오늘의 보안 지형
오늘은 CISA KEV 신규 등재가 없어 실제 공격 캠페인 악용이 확인된 취약점은 없습니다. 다만 WordPress 플러그인(MyHome Core) 인증 우회, PHP 기반 AVideo/Live 스트림 키 노출, SiYuan 노트앱 XSS 등 여러 Critical 등급 취약점이 게시되어 WordPress 운영자와 PHP 기반 웹 애플리케이션 사용자들의 빠른 확인이 필요합니다. 국내 보안공지는 없으며 패키지 생태계도 잠잠했습니다.
🚨 실제 악용 확인 (CISA KEV)
오늘 KEV 신규 등재 없음.
🇰🇷 국내 보안공지 (KrCERT/KISA)
오늘 신규 공지 없음.
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음.
🧩 주요 스택 관련
CVE-2026-82635 — Pake
Pake v3.13.1 미만에서 Tauri download_file 명령어의 파일명 경로 순회(path traversal) 취약점이 발견되었습니다. 사용자 Downloads 디렉터리를 기준으로 파일명 검증 없이 Join하여 ../ 시퀀스로 상위 디렉터리나 절대 경로로 파일을 생성할 수 있습니다. Windows 환경에서 공격자가 LaunchAgents에 plist를 작성하는 시나리오에 주의해야 합니다.
CVE-2026-82644 — WWBN AVideo (PHP)
AVideo(커밋 e01e41ecc 및 이전)의 로그인 무차별 대입(brute-force) 속도 제한이 enforceRateLimit() 함수에서 우회 가능합니다. ObjectYPT::setCacheGlobal 캐시 계층이 특정 클라이언트 식별자에 대해 무시되어 차단을 우회할 수 있습니다. login.json.php 등 14개 엔드포인트에 영향이 있으며 PHP 기반 사이트 운영자는 빠른 패치가 필요합니다.
CVE-2026-82655, CVE-2026-82657 — Admidio (PHP)
Admidio v5.0.12 미만에서 두 가지 취약점이 발견되었습니다.
- SQL 인젝션 (CVE-2026-82655):
relation_type_list매개변수에 대해 블라인드 SQL 인젝션 가능. 인증 없이 가짜 UUID로 우회해 공격 가능. - 인증 우회 (CVE-2026-82657): RSS 피드 엔드포인트에서 로그인 제한을 우회해 포럼/공지사항 게시글 제목, 본문을 탈취 가능. PHP 기반 커뮤니티/그룹웨어(Admidio) 사용자는 즉시 v5.0.12로 업데이트해야 합니다.
CVE-2026-78699 — ash-postgres (PostgreSQL)
Ash framework의 PostgreSQL 멀티 테넌시 모듈에서 tenant rename 시 특정 이름 충돌을 악용해 다른 테넌트의 스키마에 접근할 수 있는 취약점입니다. Elixir/Phoenix 기반 애플리케이션에서 PostgreSQL 멀티 테넌트 기능을 사용한다면 확인이 필요합니다.
CVE-2026-82649 — SiYuan (Windows)
SiYuan Windows 인스톨러(NSIS)에서 TASKKILL과 같은 시스템 실행 파일을 절대 경로 없이 이름으로 호출하는 제어되지 않은 검색 경로 요소 문제(Uncontrolled Search Path)입니다. 설치 과정에서 악의적인 DLL/EXE가 현재 디렉터리나 PATH에 있으면 권한 상승으로 이어질 수 있습니다. SiYuan 사용자는 Windows 버전을 v3.8.1 이상으로 업데이트해야 합니다.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-15980 | 9.8 | 0.5% | WordPress MyHome Core 플러그인 인증 우회 — 미인증 공격자가 send_link() AJAX 핸들러와 activate() 함수의 토큰 검증 및 권한 부재를 악용 가능 |
| CVE-2026-82542 | 9.3 | - | Tenda HG10 라우터 formIPv6Routing 함수의 버퍼 오버플로우 — Boa 웹서버에서 destNet 인자를 통해 원격 공격 가능 |
| CVE-2026-82653 | 9.3 | - | SiYuan v3.8.1 미만 XSS — confirmDialog()에서 패키지명/노트북명을 innerHTML에 이스케이프 없이 삽입, 악성 바자 패키지로 공격 가능 |
| CVE-2026-82654 | 9.3 | - | SiYuan v3.8.1 미만 XSS — 블록명/별칭/메모 필드를 힌트, 백링크, 브레드크럼 렌더링에서 이스케이프 없이 삽입 |
| CVE-2026-82645 | 9.2 | - | AVideo Live Restreams API(getLiveKey.json.php)에서 token 매개변수로 인증 우회 가능 — 스트림 키/자격증명 노출 |
🌐 위협 동향
YARA-X 1.20.0 릴리스 (SANS ISC)
SANS ISC는 YARA-X 1.20.0 릴리스를 알렸습니다. 이번 릴리스에는 14개의 개선 사항과 13개의 버그 수정이 포함되었습니다. 말웨어 분석/위협 헌팅 환경을 사용하는 운영자라면 업데이트를 고려해야 합니다. 단, 보안 패치보다는 기능 개선/안정화 릴리스에 가깝습니다. 원문 보기
오늘의 체크포인트
- WordPress MyHome Core 플러그인 사용자는 버전 확인 후 즉시 최신 버전으로 업데이트하세요. v4.4.5 이하에서 인증 우회 취약점이 확인되었습니다.
- PHP 기반 커뮤니티/그룹웨어 (Admidio, AVideo) 사용자는 각각 v5.0.12, 최신 커밋 이상으로 업데이트하세요. SQL 인젝션과 인증 우회 취약점이 보고되었습니다.
- SiYuan 사용자는 Windows 버전과 관계없이 v3.8.1로 업데이트하세요. XSS 및 설치 프로그램 경로 검색 문제가 있습니다.
마무리
오늘은 실제 악용 취약점(KEC)은 없었지만, WordPress 및 PHP 생태계에서 여러 Critical 등급 취약점이 게시되었습니다. 특히 PHP 기반 커뮤니티/스트리밍 애플리케이션을 운영 중이라면 오늘 중 패치를 권장합니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.