오늘은 CISA KEV 신규 등재는 없었으나, Tenda CP3 IoT 기기에서 다수의 OS 커맨드 인젝션 취약점(CVSS 9.4~10)이 집중적으로 보고되었습니다. 또한 ISC SANS 다이어리에서는 MikroTik 제품군의 SSH 인증 우회 취약점이 이미 실제 공격에 악용 중이라고 경고하고 있으므로, MikroTik 사용자는 즉시 패치를 적용해야 합니다. WordPress 플러그인 2종에서도 인증 우회/계정 탈취 취약점이 발견되었습니다.
🚨 실제 악용 확인 (CISA KEV)
오늘 KEV 신규 등재 없음.
🇰🇷 국내 보안공지 (KrCERT/KISA)
오늘 신규 공지 없음.
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음.
🧩 주요 스택 관련
다음은 주요 오픈소스/개발 스택에서 신고된 취약점들입니다. 각 운영 환경에 해당하는 항목이 있다면 버전 확인 및 패치를 권장합니다.
CVE-2026-19633 – PostgreSQL Anonymizer 확장 권한 상승
심각도: High (CVSS 8.8)postgresql 스택 해당. PostgreSQL Anonymizer 확장에서 권한 없는 마스크 사용자가 연산자, 도메인 캐스트, 뷰 서브쿼리를 악용하여 임의 코드를 실행할 수 있는 취약점입니다. 마스킹 메커니즘의 맥락에서 신뢰할 수 없는 표현식이 평가될 때 발생합니다.
- 영향: 해당 확장을 사용하는 PostgreSQL 서버
- 조치: 확장 최신 버전으로 업데이트, 임시로 확장 비활성화 검토
CVE-2026-86253 – h3 npm 패키지 경로 탐색
심각도: High (CVSS 8.2)node.js, npm 스택 해당. h3 패키지(버전 2.0.1-rc.14 이하)의 serveStatic() 함수에서 경로 정규화 누락으로 인해 URL의 퍼센트 인코딩된 점 세그먼트(%2e%2e)를 통해 디렉터리 탐색이 가능합니다. Node.js 배포에서 인증되지 않은 원격 공격자가 서버 파일을 읽을 수 있습니다.
- 영향: h3를 정적 파일 제공에 사용하는 Node.js 애플리케이션
- 조치: h3 버전 2.0.1-rc.14 이하 사용자는 최신 패치 버전으로 업데이트
CVE-2026-86242 – Bifrost HTTP 전송 플러그인 원격 코드 실행
심각도: High (CVSS 8.1)docker 스택 해당. Bifrost HTTP 전송(버전 2.0.0 미만)에서 관리 인증이 비활성화된 기본 설정(governance.auth_config.is_enabled=false)일 때, 인증되지 않은 POST /api/plugins 요청을 통해 HTTP URL을 플러그인 경로로 설정할 수 있습니다. 공유 객체 로더가 HTTP 프리픽스 경로를 원격 다운로드로 처리하여 임의 코드 실행이 가능합니다.
- 영향: Bifrost HTTP 전송 사용 환경 (Docker 컨테이너 등)
- 조치: Bifrost 버전 2.0.0 이상으로 업데이트, 관리 인증 활성화
CVE-2026-80229 – libcurl/OpenSSL 3 프로바이더 컨텍스트 유출 (미평가)
openssl 스택 해당. libcurl의 멀티 인터페이스를 통한 전송 시, 풀링된 TLS 연결이 원래 easy 핸들보다 오래 지속될 수 있습니다. OpenSSL 3 프로바이더 구성에서 libcurl은 할당된 라이브러리 컨텍스트를 easy 핸들 상태에 첨부하고 소유권 참조 없이 OpenSSL에 전달합니다. 정확한 CVSS는 아직 발표되지 않았지만 잠재적 보안 영향을 고려해야 합니다.
- 영향: libcurl을 OpenSSL 3와 함께 사용하는 환경
- 조치: libcurl 및 curl 업데이트 권고 대기, 불필요한 TLS 세션 캐싱 제한 검토
🔴 신규 Critical 하이라이트
오늘 발표된 Critical 등급 CVE 중 EPSS가 상대적으로 높거나 파급력이 큰 항목을 선별했습니다. Tenda CP3 제품군의 취약점은 CVSS 10도 포함되어 있으며, EPSS도 1.9~2.5%로 일부 악용 가능성이 있습니다.
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-86148 | 9.4 | 2.5% | Tenda CP3 Kylin 컴포넌트 Apis/system.c의 AlarmVoiceURL 인자 OS 명령 주입 |
| CVE-2026-86149 | 9.4 | 2.0% | Tenda CP3 Net/NetCheckPing.cpp의 interface_name/host 인자 OS 명령 주입 |
| CVE-2026-86151 | 9.4 | 2.0% | Tenda CP3 네트워크 설정 관리 함수 OS 명령 주입 |
| CVE-2026-86152 | 10.0 | 1.9% | Tenda CP3 Functions/AutoAddWifi.cpp의 CAutoAddWifi::ThreadProc 함수 OS 명령 주입 |
| CVE-2026-75816 | 9.8 | 0.5% | WordPress Frontend Admin by DynamiApps 플러그인 인증 우회 → 계정 탈취 (모든 버전 ≤3.29.12) |
| CVE-2026-86218 | 10.0 | 0.4% | N-central 사전 인증 RCE (버전 2026.3.1.14 미만) |
| CVE-2026-16310 | 9.8 | 0.3% | WordPress MemberDash 플러그인 IDOR로 인증 없이 비밀번호 변경 (모든 버전 ≤1.8.5) |
| CVE-2026-86259 | 9.0 | - | OpenMAIC 1.0.1 미만에서 SSRF 검증 누락 → 클라우드 메타데이터 서비스 접근 |
🌐 위협 동향
MikroTik SSH 인증 우회 취약점 – 이미 악용 중
ISC SANS 다이어리(9월 6일)에 따르면, MikroTik이 최근 패치한 취약점이 이미 실제 공격에 악용되고 있습니다. 이 취약점은 SSH 인증을 우회할 수 있으며, 공격자는 장치에 새 계정을 추가하여 패치 후에도 접근을 유지하고 있습니다. MikroTik RouterOS를 사용하는 조직은 즉시 장치를 점검하고 최신 패치를 적용한 후, 추가 계정이 생성되었는지 확인해야 합니다.
원문 보기
AI 에이전트 관측 도구 ’numbat’ 관련 관측 (9월 4일)
ISC SANS에서는 AI 에이전트 관측 도구인 ’numbat’와 관련된 짧은 관측을 게시했습니다. 세부 내용은 알려지지 않았으나, AI/ML 운영 환경에서의 보안 관제 도구에 대한 관심이 높아지고 있습니다.
원문 보기
오늘의 체크포인트
- MikroTik RouterOS 사용자: 최신 패치 적용 여부를 즉시 확인하고, 장치에 생성된 미지의 계정이 없는지 점검하세요. 공격자가 이미 SSH 인증 우회로 침투하고 있을 수 있습니다.
- Tenda CP3 사용자: 해당 IoT 장비를 사용 중이라면 펌웨어 업데이트를 확인하세요. 다수의 OS 명령 주입 취약점(CVSS 9.4~10)이 보고되었으며 원격 공격이 가능합니다.
- WordPress 사이트 운영자: ‘Frontend Admin by DynamiApps’ (≤3.29.12) 및 ‘MemberDash’ (≤1.8.5) 플러그인을 사용 중이면 즉시 업데이트하거나 비활성화하세요. 인증 우회를 통한 계정 탈취 가능성이 있습니다.
- PostgreSQL Anonymizer 확장 사용자: CVE-2026-19633에 대한 패치가 발표되었는지 확인하고, 업데이트 전까지 마스킹 기능 사용을 제한하세요.
오늘은 IoT 기기(Tenda CP3)와 네트워크 장비(MikroTik)에서 실제 위협이 높은 취약점이 집중되었습니다. 특히 MikroTik 취약점은 이미 악용 중이므로 우선 조치가 필요합니다. WordPress 생태계에서도 주목할 만한 취약점이 발표되었으니 관련 플러그인 사용자는 반드시 점검하시기 바랍니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.