2026-09-03 Security Daily

오늘은 CISA KEV에 7건이 동시에 등록되면서 실제 악용 중인 취약점이 대거 공개된 날입니다. Python ASGI 스택의 기반인 Starlette의 HTTP Request/Response Smuggling(EPSS 2.1%)과 JFrog Artifactory의 인증 결함, Sangoma Switchvox의 SQL 인젝션 등 개발·인프라 도구 전반이 대상이며, 국내에서는 공동인증서 보안모듈 한컴위드 AnySign4PC 업데이트 공지가 나왔습니다. NVD 24시간 신규 게시는 431건(Critical 37건, 주요 스택 관련 50건)으로 집계됐습니다.

🚨 실제 악용 확인 (CISA KEV)

CVE-2026-59822 — BerriAI LiteLLM

LiteLLM의 MCP Streamable HTTP 엔드포인트에 인증 결함이 있어, 인증되지 않은 공격자가 임의의 Bearer 토큰으로 인증된 MCP 세션을 맺을 수 있습니다. 랜섬웨어 사용 여부: Unknown(확인되지 않음), EPSS 0.5%(백분위 42). AI 게이트웨이/LLM 프록시로 쓰이는 LiteLLM을 운영 중이라면 MCP 기능의 외부 노출을 차단하고 제조사 최신 버전으로 업데이트해야 합니다. NVD

CVE-2026-48710 — Kludex Starlette

Host 부분에 경로를 주입해 실제 경로 앞에 덧붙임으로써, 재구성된 URL 경로에 의존하는 인증을 우회할 수 있는 HTTP Request/Response Smuggling 취약점입니다. 랜섬웨어 사용 여부: Unknown, EPSS 2.1%(백분위 80)로 이번 KEV 목록에서 가장 높습니다. Starlette은 FastAPI 등 Python ASGI 웹 프레임워크의 기반이라 영향 범위가 넓으니, 패치 버전 적용과 함께 리버스 프록시 경계에서 Host 헤더·경로 정규화를 점검하세요. NVD

CVE-2026-49869 — Kestra OSS

인증되지 않은 원격 공격자가 자격 증명 없이 임의 워크플로를 생성·실행할 수 있는 OS Command Injection 취약점입니다. 랜섬웨어 사용 여부: Unknown, EPSS 1.0%(백분위 60). Kestra는 데이터 오케스트레이션 플랫폼으로, 대시보드/API가 인터넷에 노출된 경우 특히 위험하므로 최신 버전 업데이트와 접근 제어를 병행하세요. NVD

CVE-2026-82329 — JFrog Artifactory

기본 설정에서 네트워크 접근만으로 인증 없이 관리자 권한을 획득할 수 있는 Improper Authentication 취약점입니다. 랜섬웨어 사용 여부: Unknown, EPSS 1.2%(백분위 67). CI/CD 아티팩트 저장소인 Artifactory는 빌드 파이프라인 전체로 영향이 이어질 수 있으므로 최우선 패치 대상입니다. NVD

CVE-2026-9586 — Sangoma Switchvox

단일 요청으로 백엔드 PostgreSQL에 대해 임의 SQL 문을 실행할 수 있는 SQL Injection 취약점입니다. 데이터베이스 조작은 물론 원격 코드 실행까지 가능합니다. 랜섬웨어 사용 여부: Unknown, EPSS 1.1%(백분위 63). VoIP/UC 시스템인 Switchvox는 인터넷 직접 노출을 피하고 최신 펌웨어를 적용하세요. PostgreSQL 백엔드를 운영 중인 DBA 입장에서도 해당 인스턴스의 접근 통제를 확인할 필요가 있습니다. NVD

CVE-2026-83548 — SonicWall SMA1000 Appliances

원격 인증 없는 공격자가 민감 기능에 접근하고 허가되지 않은 작업을 수행할 수 있는 SSRF 취약점입니다. 랜섬웨어 사용 여부: Unknown, EPSS 0.3%(백분위 18). SMA1000은 원격 접속 게이트웨이 제품군이므로 외부 노출을 최소화하고 펌웨어를 업데이트하세요. NVD

CVE-2026-83549 — SonicWall SMA1000 Appliances

관리자 권한을 가진 원격 공격자가 임의 OS 명령을 실행해 RCE까지 도달할 수 있는 OS Command Injection 취약점입니다. 랜섬웨어 사용 여부: Unknown, EPSS 0.9%(백분위 58). 같은 날 KEV에 등록된 CVE-2026-83548과 함께 SMA1000 펌웨어를 최신 버전으로 올리고 관리자 계정 보호를 강화하세요. NVD

🇰🇷 국내 보안공지 (KrCERT/KISA)

美 CISA 발표 주요 Exploit 정보공유(Update. 2026-09-02)

CISA KEV에 새로 등록된 7건을 국내로 전파한 공지입니다. SonicWall SMA1000 OS Command Injection(CVE-2026-83549) 등 실제 악용이 확인된 취약점에 대해, 영향받는 버전 사용자에게 최신 버전 업데이트를 권고하고 있습니다. 국내에서도 해당 제품을 쓰는 기관은 KEV 7건을 한 번에 점검할 수 있습니다. 공지 보기

한컴위드 제품 보안 업데이트 권고

한컴위드 AnySign4PC(1.1.5.0 이상 일부 버전)에서 발생한 Improper Input Validation 취약점을 해결한 보안 업데이트가 발표됐습니다. AnySign4PC는 공동인증서 기반 본인인증에 널리 쓰이는 국산 보안모듈이라, 공공·금융 웹사이트 이용 환경에 설치돼 있는 경우가 많습니다. 사내 필수 업데이트로 안내하는 것이 좋습니다. 공지 보기

📦 패키지 생태계 (GHSA)

fast-uri는 Fastify 생태계의 URI 파서로 의존성 체인을 통해 널리 사용됩니다. 이번에 SSRF·host confusion 계열 4건이 한 번에 패치(2.4.5)됐으니, fastify 기반 서비스는 의존성 트리를 확인해 2.4.5 이상으로 올리는 것이 좋습니다. omnigent는 에이전트 번들 처리 과정에서 인증된 러너 RCE로 이어질 수 있는 문제(Critical 1건 포함)가 0.3.0에서 패치됐습니다. 웹 크롤링에 널리 쓰이는 scrapy는 S3 Download Handler가 기본적으로 평문 HTTP로 서명 요청을 보내는 문제가 2.17.0에서 해결됐습니다.

🧩 주요 스택 관련

Google Chrome / Android (152.0.7977.75 미만)

• CVE-2026-84352(9.6), CVE-2026-84353(9.6), CVE-2026-84333(9.6): WebGL, Shared Tab Groups, Dawn의 Use-after-Free로 샌드박스 외부 코드 실행이 가능했던 것으로 평가됩니다.
• CVE-2026-84325(9.8): DataTransfer 입력 검증 부재로 시스템 접근 제한 우회 가능.
• CVE-2026-84354(9.6): FileSystem 권한 검증 오류로 샌드박스 외부 코드 실행 가능.
• CVE-2026-84326(8.8), CVE-2026-84347(8.8), CVE-2026-84350(8.8): V8, WebRTC, TabStrip의 UAF/초기화 누락.
• 조치: Chrome 및 Android WebView를 152.0.7977.75 이상으로 업데이트하세요. 브라우저 취약점은 익스플로잇 등장이 빠른 영역이므로 신속한 패치가 필요합니다.

WordPress / PHP 생태계

• CVE-2026-4357(10.0): Embed HTML5 Game ≤1.3 — 인증 없이 PHP 백도어 업로드 가능.
• CVE-2026-77009(9.9): WatchMan-Site7 ≤4.2.0 — 디버깅 콘솔 접근 제한이 없어 subscriber 등 모든 인증 사용자가 임의 PHP 코드 실행 가능.
• CVE-2026-78657(9.8): SigmaForms Pro ≤1.4.11 — 인증 없는 임의 파일 삭제.
• CVE-2026-84372(9.8): Predis 3.0.0-RC1~3.3.0 — Redis/Valkey PHP 클라이언트의 aggregate cluster/replication 연결 파이프라인 처리에서 직렬화된 RESP 버퍼를 재파싱하는 문제. 3.3.0 이상으로 업데이트 필요.
• CVE-2026-19116(8.8), CVE-2026-81283(8.8): WP User Frontend <4.3.11 — PHP Object Injection, subscriber 수준 권한으로 악용 가능.
• CVE-2026-81772(8.8): Ninja Forms Layout & Styles ≤3.0.31 — 인증 없는 PHP Object Injection.
• CVE-2026-14357(8.8): DevKit Pro ≤2.3.0 — 테마 설치 함수에 권한 및 nonce 검증 누락.
• CVE-2026-84208(8.7): AVideo ≤29.0 User_Location 플러그인 SQL 인젝션, CVE-2026-84480(9.3): 비밀번호 복구 토큰 만료 검증 부재로 계정 탈취 가능.
• CVE-2026-71981(8.7): Cypht <2.12.2 — logout 핸들러의 back_query 파라미터를 통한 PHP Object Injection → OS 명령 실행.
• 조치: WordPress 관리자는 활성 플러그인 버전을 점검하고, 미사용 플러그인은 비활성화·삭제하세요.

Jenkins

• Core ≤2.579 / LTS ≤2.568.2: CVE-2026-84645(config.xml 중첩 객체 조작), CVE-2026-84647(Stapler 데이터 바인딩 객체 인스턴스화 제한 부재), CVE-2026-84648(로그 뷰어 stored XSS), CVE-2026-84649(동적 JavaScript 엔드포인트 XSS), CVE-2026-84650(transient field 역직렬화).
• 플러그인: SAML 4.618.v441a_27fa_46d2 이하(CVE-2026-84668, IdP 메타데이터 덮어쓰기로 임의 사용자 인증), Allure 2.35.2 이하(CVE-2026-84669, 경로 탐색으로 컨트롤러 파일 읽기), Performance 1015.v09ca_52b_3370e 이하(CVE-2026-84670, 역직렬화 RCE), File Parameter 425.v3fa_801681b_5e 이하(CVE-2026-84671, 임의 위치 파일 쓰기 → RCE), Entra ID 710.v0b_ff8e9cc2d2 이하(CVE-2026-84672, 그룹 표시명 충돌로 권한 상승), Customizable Header 295.v2544b_ca_19b_97 이하(CVE-2026-84673, stored XSS).
• 조치: Jenkins core와 플러그인을 모두 최신 릴리스로 업데이트하세요. Jenkins는 인터넷 직접 노출을 피하고 관리자 접근을 제한하는 것이 기본 완화책입니다.

NGINX

• CVE-2026-18329(8.8): njs/QuickJS 엔진에서 js_access 핸들러가 비동기 요청 본문 처리 중 예외를 던지면 접근 제어가 우회될 수 있습니다. njs 모듈로 액세스 제어를 구현한 경우 패치 버전 적용이 필요합니다.

Docker

• CVE-2026-84694(8.7): Coolify <4.2.0에서 SSH로 실행되는 Docker 명령의 환경변수 키 이름 이스케이프가 미흡해, 인증된 공격자가 컨테이너 외부 호스트에서 임의 명령 실행이 가능합니다. Coolify 4.2.0으로 업데이트하세요.

Cisco IOS XR

• CVE-2026-20274(9.8), CVE-2026-20279(9.8), CVE-2026-20275/20278/20280(8.8): Cisco 내부 보안 검토로 발견된 다수 취약점에 대한 하드닝 릴리스가 제공됐습니다. IOS XR 기반 장비 운영자는 해당 하드닝 릴리스 적용을 확인하세요.

기타

• CVE-2026-84695(9.3): BookStack <26.05.4 — drawing 업로드 엔드포인트가 base64 콘텐츠를 검증 없이 저장해 stored XSS 발생. 에디터 권한 사용자가 관리자 브라우저에서 스크립트 실행 가능.
• CVE-2026-84637(9.8): Thunderbird(Windows) — 악성 캘린더 초대의 file URI 첨부로 로컬·네트워크 실행 파일 실행 가능. Windows 환경에서 메일 클라이언트를 Thunderbird로 쓰는 경우 주의.

🔴 신규 Critical 하이라이트

신규 게시 CVE 중 일부는 EPSS가 아직 산정되지 않아 “—“로 표기했습니다. CVE-2023-54391은 CVE 발급 연도가 2023년이지만 NVD 게시가 이번 주에 이뤄진 항목입니다. Proxmox VE를 운영 중이라면 2FA를 활성화하지 않은 사용자가 있는지 함께 점검하세요.

🌐 위협 동향

CISA, KEV 카탈로그에 7건 추가 — 실제 공격에 악용 확인 (원문) CISA가 실제 악용 증거가 확인된 7건을 KEV에 등록했습니다. 대상은 Sangoma Switchvox SQLi, Kludex Starlette HTTP Smuggling, Kestra OSS 명령 주입, BerriAI LiteLLM 인증 결함, JFrog Artifactory 인증 결함, SonicWall SMA1000 SSRF·OS 명령 주입입니다. AI 게이트웨이, Python 웹 프레임워크, 아티팩트 저장소, 원격 접속 게이트웨이까지 개발·인프라 전방위로 분포해 있어, 해당 제품을 운영 중이라면 이번 주 안에 패치를 완료하는 것이 좋습니다.

Rockwell Automation ICS 제품군 다중 보안 권고 (원문) CISA가 RSLinx Classic, Historian ME, ControlLogix/CompactLogix·GuardLogix, Logix Platform, Redundancy Module Configuration Tool, FactoryTalk Activation Manager 등 Rockwell Automation 산업제어 제품 취약점을 잇달아 공개했습니다. DoS부터 원격 코드 실행, 권한 상승까지 영향이 다양하며, ICS/OT 환경에서는 패치 적용 전에 자산 노출을 점검하고 네트워크 분리·모니터링을 병행해야 합니다.

Guildma(Astaroth) 악성코드, 브라질 포르투갈어 이메일로 유포 중 (원문) SANS ISC가 브라질 포르투갈어 피싱 이메일을 통한 Guildma(Astaroth) 뱅킹 악성코드 감염을 관측했습니다. 금융 정보 탈취를 노리는 이 계열은 첨부 파일·링크 실행을 유도하는 정교한 사회공학 기법을 사용하므로, 비정상 발신자의 이메일 첨부 실행에 각별한 주의가 필요합니다.

CISA·FBI, IT/OT 장애 시 서비스 제공자 커뮤니케이션 가이드 발표 (원문) 사이버 공격이나 장애 발생 시 서비스 제공자가 명확하고 시의적절한 정보를 제공하기 위한 모범 사례를 담은 지침입니다. 사전 커뮤니케이션 계획 수립, 이해관계자별 메시지 분류, 사실 확인 절차 등이 포함돼 있어 IR(Incident Response) 문서를 정비할 때 참고할 만합니다.

오늘의 체크포인트

1. KEV 7건 즉시 확인 — Starlette(EPSS 2.1%), JFrog Artifactory, LiteLLM, Kestra, Switchvox, SonicWall SMA1000(2건)을 사용 중이라면 오늘 중 패치 적용 여부를 확인하세요. Artifactory는 기본 설정에서 인증 없이 관리자 권한이 노출될 수 있습니다.
2. 한컴위드 AnySign4PC 업데이트 — 공동인증서 로그인이 필요한 공공·금융 사이트를 이용하는 PC·사내 환경에서 AnySign4PC 최신 버전 적용을 안내하세요.
3. Jenkins 서버 점검 — core 2.579/LTS 2.568.2 이하 및 SAML·Allure·Performance·File Parameter 등 플러그인 다수 취약점이 발표됐습니다. Jenkins와 플러그인을 최신 릴리스로 업데이트하세요.
4. WordPress 플러그인 점검 — Embed HTML5 Game(10.0), WatchMan-Site7(9.9), SigmaForms Pro(9.8), Amelia(9.8) 등 활성 플러그인의 버전을 확인하고, 사용하지 않는 플러그인은 제거하세요.

오늘의 한 줄 정리: 실제 악용이 확인된 7건의 KEV가 개발·인프라 도구 전반을 겨냥하고 있으며, 국내에서는 AnySign4PC 업데이트가 가장 빠르게 확인해야 할 조치입니다.

매일 아침 보안 동향을 릿치 블로그에서 만나보세요.