오늘은 CISA KEV에 7건의 실제 악용 취약점이 신규 등록되었습니다. 특히 JFrog Artifactory, Sangoma Switchvox(PostgreSQL 연계), SonicWall SMA1000이 눈에 띕니다. npm 생태계에서는 Orval 패키지에서 다수의 Critical RCE 취약점이 공개되어 즉시 업데이트가 필요합니다. 국내 KrCERT도 Metabase SQL Injection 취약점에 대해 주의를 당부했습니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-59822 — BerriAI LiteLLM Improper Authentication
BerriAI LiteLLM의 MCP Streamable HTTP 엔드포인트에 인증 우회 취약점이 존재합니다. 인증되지 않은 공격자가 임의의 Bearer 토큰으로 인증된 MCP 세션을 설정할 수 있습니다. 랜섬웨어 사용 확인되지 않음. EPSS 0.9% (56th percentile). LiteLLM을 사용하는 환경은 즉시 패치를 적용하세요. NVD
CVE-2026-48710 — Kludex Starlette HTTP Request/Response Smuggling
Starlette에서 HTTP 요청/응답 스머글링 취약점이 발견되었습니다. 공격자가 호스트 부분에 경로를 주입하여 URL 재구성에 의존하는 인증을 우회할 수 있습니다. 랜섬웨어 사용 확인되지 않음. EPSS 11% (96th percentile). Starlette 사용 애플리케이션은 업데이트가 필요합니다. NVD
CVE-2026-49869 — Kestra OSS OS Command Injection
Kestra OSS에서 OS 명령 주입 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 자격 증명 없이 임의의 워크플로를 생성 및 실행할 수 있습니다. 랜섬웨어 사용 확인되지 않음. EPSS 1.9% (78th percentile). Kestra 인스턴스는 외부 노출을 차단하고 패치를 적용하세요. NVD
CVE-2026-82329 — JFrog Artifactory Improper Authentication
JFrog Artifactory에서 기본 구성 하에 인증되지 않은 공격자가 네트워크 접근만으로 관리자 권한을 획득할 수 있는 취약점입니다. 랜섬웨어 사용 확인되지 않음. EPSS 7.7% (94th percentile). Artifactory를 운영 중이라면 즉시 접근 제어 설정을 검토하고 패치를 적용하세요. NVD
CVE-2026-9586 — Sangoma Switchvox SQL Injection
Sangoma Switchvox에서 SQL 인젝션 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 단일 요청으로 백엔드 PostgreSQL 데이터베이스에 대해 임의 SQL 문을 실행할 수 있으며, 데이터베이스 작업 및 원격 코드 실행까지 가능합니다. 랜섬웨어 사용 확인되지 않음. EPSS 11.8% (96th percentile). PostgreSQL과 연동된 Switchvox 환경은 즉시 차단 및 패치가 필요합니다. NVD
CVE-2026-83548 — SonicWall SMA1000 SSRF
SonicWall SMA1000 Appliances에서 서버사이드 요청 위조(SSRF) 취약점이 존재합니다. 인증되지 않은 원격 공격자가 중요한 기능에 무단 접근하여 권한 없는 작업을 수행할 수 있습니다. 랜섬웨어 사용 확인되지 않음. EPSS 0.7% (51st percentile). SMA1000 장비를 사용 중이라면 패치를 적용하세요. NVD
CVE-2026-83549 — SonicWall SMA1000 OS Command Injection
SonicWall SMA1000 Appliances에서 OS 명령 주입 취약점입니다. 관리자 권한으로 인증된 공격자가 임의 OS 명령을 실행하여 원격 코드 실행이 가능합니다. 랜섬웨어 사용 확인되지 않음. EPSS 1.6% (75th percentile). 관리자 계정 보안을 강화하고 패치를 적용하세요. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
Cisco 제품 보안 업데이트 권고
Cisco IOS XR Software에서 Improper Control of a Resource Through its Lifetime 취약점(CVE-2026-20274) 등이 발견되었습니다. Cisco IOS XR 기반 네트워크 장비를 사용하는 기관은 최신 버전으로 업데이트해야 합니다. 공지 보기
Metabase 제품 보안 업데이트 권고
Metabase에서 SQL Injection 취약점(CVE-2026-72898, CVE-2026-72899)이 발견되었으며, 최근 해당 취약점을 이용한 공격 및 피해가 발생 중이라고 KrCERT가 경고했습니다. 국내에서 Metabase를 사용하는 기업은 즉시 업데이트가 필요합니다. 공지 보기
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| toml | npm | high | < 4.2.0 | 4.2.0 |
| toml | npm | high | < 4.1.2 | 4.1.2 |
| @toon-format/toon | npm | high | < 2.3.1 | 2.3.1 |
| claude-code-templates | npm | high | ≤ 1.29.2 | 1.29.4 |
| orval | npm | critical | < 8.21.0 | 8.21.0 |
| orval | npm | critical | < 8.21.0 | 8.21.0 |
| orval | npm | critical | < 8.21.0 | 8.21.0 |
| orval | npm | critical | < 8.21.0 | 8.21.0 |
| orval | npm | critical | < 8.21.0 | 8.21.0 |
특히 orval 패키지에서 Critical 4건이 동시에 등록되었습니다. OpenAPI 스펙 기반 코드 생성 과정에서 템플릿 리터럴을 통한 RCE가 가능하며, 패키지 임포트 시점에 실행될 수도 있습니다. 프로젝트에서 orval을 사용한다면 즉시 8.21.0으로 업데이트하세요.
🧩 주요 스택 관련
Google Chrome (여러 취약점)
Chrome 152.0.7977.82 이전 버전에서 Use-after-free, Type confusion, Improper input validation 등 다수의 취약점이 패치되었습니다. (CVE-2026-85042, CVE-2026-85046, CVE-2026-85047 등). 샌드박스 외부 코드 실행까지 가능한 것들이 포함되어 있습니다. 브라우저를 최신 버전으로 업데이트하세요.
n8n (워크플로 자동화)
여러 취약점이 공개되었습니다. 샌드박스 이스케이프(CVE-2026-85169), Git 노드를 통한 RCE(CVE-2026-85168), 자격 증명 노출(CVE-2026-85171) 등이 포함됩니다. 1.123.73 / 2.35.4 / 2.36.2 이상으로 업데이트하고 워크플로 편집 권한을 엄격히 관리하세요.
PostgreSQL 연계
Sangoma Switchvox KEV(CVE-2026-9586)와 Worklenz SQL injection(CVE-2026-85388)이 PostgreSQL을 대상으로 합니다. PostgreSQL을 사용하는 애플리케이션의 입력 검증 상태를 점검하고, DB 사용 권한을 최소화하세요.
PHP 애플리케이션
Ocsreports, Mail Mint, JobSearch 등 다수의 PHP 기반 애플리케이션에서 Critical 취약점이 보고되었습니다. 파일 업로드 검증 우회, PHP 객체 인젝션 등이 포함됩니다. 관련 패키지의 업데이트를 확인하세요.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-85061 | 10.0 | - | MapLibre GL JS < 6.4.1: DOM.sanitize()에서 속성 제거 시 인덱스 이동으로 위험 속성 우회 |
| CVE-2026-84238 | 9.8 | - | YITH Request a Quote for WooCommerce Premium < 4.46.0: 인증 없는 접근 제어 우회 |
| CVE-2026-84753 | 9.8 | 0.5% | Mail Mint ≤1.31.0: 인증 없는 PHP 객체 인젝션 |
| CVE-2026-84834 | 9.8 | - | JobSearch ≤3.2.0: 인증 없는 PHP 객체 인젝션 |
| CVE-2026-85042 | 9.6 | - | Chrome <152.0.7977.82: DevTools Use-after-free → 샌드박스 외부 코드 실행 |
| CVE-2026-85391 | 9.3 | - | Peppermint ≤0.5.5: docker-compose.yml에 하드코딩된 JWT 서명 → 세션 위조 |
| CVE-2026-85394 | 9.3 | - | python-jose ≤3.5.0: HMAC 키 검증 실패 → 토큰 위조 |
| CVE-2026-85181 | 9.3 | - | CAT: 세션 쿠키 무결성 검증에 String.hashCode만 사용 → 관리자 세션 위조 |
🌐 위협 동향
OPC UA LocalDiscoveryServer 설치 중 권한 상승 (CISA)
OPCFoundation OPC UA LDS 설치 프로그램(<1.04.420)에서 취약점(CVE-2026-??)이 발견되었습니다. 설치 중 높은 권한의 터미널을 장악당할 수 있어 공격자가 임의 명령을 실행할 수 있습니다. 산업 제어 환경에서 OPC UA LDS를 사용하는 경우 패치를 적용하세요. 원문
Rockwell Automation ControlFLASH 임의 코드 실행 (CISA)
ControlFLASH 도구의 취약점으로 인해 로그인 사용자 권한 수준에서 임의 코드 실행이 가능합니다. ControlFLASH를 사용하는 산업 현장은 업데이트를 확인하세요. 원문
Tycon Systems TPDIN-Monitor 다중 취약점 (CISA)
TPDIN-Monitor-WEB2와 WEB3에서 중요한 자격 증명 유출, 중간자 공격, 공장 초기화 등이 가능한 취약점이 보고되었습니다. 물리적 장비 제어에 영향을 줄 수 있으므로 즉시 조치가 필요합니다. WEB2 원문 WEB3 원문
Honeypot-Omaha 분석 (ISC)
SANS ISC 게스트 다이어리에서 Honeypot-Omaha와 batch.py에 대한 분석이 게재되었습니다. 실제 스캔 및 공격 트래픽을 기반으로 한 인사이트를 제공하므로 보안 운영자에게 참고가 됩니다. 원문
오늘의 체크포인트
- KEV 7건 즉시 패치 — JFrog Artifactory, Sangoma Switchvox(PostgreSQL), SonicWall SMA1000, BerriAI LiteLLM, Starlette, Kestra는 실제 공격에 악용될 가능성이 높으므로 오늘 중으로 패치를 적용하세요.
- Orval 패키지 업데이트 — npm 생태계의 Orval에서 Critical RCE 4건이 등록되었습니다. 8.21.0 미만 버전을 사용 중이라면 즉시 업데이트하세요.
- Google Chrome 업데이트 — 152.0.7977.82 이전 버전에서 다중 Use-after-free, Type confusion 취약점이 패치되었습니다. 사용자 브라우저 업데이트를 권고하세요.
- Metabase SQL Injection 주의 — 최근 공격 캠페인이 확인된 Metabase 취약점에 대해 국내 KrCERT가 경고했습니다. Metabase를 운영 중이라면 패치를 적용하고, 외부 노출을 최소화하세요.
오늘은 실제 악용 취약점 7건과 npm 생태계의 orval 다중 RCE가 특히 주목할 만한 보안 동향입니다. 매일 아침 보안 동향을 릿치 블로그에서 만나보세요.