오늘은 Critical 등급 신규 CVE가 18건 집중 등록되면서 위협 표면이 크게 확대됐습니다. 특히 SiYuan 노트 애플리케이션에서 무려 8건의 Critical(XSS→RCE) 취약점이 한꺼번에 공개되었고, Laravel Socialite Facebook 인증 우회(CVE-2026-73683) 와 Pandora TAR 추출 경로 탐색(CVE-2026-74764, CVSS 10.0) 도 주목할 만합니다. CISA KEV 신규 등재는 없었으나 WordPress 플러그인을 통한 인증 우회 및 파일 삭제 취약점이 다수 포함되어 있어 운영 환경 점검이 필요합니다.
🚨 실제 악용 확인 (CISA KEV)
오늘 KEV 신규 등재 없음.
🇰🇷 국내 보안공지 (KrCERT/KISA)
Cisco 제품 보안 업데이트 권고
Cisco Secure Firewall ASA/FTD 소프트웨어에서 Heap Inspection 취약점(CVE-2026-20349)이 발견되었습니다. 공격자가 메모리에서 민감 정보를 유출할 수 있어 국내 공공기관 및 기업에서 널리 사용 중인 Cisco 방화벽/UTM 장비의 펌웨어 업데이트가 필요합니다.
공지 보기
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음.
🧩 주요 스택 관련
Linux Kernel (다수 CVE, 미평가)
오늘 30여 건의 Linux kernel 패치가 포함된 CVE가 게시되었습니다. 주요 수정 내용은 다음과 같습니다:
- liveupdate, binder, bpf 등 서브시스템의 검증 누수 수정
- f2fs 파일시스템의 데드락 조건 개선
- ksmbd SMB 서버의 권한 검증 강화
- wifi (mac80211/cfg80211) 프레임 검증 추가
커널 안정 버전을 사용 중이라면 최신 LTS 업데이트를 확인하세요. 대부분은 아직 CVSS 점수가 부여되지 않았으나 안정성을 위해 조속한 적용이 권장됩니다.
PHP (WordPress 플러그인)
- CVE-2026-18438 — Templately 플러그인 (≤3.7.1) 원격 코드 실행 (CVSS 8.8, EPSS 1%)
- CVE-2026-15162 — Object Sync for Salesforce 플러그인 SQL 인젝션 (CVSS 7.5)
- CVE-2026-16145 — Invisible Anti-Spam 플러그인 Stored XSS (CVSS 7.2)
운영 중인 WordPress 사이트에서 해당 플러그인 사용 여부를 확인하고 즉시 업데이트하거나 비활성화하세요.
Laravel
- CVE-2026-73683 (Critical) — Socialite Facebook provider OIDC nonce 검증 누락으로 인증 우회 (CVSS 9.2).
getUserByOIDCToken()함수가 nonce 클레임을 확인하지 않아 탈취된 id_token 재사용이 가능합니다.
Node.js
- CVE-2026-73041 (Critical, CVSS 9.4) — SiYanu v3.7.4 미만에서 PDF 주석 필드에 악성 스크립트 주입 가능. Node.js 접근 권한으로 RCE로 이어집니다.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-74764 | 10.0 | N/A | Pandora TAR 추출 경로 탐색 → 임의 파일 생성 |
| CVE-2026-15826 | 9.8 | 0.8% | User Profile Builder (WP) 타입 혼동 인증 우회 |
| CVE-2026-14484 | 9.1 | 0.8% | RapiSafe (WP) 파일 경로 검증 부재 → 임의 파일 삭제 |
| CVE-2026-73683 | 9.2 | 0.4% | Laravel Socialite Facebook OIDC nonce 미검증 인증 우회 |
| CVE-2026-73041 | 9.4 | N/A | SiYuan v3.7.4 미만 PDF 주석 → Node.js RCE |
| CVE-2026-73046 | 9.3 | N/A | SiYuan Basic Auth 무제한 시도 → 무차별 대입 허용 |
| CVE-2026-73055 | 9.3 | N/A | Shescape ~ 이스케이프 함수 BusyBox 환경에서 tilde 주입 |
| CVE-2026-19598 | 9.8 | N/A | Pods (WP) AJAX 라우터 권한 검증 우회 → 권한 상승 |
🌐 위협 동향
SANS ISC Stormcast (2026-08-14)
ISC 팟캐스트에서는 최근 증가하는 피싱 캠페인과 비정상 HTTP 트래픽 패턴에 대한 분석이 다루어졌습니다. 구체적인 공격 기법보다는 전반적인 위협 환경 변화에 초점을 맞춘 에피소드입니다.
원문
오늘의 체크포인트
- SiYuan v3.7.4 미만 사용자는 즉시 업데이트 — 8건의 Critical RCE/XSS 취약점이 공개되었으며, PDF 주석, 데이터베이스 메뉴, 템플릿 계산 등 다양한 경로로 공격 가능합니다.
- Laravel Socialite Facebook provider 사용자는 nonce 검증 패치 확인 — CVE-2026-73683은 OIDC id_token 재사용을 허용하므로
getUserByOIDCToken()호출 시 nonce 클레임을 검증하는지 반드시 확인하세요. - WordPress 사이트 내 아래 플러그인 점검 — Templately (RCE), User Profile Builder (인증 우회), RapiSafe (파일 삭제), Pods (권한 상승) 등이 포함됩니다. 사용 중인 경우 즉시 업데이트 또는 비활성화.
- Cisco ASA/FTD Heap Inspection 취약점 패치 — 국내 보안공지로 발표된 CVE-2026-20349는 방화벽 장비의 메모리 정보 유출 위험이 있으므로 Cisco 공식 권고에 따라 업데이트하세요.
오늘의 한 줄 정리: SiYuan과 Laravel Socialite, WordPress 플러그인 연쇄 취약점이 가장 시급한 조치 대상입니다. 특히 SiYuan 사용자는 버전 확인 후 즉시 v3.7.4 이상으로 업데이트하세요.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.