Oracle HTTP Server/WebLogic Proxy Plug-in의 improper access control 취약점(CVE-2026-21962)이 CISA KEV에 추가되며 실제 악용이 확인되었습니다. 또한 다수의 WordPress 플러그인에서 인증 없이 원격 코드 실행이나 권한 상승이 가능한 Critical 취약점이 무더기로 발표되어 운영 환경의 빠른 대응이 필요합니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-21962 — Oracle HTTP Server 및 Oracle WebLogic Server Proxy Plug-in
Oracle HTTP Server와 WebLogic Server Proxy Plug-in에 improper access control 취약점이 존재합니다. 공격자가 이를 악용하면 인증 없이 중요 데이터에 접근하거나 데이터를 생성/삭제/수정할 수 있습니다. 랜섬웨어 사용 여부는 아직 확인되지 않았으나 EPSS 43.2%로 30일 내 악용 확률이 매우 높습니다. Oracle HTTP Server 또는 WebLogic Proxy Plug-in을 운영 중이라면 즉시 Oracle의 보안 패치를 적용하세요. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
Cisco 제품 보안 업데이트 권고
Cisco Secure Workload에서 Injection 취약점(CVE-2026-20231)과 Improper Access Control 취약점(CVE-2026-20315)이 해결된 업데이트가 발표되었습니다. Cisco Secure Workload를 사용 중인 조직은 최신 버전으로 업데이트해야 합니다. 공지 보기
美 CISA 발표 주요 Exploit 정보공유 (Update. 2026-08-24)
CISA가 자주 악용되는 취약점 목록을 업데이트했습니다. 여기에는 오늘 KEV로 추가된 CVE-2026-21962(Oracle)가 포함되어 있으며, 국내에서도 Oracle 제품 사용 비중이 높아 주의가 필요합니다. 공지 보기
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| django-cms | pip | HIGH | < 5.0.8 | 5.0.8 |
django CMS의 Plugin move 엔드포인트에서 cyclic reparenting을 허용하는 취약점으로, 서비스 거부(DoS) 공격이 가능합니다. django CMS를 사용하는 사이트는 5.0.8 이상으로 업데이트하세요.
🧩 주요 스택 관련
Node.js
- exceljs-hardened: Workbook.addImage()에서 경로 순회 취약점(CVE-2026-78208, CVSS 8.7)으로 Node.js 프로세스가 접근 가능한 모든 파일을 읽을 수 있습니다. 5.0.0 이상으로 업데이트하세요.
- fast-uri: URI 파서에서 여러 취약점이 발견되었습니다(CVE-2026-75899, CVE-2026-75931, CVE-2026-75975, CVE-2026-76172). 호스트네임 이중 디코딩, 스킴-상대 참조 파싱 불일치, IPv6 리터럴 검증 부재 등으로 인해 파싱 결과가 서로 달라 보안 우회가 가능합니다. fast-uri를 의존성으로 사용하는 패키지도 영향을 받을 수 있으니 최신 버전으로 업데이트하세요.
- Mercado Pago Node.js SDK: API 요청 경로에 percent-encoding 없이 caller 제공 식별자를 삽입하여 URL 구조 문자를 그대로 포함시키는 취약점(CVE-2026-76842, CVSS 8.8)이 있습니다.
PostgreSQL
- TypeORM: SelectQueryBuilder.distinctOn에서 입력 검증 없이 배열을 조인하여 SQL 문에 삽입하는 취약점(CVE-2026-76848, CVSS 8.7)이 발견되었습니다. PostgreSQL 드라이버 사용 시 영향을 받습니다.
PHP
- Craft CMS: 컨트롤 패널 element-search 조건 처리에서 JSON cleanse 우회로 Yii behavior 설정 키를 해석하여 인증된 사용자의 원격 코드 실행이 가능합니다(CVE-2026-78416, CVSS 8.7). 4.18.2/5.10.6 이상으로 업데이트.
- AzuraCast: Liquidsoap 설정 필드에 권한 검사 없이 접근할 수 있는 취약점(CVE-2026-76836, CVSS 8.7).
- Combodo iTop: 사용자 환경설정에서 PHP 객체 주입으로 원격 코드 실행 가능(CVE-2026-40877, CVSS 8.7). 3.2.3 이상으로 업데이트.
- CakePHP: Message::setHeaders()에서 CRLF 제거 누락으로 헤더 인젝션 취약점(CVE-2026-77634, CVSS 8.2). 4.5.12/4.6.5/5.1.8/5.2.14/5.3.7 이상으로 업데이트.
Laravel
- Filament: 다단계 인증(MFA) 바이패스 취약점(CVE-2026-77567, CVSS 8.1). 4.12.0/5.7.0 이상으로 업데이트.
- Hi.Events: 웹훅 등록 시에만 내부 URL 유효성 검사를 하고 실제 전송 시에는 검증하지 않아 내부 호스트로 SSRF 가능(CVE-2026-76838, CVSS 8.4).
Hugo
- Hugo: resources.GetRemote의 URL 허용 목록이 정규화된 IP(정수/16진수/8진수)를 검사하지 않는 취약점(CVE-2026-10582, CVSS 8.3). SSRF 우회 가능.
Windows
- Zscaler Client Connector: 버퍼 오버플로우로 로컬/커널 DoS 가능(CVE-2026-59565, CVSS 8.8).
- RustDesk: 클립보드 리디렉션에서 버퍼 오버플로우(CVE-2026-76840, CVSS 8.5). Windows 사용자 영향.
- Network Optix Nx Witness: Web Admin 인터페이스 XSS(CVE-2026-78414, CVSS 8.0). 인접 네트워크 공격자가 관리자 세션 탈취 가능.
Android
- Zscaler Client Connector: 로컬 DoS 취약점(CVE-2026-59566, CVSS 8.4).
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-66897 | 9.9 | 0.6% | LXD 인스턴스 템플릿 처리 중 경로 순회로 호스트 시스템 임의 파일 덮어쓰기 가능. 컨테이너 편집 권한 또는 조작된 이미지를 실행하는 모든 사용자에게 영향. |
| CVE-2026-77995 | 10.0 | N/A | Joomla miniOrange OAuth Client <3.2.0: 쿠키 조작으로 임의 계정(관리자 포함) 탈취 가능. CVSS 10.0. |
| CVE-2026-67602 | 9.3 | N/A | phpIPAM <1.8.2: REST API 인증 우회. 캐시 키에 검색 컬럼을 포함하지 않아 조작된 입력으로 전체 API 접근 가능. |
| CVE-2026-78211 | 9.3 | 1.5% | 4MOSAn GCB Doctor: 제거되지 않은 ADOdb 테스트 페이지로 OS 명령 주입. 인증 없는 원격 코드 실행. |
| CVE-2026-39975 | 9.4 | N/A | Combodo iTop <3.2.3: 인증 없는 사용자가 .readonly 파일 삭제로 코드 실행 가능. IT 서비스 관리 도구 사용자 주의. |
| CVE-2026-78267 | 9.8 | N/A | TranslatePress <=3.3.2: 인증 없는 권한 상승. 60만 개 이상 사이트에서 사용 중인 WordPress 번역 플러그인. |
| CVE-2026-66897 | 9.9 | 0.6% | (상동) LXD 경로 순회 — 컨테이너 호스트 분리 환경에서 치명적. |
| CVE-2026-78262 | 9.8 | N/A | WP Project Manager <=4.0.6: 인증 없는 PHP 객체 주입으로 원격 코드 실행. |
🌐 위협 동향
CISA, Oracle HTTP Server/WebLogic KEV 추가
CISA가 CVE-2026-21962를 KEV 카탈로그에 추가했습니다. 이 취약점은 Oracle HTTP Server와 WebLogic Server의 Proxy Plug-in에서 improper access control로 인해 발생하며, 실제 공격이 확인되었습니다. EPSS 43.2%로 악용 확률이 높아 Oracle 제품군을 운영 중인 조직은 즉시 패치를 적용해야 합니다. 원문
SANS ISC: DOUBLECUP 악성코드 PNG 페이로드 분석
새로운 악성코드 DOUBLECUP이 PNG 이미지에 페이로드를 숨기는 방법에 대해 SANS ISC가 분석했습니다. 실제 스테가노그래피라기보다는 단순한 데이터 은닉 기법이라는 평가입니다. 이미지 파일을 이용한 악성코드 전달 방식이 지속적으로 진화하고 있음을 보여줍니다. 원문
SANS ISC 일간 팟캐스트
2026년 8월 24일자 ISC Stormcast에서는 오늘 관측된 주요 위협과 패치 동향을 다루고 있습니다. 원문
오늘의 체크포인트
- Oracle HTTP Server/WebLogic Proxy Plug-in 패치: CVE-2026-21962가 실제 악용 중입니다. EPSS 43.2%로 위험도가 높으니 관련 제품을 사용 중이라면 Oracle의 보안 업데이트를 즉시 적용하세요.
- WordPress 플러그인 대규모 취약점 점검: 오늘 하루에만 10개 이상의 WordPress 플러그인에서 Critical 취약점이 발표되었습니다. TranslatePress, WP Project Manager, Woo Essential 등 인기 플러그인이 포함되어 있으니 목록을 확인하고 패치를 적용하세요.
- Node.js fast-uri 패키지 업데이트: 다수의 URI 파싱 취약점이 발견되었습니다. fast-uri를 의존성으로 사용하는 프로젝트는 최신 버전으로 업데이트하여 SSRF 우회와 호스트混淆를 방지하세요.
- django CMS 업데이트: GHSA-8jj7-4v57-frf5 (CVE-2026-54623)으로 Plugin move 엔드포인트를 통한 DoS 공격이 가능합니다. 5.0.8 미만 버전을 사용 중이라면 업데이트하세요.
오늘의 한 줄 정리: Oracle WebLogic 프록시가 실제 공격에 악용 중이며, WordPress 생태계에서 Critical 취약점이 쏟아져 나와 플러그인 업데이트가 시급합니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.