오늘 위협 지형의 핵심은 두 가지입니다. 첫째, **Progress LoadMaster 명령 주입 취약점(CVE-2026-8037)**이 CISA KEV에 등재되며 실제 악용이 확인됐고, EPSS 99.3%로 사실상 모든 LoadMaster 인스턴스가 공격 대상입니다. 둘째, D-Link DWR-M961 라우터에서 17건에 달하는 원격 명령 주입/버퍼 오버플로 취약점이 하루에 대량 공개되어, 노출된 장비의 즉각적인 점검이 필요합니다. 또한 국내에서는 Apache Tomcat과 Langflow 보안 업데이트 권고가 발표되었습니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-8037 — Progress LoadMaster Command Injection Vulnerability
Progress LoadMaster 어플라이언스의 여러 명령 엔드포인트에서 입력 값이 제대로 검증되지 않아, 인증 없는 원격 공격자가 임의 명령을 실행할 수 있는 취약점입니다. 랜섬웨어 사용 여부는 현재 “Unknown"으로 확인되지 않았지만, EPSS가 **99.3%**로 사실상 전 인스턴스가 30일 내 악용될 확률을 보입니다. LoadMaster를 운영 중이라면 Progress가 제공하는 최신 패치를 즉시 적용하고, 외부 노출을 최소화하세요. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
Apache 제품 보안 업데이트 권고
Apache Tomcat에서 민감 데이터 암호화 누락(Missing Encryption of Sensitive Data) 취약점(CVE-2026-34486)이 해결된 업데이트가 발표되었습니다. 톰캣은 국내 공공·금융·기업 환경에서 가장 널리 쓰이는 WAS 중 하나이므로, 영향받는 버전 사용 시 즉시 업데이트가 필요합니다. 공지 보기
Langflow 제품 보안 업데이트 권고
Langflow OSS에서 **코드 삽입(Code Injection) 취약점(CVE-2026-9198)**이 발견되어 업데이트가 발표되었습니다. 최근 국내에서도 AI/LLM 워크플로우 구축용으로 Langflow를 도입하는 사례가 늘고 있어, 운영 중이라면 해결 버전으로 조속히 업그레이드하세요. 공지 보기
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| crypto-js | npm | critical | < 4.0.0 | 4.0.0 |
crypto-js는 JavaScript 생태계에서 가장 오래 사용된 암호화 라이브러리 중 하나로, 의존성 체인을 통해 불충분한 엔트로피로 인한 취약한 비밀키 생성이 가능해집니다. 과거에도 crypto-js의 난수 품질 문제가 반복적으로 제기되어 왔으며, 이번 4.0.0 릴리스는 하위 호환성이 깨질 수 있으므로 기존 코드의 테스트가 함께 필요합니다.
🧩 주요 스택 관련
CVE-2026-52880 — Klever-Go (Go 블록체인 프로토콜) — Docker
Klever-Go 1.7.14~1.7.17 버전에서 REST API가 Go 기본 HTTP 서버 설정으로 실행되어 원격 DoS가 가능합니다. Docker 환경에서 컨테이너로 구동 중이라면 이미지 태그를 확인하고 최신 버전으로 교체하세요. (CVSS 7.5, EPSS 0.3%)
CVE-2026-16267 — Newsletters WordPress 플러그인 — PHP
4.16 이전 버전에서 공개 폼의 unserialize 입력에 클래스 제한이 없어 인증 없는 PHP 객체 주입이 가능합니다. WordPress 사이트에서 해당 플러그인 사용 시 4.16 이상으로 업데이트하세요. (CVSS 미평가)
CVE-2026-68081 — Linux Kernel (KVM: nVMX)
중첩 VMX(VMLAUNCH/VMRESUME) 에뮬레이션 중 잘못된 게스트 상태로 VM-Enter가 실패할 때 vmcs12 페이지가 제대로 해제되지 않는 문제가 수정되었습니다. KVM 호스트를 운영한다면 최신 커널로 업데이트하는 것을 권장합니다. (CVSS 미평가)
CVE-2026-68082 — Linux Kernel (libceph)
decode_lockers()에서 두 개의 불안전한 bare decode로 인해 악의적 Ceph OSD가 slab-out-of-bounds 읽기를 유발할 수 있습니다. Ceph 클러스터를 운영 중이라면 커널 패치를 확인하세요. (CVSS 미평가)
CVE-2026-66061 — Home Assistant iOS Companion
iOS Companion 앱이 NFC/QR 태그 링크를 OS 라우팅(유니버설 링크)으로 받으면 실제 물리 스캔과 동일하게 처리하는 취약점입니다. 2026.5.0 이전 버전에서 해당되며, 자동화에 태그 트리거를 사용하는 환경이라면 앱 업데이트가 필요합니다. (CVSS 7.1, EPSS 0.1%)
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-14526 | 9.8 | 0.6% | WordPress AI Copilot 플러그인 인가 우회 — 인증 없이 콘텐츠 생성 가능 |
| CVE-2026-50540 | 9.6 | 0.4% | Kata Containers kata-runtime — 검증되지 않은 구성 경로로 호스트 코드 실행 |
| CVE-2026-46409 | 9.6 | 0.4% | OpenYak 데스크톱 백엔드 — 로컬 HTTP API에 Origin 검증 부재로 CSRF/로컬 공격 |
| CVE-2026-47243 | 9.2 | 0.2% | Kata Containers runtime-rs virtio-fs — 게스트 루트에서 호스트 루트 탈출 |
| CVE-2026-48170 | 9.1 | 0.3% | scim-patch 라이브러리 — SCIM PATCH의 __proto__ 키로 프로토타입 오염 |
| CVE-2026-71944 외 16건 | 9.3 | 미평가 | D-Link DWR-M961 C1 — 폼 인터페이스 다수에서 원격 명령 주입/버퍼 오버플로 |
D-Link DWR-M961 건(총 17건)은 모두 펌웨어 1.1.5_C1_202607071108 미만 또는 1.1.2_C1_202602110044에서 발생하는 비인증 원격 명령 실행 문제로, 해당 공유기를 사용 중이라면 펌웨어 업데이트가 필수입니다. 제조사의 지원 종료(EOL) 상태라면 장비 교체를 검토하세요.
🌐 위협 동향
CISA, KEV 카탈로그에 Progress LoadMaster 추가
CISA가 CVE-2026-8037을 KEV 카탈로그에 등재하며 실제 악용을 공식 확인했습니다. 해당 취약점은 Progress LoadMaster의 명령 주입 문제로, CISA는 모든 연방 기관에 8월 말까지 패치 적용을 권고했습니다. LoadMaster는 ADC(Application Delivery Controller)로 널리 사용되므로, 인터넷에 노출된 장비는 즉시 점검이 필요합니다. 원문
CPDLC over ATN-B1 항공 통신 프로토콜 취약점
CISA ICS 자문에서 ATN-B1 기반 CPDLC(컨트롤러-파일럿 데이터링크 통신)가 레거시 평문·비인증 무선 링크에 의존해, 메시지 주입·DoS·강제 세션 리셋이 가능하다고 밝혔습니다. 항공 안전에 직접적인 위협은 아니지만, 항공 통신 인프라 보안 강화 필요성을 시사합니다. 원문
ISC: Linux 셸 포렌식 — Atuin 셸 히스토리 도구 분석
SANS ISC는 Linux 셸 히스토리가 평문 파일($HOME/.bash_history 등)에 기록되는 한계를 지적하며, 현대적 셸 히스토리 도구인 Atuin의 포렌식 관점 분석을 다뤘습니다. 공격자 침해 지표(IOC) 수집 시 Atuin의 SQLite 저장소가 중요한 증거가 될 수 있음을 시사합니다. 원문
ISC: 금요일 스톰캐스트
ISC Stormcast를 통해 이번 주 관측된 주요 보안 이슈를 요약 브리핑했습니다. 원문
오늘의 체크포인트
- Progress LoadMaster를 운영 중인가? — CVE-2026-8037 패치를 즉시 적용하고, 노출된 관리 인터페이스의 접근 제어를 강화하세요.
- D-Link DWR-M961 사용 여부 확인 — 펌웨어 1.1.5_C1_202607071108 이상으로 업데이트. 지원 종료 장비라면 교체 계획을 세우세요.
- npm 의존성에 crypto-js가 포함되어 있는가? — 4.0.0 미만이라면 업그레이드하고, 하위 호환성(특히 비밀키 생성 로직)을 함께 테스트하세요.
- Apache Tomcat / Langflow 업데이트 — 국내 공지된 두 건의 패치를 일정에 반영하세요.
마무리
오늘은 단일 제품군(D-Link)에 취약점이 집중된 날이었지만, 실제 악용이 확인된 LoadMaster 건이 가장 시급합니다. 운영 환경의 노출 범위를 먼저 파악하고, 패치 가능한 항목부터 오늘 안에 조치하세요.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.