오늘은 Chromium V8의 실제 악용 취약점(CVE-2026-85046)이 CISA KEV에 등재되어 즉각 패치가 필요합니다. 또한 Hummingbird, Mstore Api 등 인기 WordPress 플러그인에서 다수의 Critical 원격 코드 실행 취약점이 발견되었으며, Laravel의 CRLF 인젝션(CVE-2026-48019)과 Twig 보안 정책 우회(CVE-2026-46636) 등 주요 스택 관련 취약점도 주목할 만합니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-85046 — Google Chromium V8 Type Confusion Vulnerability
Chromium 기반 브라우저(Chrome, Edge 등)의 V8 JavaScript 엔진에서 타입 혼동(Type Confusion) 취약점이 발견되었습니다. 원격 공격자가 조작된 HTML 페이지를 통해 샌드박스 내에서 임의 코드를 실행할 수 있습니다. 랜섬웨어 사용 여부는 확인되지 않았으며(Known), EPSS는 0.9%(상위 56%)로 악용 가능성이 낮지만 CISA가 실제 공격에 사용된 것을 확인하여 등재했습니다. 모든 Chromium 기반 브라우저를 최신 버전으로 업데이트하세요. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
오늘 신규 공지 없음
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음
🧩 주요 스택 관련
Laravel — CRLF Injection in Email Validation (CVE-2026-48019)
Laravel 12.60.0 / 13.10.0 미만 버전에서 이메일 검증 과정의 CRLF 인젝션 취약점이 발견되었습니다. Symfony Mailer/Mime과 결합하여 인증되지 않은 공격자가 아웃바운드 이메일을 변조할 수 있습니다. EPSS 0.7%로 악용 가능성이 낮지만 영향 범위를 고려해 패치(Laravel 12.60.0+ / 13.10.0+) 적용을 권장합니다.
Twig — SecurityPolicy Bypass via Markup Subclass (CVE-2026-46636)
Twig 1.0.0 ~ 3.27.0 미만 버전에서 SecurityPolicy::checkMethodAllowed()가 Twig\Markup 인스턴스의 모든 메서드 호출을 무조건 허용하는 문제가 있습니다. Markup 클래스를 상속받아 임의 메서드를 호출할 수 있습니다. Twig 3.27.0 이상으로 업데이트하세요.
YesWiki — 다중 고위험 취약점 (CVE-2026-52762 ~ 52777)
YesWiki 4.6.6 미만 버전에서 다수의 취약점이 발견되었습니다:
- SSTI → RCE (CVE-2026-52762, CVSS 7.1): 관리자가 Twig 템플릿 인젝션을 통해 원격 코드 실행 가능
- SQL Injection (CVE-2026-52775, CVSS 8.8): 인증된 사용자가 URL 파라미터를 통해 SQL 삽입 가능
- HTTP Signature Bypass (CVE-2026-52769/52767, CVSS 8.3/8.2): 서명 검증 우회로 인증 우회 가능
- PHP Object Injection (CVE-2026-52777, CVSS 9.4): 역직렬화 취약점으로 원격 코드 실행 가능
YesWiki 사용자는 즉시 4.6.6으로 업데이트하세요.
Amazon Postgres MCP Server — SQL Validation Bypass (CVE-2026-85787)
PostgreSQL 기반 MCP 서버에서 SQL 검증이 불완전하여 인증되지 않은 사용자가 읽기 전용 범위를 벗어난 데이터 수정이 가능합니다. 버전 1.1.7에서 패치되었습니다.
SeaCMS — Authenticated RCE (CVE-2026-79423)
SeaCMS v13.6의 admin_config.php에서 인증된 사용자의 원격 코드 실행 취약점이 발견되었습니다. 아직 CVSS가 평가되지 않았으나 패치가 필요합니다.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-83627 | 9.8 | 0.8% | WordPress Hummingbird 플러그인(v3.21.0 이하) log_msg() 함수의 원격 코드 실행 |
| CVE-2026-13447 | 9.8 | 0.4% | WordPress Mstore Api 플러그인(v4.20.0 이하) JWT 서명 검증 누락으로 인증 우회 |
| CVE-2024-11080 | 9.8 | 0.4% | WordPress ComboBlocks 플러그인(v2.2.32~2.3.1) 인증 없는 Hook 인젝션 |
| CVE-2026-10196 | 9.8 | - | WordPress Mail Mint 플러그인(v1.31.0 이하) 역직렬화로 인한 PHP 객체 인젝션 |
| CVE-2026-86123 | 9.4 | - | SQL Chat의 인증 없는 API 엔드포인트로 내부 데이터베이스 접근 가능 |
| CVE-2026-86148 | 9.4 | - | Tenda CP3 IP 카메라 SystemAsh 함수의 OS 커맨드 인젝션 |
| CVE-2026-86121 | 9.3 | - | Cua 컴퓨터 서버(v0.3.42 미만) 인증 없이 모든 인터페이스에 바인딩되어 원격 명령 실행 |
| CVE-2026-67276 | 9.2 | - | RouterOS SSH 인증에서 RSA 공개키 검증 불완전으로 인증 우회 |
🌐 위협 동향
CISA KEV: Google Chromium V8 Type Confusion Vulnerability 등재
CISA는 9월 4일자로 Chromium V8의 타입 혼동 취약점(CVE-2026-85046)을 KEV에 추가했습니다. 실제 공격에서 악용되고 있음을 확인한 조치로, Chrome, Edge 등 Chromium 기반 브라우저 사용자는 즉시 업데이트가 필요합니다. 원문
SANS ISC: AI Agent Observability 도구 “numbat” 관련 관측
SANS ISC는 9월 4일자 다이어리에서 AI 에이전트 관측 도구인 “numbat"에 대한 관측 내용을 다루고 있습니다. 구체적인 취약점 정보는 공개되지 않았으나, AI 에이전트 관련 인프라의 노출 가능성에 대한 경고로 해석됩니다. AI 기반 서비스를 운영 중인 환경에서는 관련 보안 설정을 재점검할 필요가 있습니다. 원문
오늘의 체크포인트
- Chromium 기반 브라우저 업데이트: Chrome, Edge, Brave 등 Chromium 기반 브라우저를 최신 버전으로 업데이트하세요. 실제 악용이 확인된 CVE-2026-85046을 패치합니다.
- WordPress 플러그인 점검: Hummingbird, Mstore Api, Mail Mint, ComboBlocks 등 Critical 취약점이 보고된 플러그인의 버전을 확인하고 패치하세요.
- YesWiki 4.6.6 업데이트: 다수의 고위험 취약점(CVSS 9.4 포함)이 패치된 YesWiki 4.6.6으로 즉시 업데이트하세요.
- Laravel/Twig 최신화: Laravel 12.60.0+/13.10.0+, Twig 3.27.0+으로 업데이트하여 CRLF 인젝션 및 보안 정책 우회를 방지하세요.
오늘의 보안 동향: Chromium V8 실제 악용, WordPress 생태계 대규모 취약점, 그리고 Laravel/Twig 패치가 핵심입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.