오늘은 PostgreSQL에서 15건 이상의 보안 취약점이 일괄 공개되면서 데이터베이스 운영자의 즉각적인 업데이트가 필요합니다. 또한 Wake-on-LAN 웹앱 UpSnap에서 OS 명령 주입 및 인증 우회 취약점(CVSS 9.6~9.8)이 발견되어 EPSS가 높게 나타나고 있습니다. CISA KEV 신규 등재는 없었으나, WordPress 플러그인 다수에서 인증 우회 및 RCE 취약점이 대량으로 보고되었습니다.
🚨 실제 악용 확인 (CISA KEV)
오늘 KEV 신규 등재 없음
🇰🇷 국내 보안공지 (KrCERT/KISA)
오늘 신규 공지 없음
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음
🧩 주요 스택 관련
PostgreSQL 대규모 보안 패치 릴리스 (18.5 / 17.11 / 16.15 / 15.19 / 14.24)
PostgreSQL에서 15건 이상의 취약점이 일괄 수정되었습니다. 주요 내용은 다음과 같습니다.
- CVE-2026-14662, CVE-2026-14664, CVE-2026-14669, CVE-2026-14670, CVE-2026-14676, CVE-2026-14677, CVE-2026-14680, CVE-2026-15742, CVE-2026-16238, CVE-2026-16239, CVE-2026-19385 — 다수의 Heap/Stack/Buffer Overflow, Integer wraparound, Type confusion 취약점으로 공격자가 데이터베이스 서버 프로세스 권한으로 임의 코드 실행 가능
- CVE-2026-15741 — SQL injection in EXTRACT() deparse: 객체 소유자가 pg_dump, psql 등에서 슈퍼유저 권한으로 악의적 SQL 실행 가능
- CVE-2026-18408 — pg_dump 복원 시 신뢰할 수 없는 데이터 포함으로 인한 코드 삽입 (CVE-2025-8714의 미흡한 수정 보완)
- CVE-2026-6464 — psql COPY FROM STDIN 오류 주입으로 서버 관리자가 클라이언트 측 명령 실행 가능
영향: PostgreSQL 18.5, 17.11, 16.15, 15.19, 14.24 미만의 모든 버전. 데이터베이스 운영자는 즉시 패치 적용 필요.
PHP 기반 제품 다수 취약
- CVE-2026-49827 — WebErpMesv2 (PHP) 파일 업로드를 통한 RCE, CVSS 9.8
- CVE-2026-28149 — Headless Single Sign On (PHP) 객체 인젝션, CVSS 9.8
- CVE-2026-28176 — Booking Activities (PHP) 객체 인젝션, CVSS 8.8
- CVE-2026-73670 — CMS (PHP) SQL 인젝션, CVSS 8.6
- CVE-2026-73661, CVE-2026-73664 — FreePBX (PHP) 권한 상승/백업 우회, CVSS 8.6
PHP 기반 애플리케이션을 운영 중이라면 각 제품의 보안 업데이트를 확인하세요.
기타 스택
- SVGO (Node.js) — removeScripts 플러그인이 실행 가능한 콘텐츠를 남길 수 있음 (CVE-2026-73650, CVSS 8.2). 2.8.3/3.3.4/4.0.2 이후 버전으로 업데이트 필요.
- IBM i Access Client Solutions (Windows) — 설정 파일 쓰기 권한 문제로 로컬 권한 상승 (CVE-2026-13094, CVSS 7.8)
- Lenovo Accessories and Display Manager (Windows) — 로컬 권한 상승 (CVE-2026-63423, CVSS 8.5)
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-49481 | 9.6 | 0.9% | UpSnap OS 명령 주입 - ip/mac 필드를 통한 RCE |
| CVE-2026-49819 | 9.8 | 0.6% | UpSnap 인증 우회 → 권한 상승 체인 (POST /api/upsnap/init-superuser) |
| CVE-2026-71193 | 9.6 | 0.5% | OpenStack Designate 존 생성 검증 우회로 오버로드 생성 가능 |
| CVE-2026-15413 | 10.0 | 0.3% | Link Factory WordPress 플러그인 - Ed25519 서명 기반 백도어 |
| CVE-2026-66898 | 9.9 | 0.3% | LXD 백업 복원 시 경로 탐색을 통한 파일 시스템 조작 |
| CVE-2026-27544 | 10.0 | - | QA Analytics (<=5.2.0.0) 인증 없이 원격 코드 실행 |
| CVE-2026-61962 | 10.0 | - | WP BASE Booking (<=6.3.0) 인증 없이 원격 코드 실행 |
| CVE-2026-73649 | 9.8 | - | Velocity.js 템플릿 엔진 - 프로토타입 오염 우회로 RCE (이전 CVE-2026-44966 수정 불완전) |
🌐 위협 동향
Siemens 산업용 제품 다중 취약점 (CISA ICS Advisory)
Siemens Parasolid, License Server, Desigo/PXC 컨트롤러, Siveillance Video 등 다양한 산업 제품에서 RCE, 권한 상승, DoS 취약점이 공개되었습니다. 특히 Siveillance Video Management Server는 인증 없이 원격 코드 실행이 가능하여 제조/에너지 분야 운영자는 긴급 조치가 필요합니다. CISA 권고
Johnson Controls Airwall / Metasys 취약점
Airwall 제품에서 암호 해독, 인증 우회, 파일 읽기 등이 가능하며, Metasys에서는 크로스사이트 스크립팅(XSS)을 통한 세션 하이재킹이 보고되었습니다. 빌딩 자동제어 시스템 관리자는 해당 패치를 확인하세요. CISA 권고
SANS ISC: Gemma4 LLM을 활용한 악성 해시 분석
ISC 다이어리에서는 Gemma4 모델을 Ollama와 함께 사용하여 DShield 센서의 30일간 수집된 악성 파일 해시를 분석한 사례가 소개되었습니다. 실제 위협 인텔리전스에 AI를 활용하는 실험적 접근법으로, 보안 분석가에게 흥미로운 참고 자료입니다. 원문
Linux Kernel Process Accounting 모니터링
Linux 시스템에서 Atuin을 활용한 명령 히스토리 강화와 더불어, Kernel의 Process Accounting 기능을 활용한 프로세스 추적 기법이 논의되었습니다. 서버 침해 조사 시 유용한 forensic 자료가 될 수 있습니다. 원문
오늘의 체크포인트
- PostgreSQL 즉시 업데이트 — 18.5 / 17.11 / 16.15 / 15.19 / 14.24 버전으로 업그레이드하세요. 대부분의 취약점이 원격 코드 실행으로 이어질 수 있습니다.
- UpSnap 사용 환경 점검 — 5.4.0 미만 버전을 사용 중이라면 즉시 패치하거나 네트워크 접근을 제한하세요. EPSS가 0.9%로 실제 악용 가능성이 높습니다.
- WordPress 플러그인 보안 업데이트 — QA Analytics, WP BASE Booking, Link Factory, Customer Email Verification for WooCommerce 등 다수의 플러그인에서 인증 없는 RCE 또는 계정 탈취가 가능합니다. 사용 중인 플러그인 목록을 확인하고 업데이트하세요.
- SVGO (Node.js) 업데이트 — 2.8.3 / 3.3.4 / 4.0.2 미만 버전에서는 removeScripts 플러그인이 우회될 수 있습니다. SVG 최적화를 사용하는 프로젝트는 꼭 업데이트하세요.
오늘의 가장 긴급한 소식은 PostgreSQL의 광범위한 보안 패치와 UpSnap의 명령 주입 취약점입니다. 데이터베이스와 웹 애플리케이션 모두 빠른 대응이 필요합니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.