오늘 CISA KEV에 4건의 신규 취약점이 등재되었으며, 그중 WordPress Core 체인 취약점(CVE-2026-60137 + CVE-2026-63030)은 기본 설치 환경에서 원격 코드 실행까지 가능해 가장 주목됩니다. NVD 24시간 내 1,477건이 게시되었고, 그중 262건이 Critical(CVSS 9.0+)이며, Oracle Fusion Middleware 제품군에 대한 대규모 패치가 포함되어 있습니다. 또한 Chrome 150.0.7871.182에서 12건의 High 등급 취약점이 수정되었습니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-60137 — WordPress Core SQL Injection Vulnerability
WordPress Core에서 플러그인 또는 테마가 신뢰할 수 없는 입력을 파라미터에 전달할 때 발생하는 SQL 삽입 취약점입니다. CVE-2026-63030과 연쇄하여 인증 없이 기본 설치에서 원격 코드 실행(RCE)이 가능합니다.
랜섬웨어 캠페인 사용 여부: Unknown | EPSS: 4.0% (백분위 89)
영향받는 환경: 모든 WordPress Core 설치 (플러그인/테마에 따라)
조치 방향: WordPress 코어 업데이트와 함께 플러그인/테마 입력 검증 강화
링크: NVD
CVE-2026-63030 — WordPress Core Interpretation Conflict Vulnerability
WordPress Core의 해석 충돌 취약점으로, SQL Injection 및 RCE로 이어질 수 있습니다. CVE-2026-60137과 연쇄 공격이 가능합니다.
랜섬웨어 캠페인 사용 여부: Unknown | EPSS: 8.9% (백분위 95)
영향받는 환경: 위와 동일
조치 방향: WordPress 최신 버전으로 즉시 업데이트
링크: NVD
CVE-2026-0770 — Langflow Inclusion of Functionality from Untrusted Control Sphere Vulnerability
Langflow에서 신뢰할 수 없는 제어 영역의 기능 포함 취약점으로, 원격 공격자가 임의 코드를 실행할 수 있습니다. EPSS가 10.4%로 실제 악용 가능성이 높습니다.
랜섬웨어 캠페인 사용 여부: Unknown | EPSS: 10.4% (백분위 95)
영향받는 환경: Langflow를 사용하는 모든 시스템
조치 방향: Langflow 최신 버전으로 업데이트
링크: NVD
CVE-2021-27137 — DD-WRT Stack-Based Buffer Overflow Vulnerability
DD-WRT의 UPnP 내부 버퍼 오버플로우 취약점으로, 인증되지 않은 공격자가 코드 실행을 유발할 수 있습니다.
랜섬웨어 캠페인 사용 여부: Unknown | EPSS: 5.4% (백분위 92)
영향받는 환경: DD-WRT 펌웨어 사용 라우터
조치 방향: DD-WRT 최신 펌웨어로 업데이트
링크: NVD
🧩 주요 스택 관련
PostgreSQL
- CVE-2026-55084 (CVSS 8.8) — DHIS2의 SqlView API 엔드포인트에서 SQL 인젝션 취약점.
filter파라미터를 통해 인증된 사용자가 데이터베이스 조작 가능. DHIS2가 PostgreSQL을 백엔드로 사용하는 경우 영향. DHIS2 최신 패치 적용 필요.
PHP
- CVE-2026-65049 (CVSS 8.4) — Ninja Forms 플러그인 3.14.8 이하 (WordPress Multisite)에서 서브사이트 관리자가 네트워크 전체의 Ninja Forms 데이터를 삭제할 수 있는 권한 상승 취약점. WordPress Multisite 운영 시 플러그인 업데이트 필요.
- CVE-2026-63358 (CVSS 8.4) — FileGator의
/chmoditemsAPI에서 유닉스 권한 값을 검증 없이chmod()에 전달하여 인증된 사용자가 권한을 root로 상승 가능. FileGator 사용자는 업데이트 확인. - CVE-2026-47685, CVE-2026-47687 (CVSS 7.3) — FOG(오픈소스 클로닝/이미징 솔루션)의 인증되지 않은 인벤토리 엔드포인트와 HTML 렌더링에서 XSS 및 데이터 변조 가능. FOG 1.5.10.1832 / 1.6.0-beta.2313 이상으로 업데이트.
Windows
- CVE-2026-47054 (CVSS 7.8) — Oracle VM VirtualBox 7.2.12에서 로컬 사용자가 권한 상승 가능. VirtualBox 호스트의 보안 업데이트 필요.
- CVE-2026-21575 (CVSS 7.1) — Sourcetree for Mac/Windows 3.4.11 이상에서 인증된 공격자가 원격 코드 실행 가능. Sourcetree 최신 버전으로 업데이트.
Android
- CVE-2026-16373, CVE-2026-16404 — Firefox for Android에서 정보 노출 및 스푸핑 취약점. Firefox 153에서 수정됨. Android 사용자는 Firefox 업데이트 필요.
- CVE-2026-16419, CVE-2026-16424 — Chrome for Android에서 샌드박스 이스케이프 가능. Chrome 150.0.7871.182에서 수정됨.
Chrome
- CVE-2026-16413 ~ CVE-2026-16424 (12건, 모두 미평가/High) — Google Chrome 150.0.7871.182 이전 버전에서 다수의 취약점 수정. ANGLE, Chromecast, Extensions, V8, WebAudio, UI, GPU 등 다양한 컴포넌트에서 샌드박스 이스케이프, 임의 코드 실행, 데이터 유출 가능. Chrome 브라우저를 최신 버전(150.0.7871.182 이상)으로 업데이트 필수.
🔴 신규 Critical 하이라이트
오늘 게시된 Critical 취약점 중 파급력이 큰 일부를 선별했습니다. 특히 Oracle Fusion Middleware 제품군에 대한 대규모 패치(7월 Critical Patch Update)가 다수 포함되어 있습니다.
| CVE | CVSS | 요약 |
|---|---|---|
| CVE-2026-8982 | 10.0 | Autel Maxi Charger Single 펌웨어 V1.03.51 이하에서 숨겨진 관리자 계정 존재, 장치 고유값 기반 비밀번호 유추 가능 |
| CVE-2026-8983 | 10.0 | 동일 제품에서 하드코딩된 인증 토큰으로 관리 기능 우회 가능 |
| CVE-2026-8984 | 10.0 | 동일 제품의 TCP 9002 포트 /test 엔드포인트를 통해 인증 없이 원격 코드 실행 (root 권한) |
| CVE-2026-8985 | 10.0 | 동일 제품의 OS 명령 삽입 취약점 (url 파라미터) |
| CVE-2026-47056 | 10.0 | Oracle Data Integrator Rest Service (12.2.1.4.0, 14.1.2.0.0) — 인증 없이 HTTP를 통해 전체 장악 가능 |
| CVE-2026-60217 | 10.0 | Oracle Coherence Core (12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0) — TCP를 통해 인증 없이 전체 장악 |
| CVE-2026-60358 | 10.0 | Oracle Access Manager Authentication Engine (12.2.1.4.0, 14.1.2.1.0) — HTTP를 통해 인증 없이 전체 장악 |
| CVE-2026-47392 | 9.9 | PraisonAI (v4.6.40 미만)에서 execute_code() 샌드박스 우회로 원격 코드 실행 가능 |
오늘의 체크포인트
- WordPress 사이트 즉시 점검 — CVE-2026-60137 + CVE-2026-63030 체인 공격 가능. WordPress 코어를 최신 버전으로 업데이트하고, 플러그인/테마의 입력 검증 상태를 확인하세요.
- Langflow 업데이트 — EPSS 10.4%로 높은 악용 가능성. Langflow 인스턴스가 있다면 최신 버전으로 즉시 패치하세요.
- Oracle Critical Patch Update (7월) 적용 — 오늘 Oracle Fusion Middleware 제품군(WebLogic, Coherence, Access Manager, Unified Directory, Data Integrator 등)에 CVSS 10.0 다수 포함. Oracle 제품을 운영 중이라면 CPU 7월 패치를 우선 적용하세요.
- Chrome 150.0.7871.182 업데이트 — 12건의 High 등급 취약점이 수정되었습니다. 브라우저 자동 업데이트를 확인하거나 수동으로 업데이트하세요.
오늘은 WordPress 체인 취약점과 Oracle 대규모 패치가 특히 위험합니다. 두 가지 모두 실제 공격에 악용될 가능성이 높으므로 우선 조치가 필요합니다. Chrome과 Langflow도 빠른 업데이트를 권장합니다.
매일 아침 CVE 동향을 릿치 블로그에서 만나보세요.