도입부
오늘은 JetBrains TeamCity의 역직렬화 취약점(CVE-2026-63077)이 CISA KEV에 등재되며 실제 공격에 악용 중임이 확인되었습니다. 또한 MonsterInsights Pro 배포 채널이 손상되어 백도어가 유포된 사건(CVE-2026-11976)과, 자동화된 SSH 공격자가 로그인 후 단 22초 만에 시스템에 지속성을 확보하는 기법이 관측되었습니다. 국내에서는 VMware와 Cisco 제품의 보안 업데이트가 발표되었으니 운영 중인 환경의 패치 적용이 시급합니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-63077 — JetBrains TeamCity
JetBrains TeamCity에서 신뢰할 수 없는 데이터 역직렬화로 인증 없이 원격 코드 실행(RCE)이 가능한 취약점입니다. 에이전트 폴링 프로토콜을 통해 악용됩니다. 랜섬웨어 사용 여부는 확인되지 않았으나 EPSS가 60%로 매우 높아 30일 내 악용 확률이 높습니다. CI/CD 파이프라인의 핵심 인프라인 TeamCity를 사용 중이라면 즉시 최신 버전으로 업데이트하세요. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
VMware 제품 보안 업데이트 권고
Broadcom(구 VMware)이 ESXi, Workstation, Fusion의 Out-of-bounds Read(CVE-2026-41703) 및 Out-of-bounds Write(CVE-2026-47876) 취약점을 해결한 보안 업데이트를 발표했습니다. 국내 공공기관과 기업에서 광범위하게 사용되는 VMware 제품군이므로 가상화 인프라 관리자는 즉시 패치를 적용해야 합니다. 공지 보기
Cisco 제품 보안 업데이트 권고
Cisco Catalyst SD-WAN Software에서 Improper Input Validation(CVE-2026-20303) 및 Improper Access Control 취약점이 발견되어 보안 업데이트가 발표되었습니다. 국내 네트워크 장비 시장에서 높은 점유율을 가진 Cisco 제품군이므로 SD-WAN 환경을 운영 중이라면 반드시 확인하세요. 공지 보기
picklescan 제품 보안 업데이트 권고
picklescan에서 Incomplete List of Disallowed Inputs 취약점(CVE-2026-53873)이 발견되었습니다. picklescan은 머신러닝 모델 파일의 보안을 검사하는 도구로, 최근 MLOps 환경에서 사용이 증가하고 있어 주목할 필요가 있습니다. 공지 보기
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| squizlabs/php_codesniffer | composer | high | < 3.13.6 | 3.13.6 |
| ngx-extended-pdf-viewer | npm | high | >= 27.0.0-rc.0, < 29.0.0-rc.3 | 29.0.0-rc.3 |
| pdfjs-dist | npm | high | >= 5.6.83, < 6.2.108 | 6.2.108 |
| craftcms/cms | composer | high | >= 5.0.0-RC1, < 5.10.8 | 5.10.8 |
| craftcms/cms | composer | high | >= 5.0.0-RC1, < 5.10.7 | 5.10.7 |
| craftcms/cms | composer | high | >= 5.0.0-RC1, < 5.10.6 | 5.10.6 |
| league/commonmark | composer | high | >= 2.0.0, < 2.9.0 | 2.9.0 |
| league/commonmark | composer | high | >= 1.5.0, < 2.9.0 | 2.9.0 |
| league/commonmark | composer | high | >= 1.5.0, < 2.9.0 | 2.9.0 |
| league/commonmark | composer | high | >= 0.6.0, < 2.9.0 | 2.9.0 |
| js-yaml | npm | high | >= 4.0.0, < 4.3.1 | 4.3.1 |
| nx | npm | high | >= 20.8.0, < 22.7.7 | 22.7.7 |
| statamic/cms | composer | high | < 5.74.1 | 5.74.1 |
Craft CMS에서 무려 3건의 고위험 취약점이 연속으로 발표되었습니다. 특히 Twig 샌드박스 우회를 통한 인증된 RCE(5.10.7 미만)와 조건부 설정 우회를 통한 RCE(5.10.6 미만)는 관리자 계정을 탈취한 공격자가 서버 전체를 장악할 수 있는 위험이 있습니다. Craft CMS 5.x를 사용 중이라면 5.10.8 이상으로 즉시 업데이트하세요.
league/commonmark는 Markdown 파싱 시 서비스 거부(DoS)를 유발하는 4건의 취약점이 동시에 패치되었습니다. 사용 중인 경우 2.9.0 이상으로 업데이트해야 합니다.
🧩 주요 스택 관련
Linux Kernel (다수)
오늘 총 9건의 Linux Kernel 취약점이 보고되었습니다. 주요 내용은 다음과 같습니다:
- CVE-2026-64583: Broadcom BDC UDC 드라이버의 IRQ 처리 문제
- CVE-2026-64584: USB MIDI 가젯 드라이버의 작업 취소 경쟁 조건
- CVE-2026-64588: FUSE-uring에서
ring->ready데이터 경쟁 조건 - CVE-2026-64589: I2C 코어에서 어댑터 등록 실패 시 NULL 역참조
- CVE-2026-64591: Intel IOMMU SVA 바인드 해제 경로 WARNING
이들 취약점은 대부분 미평가 상태이지만, USB 드라이버와 IOMMU 등 커널 핵심 서브시스템의 안정성에 영향을 미칩니다. 안정적인 서버 운영을 위해 배포판 커널 업데이트를 주시하세요.
PHP (다수)
다수의 WordPress 플러그인 및 PHP 기반 CMS에서 PHP 객체 주입(PHP Object Injection) 취약점이 대량 보고되었습니다. 다음과 같은 WordPress 테마/플러그인에서 발견되었습니다:
- Ajax Search Lite (CVE-2026-28139, CVSS 9.8)
- Export User Data (CVE-2026-65552, CVSS 9.8)
- WPBruiser (CVE-2026-65556, CVSS 9.8)
- 다수 WordPress 테마 (69 Clothing, A.Williams, Abelle, Abogado, Accalia 등)
WordPress 사이트를 운영 중이라면 설치된 모든 플러그인과 테마의 업데이트를 확인하고, 사용하지 않는 플러그인은 삭제하세요.
PostgreSQL
TimescaleDB (CVE-2026-70635, CVSS 7.1): Simple8b 압축 인코딩 값 조작으로 인한 범위 밖 읽기(out-of-bounds read) 취약점이 발견되었습니다. TimescaleDB를 PostgreSQL 확장으로 사용 중이라면 커밋 517c13e가 포함된 버전으로 업데이트해야 합니다.
Laravel/Statamic
Statamic CMS (CVE-2026-64665, CVSS 8.1): OAuth 로그인 활성화 시 이메일 인증을 확인하지 않는 공급자를 통해 기존 사용자(슈퍼 관리자 포함)로 로그인이 가능한 계정 탈취 취약점입니다. Statamic 5.74.1 또는 6.24.0 이상으로 업데이트하세요.
Node.js
Nx (GHSA-vp3h-ghgh-jr7g, CVE-2026-71476): 자체 호스팅 원격 캐시에서 Zip-Slip 취약점이 발견되었습니다. Nx 22.7.7 이상으로 업데이트하세요.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-63077 | N/A | 60% | JetBrains TeamCity 역직렬화 RCE — KEV 등재, 실제 악용 중 |
| CVE-2026-11976 | 10.0 | N/A | MonsterInsights Pro 배포 채널 손상 → 백도어 포함된 플러그인 유포 |
| CVE-2026-14812 | 10.0 | N/A | Premium SEO WordPress 플러그인에 숨겨진 관리자 계정 생성 백도어, RCE 가능 |
| CVE-2026-66909 | 9.8 | N/A | Apache CXF JMS 전송에서 네이티브 Java 역직렬화 — 원격 코드 실행 가능 |
| CVE-2026-1728 | 9.8 | 22% | WSO2 제품에서 저권한 토큰으로 관리자 REST API 접근 가능 → 전체 관리자 계정 탈취 |
| CVE-2026-5430 | 10.0 | 13% | JWT 인증 메커니즘이 지원되지 않는 알고리즘도 수용 → 알고리즘 혼동 공격으로 인증 우회 |
| CVE-2026-65553 | 10.0 | N/A | WordPress Spider Analyser 플러그인에서 인증 없이 원격 코드 실행 |
| CVE-2026-67870 | 9.8 | 19% | open62541 OPC UA 서버에서 AddReferences 처리 검증 불완전 → 원격 공격 가능 |
🌐 위협 동향
22 Seconds to Compromise: 자동화된 SSH 공격자의 빠른 지속성 확보
SANS ISC 게스트 다이어리에서는 공격자가 SSH 인증에 성공한 후 단 22초 만에 시스템에 지속성을 확보하는 자동화된 공격 기법이 관측되었습니다. 이는 스크립트 기반의 자동화된 작업으로, 로그인 직후 SSH 키 추가, 크론 작업 등록, 백도어 설치 등을 매우 빠르게 수행합니다. SSH 키 기반 인증과 IP 기반 접근 제어, fail2ban 등의 추가 보호 조치가 필수적입니다. 원문
MonsterInsights Pro 배포 채널 손상 — 공급망 공격
CVE-2026-11976으로 등록된 이 사건은 인기 WordPress 통계 플러그인인 MonsterInsights Pro의 공식 배포 버킷(monster-insights.s3.amazonaws.com)이 손상되어, 정식 배포 버전(10.2.2, 10.2.0)에 class-system-check.php라는 악성 파일이 포함된 채 유포된 심각한 공급망 공격입니다. 3가지 변종이 관측되었으며, 최소 2025년 7월 20일부터 활동이 있었습니다. MonsterInsights Pro를 사용 중이라면 즉시 설치를 중단하고 로그를 분석해야 합니다.
CISA ICS 분야 보안 권고
CISA는 Medixant RadiAnt DICOM 뷰어(의료 영상), Johnson Controls TL280(빌딩 자동화), ABB Ability Zenon(산업 제어) 등 3건의 ICS/의료 기기 권고를 발표했습니다. 의료 및 산업 현장에서 사용되는 장비이므로 해당 분야 운영자는 즉시 패치 여부를 확인하세요.
“Don’t Revoke That Token Yet”: npm supply chain worm 분석
SANS ISC는 npm 생태계에서 발생한 keyv/cacheable 패키지 웜 사건을 분석했습니다. 일반적인 공급망 공격 대응은 토큰 폐기이지만, 이번 사건에서는 공격자가 패키지 게시 권한이 있는 토큰을 탈취한 후 악성 코드를 주입했습니다. 단순히 토큰을 폐기하는 것만으로는 부족하며, 전체 CI/CD 파이프라인과 시크릿 관리 체계의 재점검이 필요합니다. 원문
오늘의 체크포인트
- JetBrains TeamCity 즉시 패치: CISA KEV 등재, EPSS 60%로 실제 공격 사용 중. TeamCity 서버를 최신 버전으로 업데이트하세요.
- MonsterInsights Pro 사용자: 배포 채널 손상으로 인해 현재 다운로드 가능한 버전이 모두 악성코드를 포함하고 있습니다. 즉시 서비스에서 제거하고 로그를 분석하세요.
- WordPress 플러그인 일괄 업데이트: Premium SEO, Spider Analyser 등 CVSS 10.0짜리 플러그인 취약점이 다수 보고되었습니다. 사용하지 않는 플러그인은 삭제하고 나머지는 최신 버전으로 업데이트하세요.
- Craft CMS 5.x → 5.10.8 이상: 연속 3건의 인증된 RCE 취약점이 패치되었습니다. 관리자 권한이 탈취된 경우 사이트 전체가 장악될 수 있습니다.
마무리
오늘의 가장 시급한 조치는 KEV에 등재된 JetBrains TeamCity 패치와, 공급망이 손상된 MonsterInsights Pro의 제거입니다. 특히 WordPress 생태계에서 다수의 CVSS 10.0 취약점이 쏟아져 나왔으니, 운영 중인 사이트의 플러그인 보안 상태를 반드시 점검하세요.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.