약점 부류인가
RCE는 공격자가 당신의 서버에서 임의의 코드를 실행하게 합니다 — 곧장 장악으로 이어지는 최악의 부류입니다. 피해가 어디까지 퍼지는지는 실행 중인 프로세스의 권한으로 결정됩니다. 핵심 방어는 빠른 패치, CVE 모니터링, 최소 권한입니다.
SSRF(Server-Side Request Forgery)란
SSRF는 외부 입력 URL을 악용해 서버가 내부 자원(내부 IP, 클라우드 메타데이터)에 접근하게 만듭니다. URL을 가져오는 기능이 있다면, 목적지 허용 목록, 내부 대상 차단, 그리고 리디렉션/DNS 리바인딩 우회에 대한 대책이 필요합니다. Capital One 침해의 원인이었습니다.
Equifax 유출 사고(2017) — 패치되지 않은 Apache Struts 결함이 1억 4,700만 명을 유출시킨 경위
원인은 이미 패치까지 나와 있던 알려진 CVE(CVSS 10.0)를 공개 시스템에 적용하지 않은 것이었습니다. 만료된 모니터링 인증서가 76일간 유출을 가렸습니다. 여러분의 환경에서는 자산 인벤토리, 패치 SLA, 머신 모니터링, 그리고 건강한 탐지가 핵심입니다.
Heartbleed(CVE-2014-0160) — 서버 메모리를 유출시킨 OpenSSL 버그
OpenSSL의 메모리 과다 읽기는 개인 키와 세션까지 유출시킬 수 있었습니다. 원인은 서버가 주장된 길이를 신뢰하고 인접 메모리를 읽은 것입니다. 교훈은 전부 새어 나갔다고 보고 행동하는 것(인증서를 재발급하고 모든 비밀 정보를 로테이션), 널리 쓰이는 기반 라이브러리를 모니터링하는 것, 그리고 메모리 안전성을 중시하는 것입니다.
Log4Shell(CVE-2021-44228) — 로깅 라이브러리의 결함과, 사용 여부를 바로 확인할 수 없었던 이유
Log4j의 CVSS 10.0 버그. 핵심 문제는 전이 의존성, 즉 자신도 모르게 쓰던 라이브러리를 통해 영향을 받는 것이었습니다. 수동적인 로깅 경로가 공격 벡터가 되었습니다. SBOM, 머신 모니터링, 빠른 패치, 그리고 후속 CVE 추적이 교훈입니다.
XZ Utils 백도어(CVE-2024-3094) — 신뢰받던 공동 메인테이너에 의한 공급망 공격
신뢰받던 메인테이너가 xz에 백도어를 심은 공급망 공격. 한 엔지니어가 로그인이 느려진 것을 알아채 안정 배포 직전에 발견했습니다. 표적은 코드가 아니라 사람과 신뢰였습니다. 의존성을 최소화하고, 버전을 핀 고정하고, 재현 가능하게 빌드하고, 이상을 끝까지 쫓고, 메인테이너를 지원하십시오.