오늘은 MikroTik RouterOS 2건이 CISA KEV에 신규 등재되며 네트워크 장비의 최신 펌웨어 적용이 다시 강조됐습니다. 여기에 Cisco Secure FMC 인증 우회(CVE-2026-20079)가 EPSS 74.7%로 등재 건 중 가장 높은 악용 확률을 보여 방화벽 관리 평면부터 긴급 점검이 필요합니다. 신규 Critical만 62건이 게시됐고, Apache Artemis 세션 탈취·rclone 인증 우회 등 인프라 컴포넌트 취약점도 다수 포함됐습니다. 데이터 수집은 전 소스 정상 완료됐습니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-86060 — MikroTik RouterOS
RouterOS의 명령 인자 구분자 처리 결함으로 신뢰된 정책 마스크(policy mask)를 변조해 권한 상승이 가능합니다. 랜섬웨어 사용은 확인되지 않았고 EPSS 0.4%(34th)입니다. 관리 인터페이스 노출을 최소화하고 최신 RouterOS 펌웨어로 업데이트하세요. NVD
CVE-2026-67277 — MikroTik RouterOS
btest 서비스에 인증이 없어 커널 메모리 유출과 DoS가 가능합니다. 랜섬웨어 사용은 확인되지 않았고 EPSS 0.4%(37th)입니다. 관리망·외부에 btest가 노출된 환경은 즉시 차단하고 펌웨어를 업데이트하세요. NVD
CVE-2026-19490 — Citrix NetScaler
NetScaler ADC/Gateway를 AAA 가상 서버 또는 게이트웨이(SSL VPN, ICA Proxy, CVPN, RDP Proxy)로 구성한 경우 인증 우회가 가능합니다. 랜섬웨어 사용은 확인되지 않았고 EPSS 6%(93rd)로 높은 편입니다. NetScaler를 게이트웨이로 운영 중이라면 즉시 보안 업데이트를 확인하세요. NVD
CVE-2025-25249 — Fortinet Multiple Products
FortiOS, FortiSwitchManager, FortiSASE의 힙 버퍼 오버플로우로 특수 제작된 패킷을 통한 임의 코드 실행 위험이 있습니다. 랜섬웨어 사용은 확인되지 않았고 EPSS 1.7%(76th)입니다. 해당 제품군 운영자는 펌웨어 채널을 확인하세요. NVD
CVE-2026-87491 — Google Chromium V8
V8 엔진의 out-of-bounds write로 조작된 HTML 페이지를 통해 샌드박스 내 임의 코드 실행이 가능합니다. Chrome, Edge 등 Chromium 기반 브라우저 전체에 영향이 있습니다. 랜섬웨어 사용은 확인되지 않았고 EPSS 0.8%(53rd)입니다. 브라우저와 Chromium 내장 앱을 최신 버전으로 유지하세요. NVD
CVE-2026-20079 — Cisco Secure FMC / SCC Firewall Management
Cisco Secure Firewall Management Center(FMC) 및 Security Cloud Control(SCC)의 인증 우회로, 인증 없는 원격 공격자가 스크립트 파일을 실행할 수 있습니다. 랜섬웨어 사용은 확인되지 않았지만 EPSS 74.7%(99th)로 오늘 등재 건 중 가장 높아 최우선 대응이 필요합니다. FMC/SCC 기반 방화벽 운영 환경은 즉시 패치하세요. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
Linux 커널 Use After Free — CVE-2026-31554
KrCERT/KISA가 Linux 커널에서 발생하는 Use After Free 취약점(CVE-2026-31554)에 대한 보안 업데이트를 권고했습니다. 영향받는 커널 버전을 사용 중이라면 배포판 채널의 최신 보안 커널로 업데이트해야 합니다. 공지 보기
PostgreSQL 정수 오버플로·심볼릭 링크 — CVE-2026-6473, CVE-2026-6475
PostgreSQL에서 Integer Overflow or Wraparound(CVE-2026-6473)와 UNIX Symbolic Link Following(CVE-2026-6475) 취약점이 해결됐습니다. DB 서버 권한으로 파일 시스템에 영향을 줄 수 있는 시나리오이므로 운영 중인 PostgreSQL을 최신 패치 릴리스로 올리세요. 공지 보기
美 CISA 주요 악용 취약점 정보 공유 (Update 2026-09-10)
미국 CISA KEV 목록이 국내에도 공유됐으며 MikroTik RouterOS CVE-2026-67277 등이 포함됐습니다. 네트워크 장비를 운영 중이라면 KEV 등재 여부를 기준으로 패치 우선순위를 잡는 것을 권장합니다. 공지 보기
Adobe Commerce/Magento 템플릿 엔진 취약점 — CVE-2026-75650
Adobe Commerce, Commerce B2B, Magento Open Source에서 템플릿 엔진의 부적절한 입력 처리 취약점이 해결됐습니다. 이커머스 플랫폼을 운영 중이라면 보안 업데이트를 적용하세요. 공지 보기
MS 9월 정기 보안 업데이트 — 긴급 10건
2026-09-08 발표된 9월 패치 화요일은 총 13건(긴급 10, 중요 3)이며 Windows 11, Server 2025/2022/2019 등에서 권한 상승 영향이 확인됐습니다. 월례 패치 일정에 맞춰 서버와 엔드포인트 업데이트를 진행하세요. 공지 보기
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| open-webui | pip | High | >= 0.9.0, <= 0.11.0 | 0.11.1 |
| @jhb.software/payload-alt-text-plugin | npm | High | <= 0.7.0 | 패치 없음 |
| @argos-ci/core | npm | High | <= 6.2.0 | 6.2.1 |
| open-webui | pip | High | >= 0.6.41, < 0.11.1 | 0.11.1 |
| omniroute | npm | Critical | <= 3.8.50 | 패치 없음 |
| n8n | npm | High | < 1.123.76 | 1.123.76 |
| @angular/platform-server | npm | High | >= 22.0.0, < 22.1.4 | 22.1.4 |
| @angular/platform-server | npm | High | >= 22.0.0, < 22.1.4 | 22.1.4 |
| pimcore/pimcore | composer | High | >= 2026.1.0, <= 2026.1.5 | 2026.1.6 |
n8n(워크플로 자동화), Angular SSR, Open WebUI(로컬 AI 플랫폼)는 널리 쓰이는 만큼 패치 버전이 공개된 즉시 업데이트가 필요합니다. 특히 Open WebUI는 OAuth subject 클레임의 와일드카드 매칭으로 다른 사용자로 로그인될 수 있는 취약점(GHSA-wpmr-8h3q-fwj7)이 같은 0.11.1에서 해결됐습니다. omniroute은 Critical 등급인데 아직 패치가 없어 사용 중이라면 외부 노출을 통제해야 합니다.
🧩 주요 스택 관련
PHP — WordPress·CMS·파일 관리 도구
- CVE-2026-18351 (Critical 9.8): Elementor Forms Drag and Drop File Upload 플러그인 1.6.0 이하에서 파일 타입 검증 우회로 임의 파일 업로드가 가능합니다. WordPress + Elementor 조합은 매우 흔해 즉시 플러그인 업데이트가 필요합니다.
- CVE-2026-84063 (8.5): BurgerEditor 3.2.0~3.4.0에서 로그인 사용자의 위험한 파일 업로드로 PHP 코드 실행 가능.
- CVE-2026-82925 (8.1): Site Reviews 플러그인 8.3.0 미만에서 역직렬화를 통한 공격. nonce 키가 공개적으로 계산 가능한 조건이 문제입니다.
- CVE-2026-64837 / CVE-2026-64838 (8.7): ICEcoder 8.1까지 디렉터리명 셸 명령 삽입 및 oldFileName 경로 탐색. 인증된 사용자라도 문서 루트 밖 파일을 옮길 수 있습니다.
- CVE-2026-88874 외 AVideo 다수: 라이브 스트림 패스워드 확인 누락, PlayerSkins/seo.php 인가 누락, restream 토큰 발급, setPassword CSRF 등이 한꺼번에 공개됐습니다.
- CVE-2026-79987 (8.7): Craft CMS에서 accessCp 권한만 가진 비관리자도 PHP 워커 권한으로 OS 명령 실행이 가능합니다.
- CVE-2026-73694 / CVE-2026-73698 / CVE-2026-73699 (8.6): FileRun 2026.3.0 미만에서 OS 명령 주입, SQL 삽입, PHP 객체 주입이 잇따라 발견됐습니다.
- CVE-2026-81784 (8.1): Wise Chat <= 3.4는 비인증 PHP 객체 주입이 가능합니다.
운영자는 위 PHP 계열 제품 중 사용 중인 것이 있다면 버전을 확인하고, 없다 하더라도 WordPress 플러그인 노출 면적을 최소화하는 것이 좋습니다.
PostgreSQL — Open WebUI OAuth 로그인 우회
- CVE-2026-87016 (8.1): Open WebUI 0.6.41~0.11.1에서 SQLite 기반 OAuth subject 조회가 SQL LIKE 부분일치로 컴파일되어 와일드카드로 다른 사용자 로그인이 가능합니다. 0.11.1로 업데이트하세요. 아울러 KrCERT가 공지한 PostgreSQL 본체 취약점(CVE-2026-6473/6475)도 함께 확인이 필요합니다.
Laravel — MongoDB 통합
- CVE-2026-88022 (8.4), CVE-2026-88027 (7.1), CVE-2026-88028 (7.1): 배열·임베디드 식별자·폴리모픽 관계 식별자가 쿼리 조건으로 해석되는 문제입니다. 명시적 동등 필터에 배열을 넘길 수 있는 애플리케이션은 인가 우회에 노출될 수 있으니 MongoDB용 Laravel 통합 패키지 패치를 확인하세요.
Docker — Renovate
- CVE-2026-88886 (8.5), CVE-2026-88889 (8.5), CVE-2026-88885 (7.3), CVE-2026-88888 (7.3): Renovate 44.14.7 미만의 Gradle/Maven Wrapper/gomod/Mix 매니저에서 이스케이프 누락으로 커맨드 인젝션이 가능합니다. binarySource=docker 모드로 사용 중이라면 더 위험하므로 Renovate를 최신 버전으로 올리세요.
npm — capgo
- CVE-2026-88863 (8.6): capgo 패키지 12.207.1까지 초대 검증 시 요청자 역할 등급을 비교하지 않아 org.update 권한만으로 상위 역할 초대가 가능합니다.
Android — Lenovo File Manager
- CVE-2026-18994 (8.4): 중국 시장 전용 Lenovo File Manager 앱에서 로컬 인증 사용자가 앱 내 보호 파일을 읽거나 수정할 수 있습니다.
Chrome — Chromium V8 (KEV)
- CVE-2026-87491: 이미 악용이 확인된 V8 OOB write입니다. Chrome/Edge 브라우저와 Chromium 내장 애플리케이션의 업데이트 상태를 확인하세요.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-77770 | 10.0 | 0.1% | miniOrange 2FA WordPress 플러그인, 인증 없이 사이트 옵션 삭제로 관리자 전체 잠금 가능 |
| CVE-2026-57967 | 9.8 | 0.3% | Apache Artemis / ActiveMQ Artemis, SESSION_REATTACH 패킷으로 기존 세션 탈취 후 이어서 실행 |
| CVE-2026-88018 | 9.8 | — | rclone serve s3가 –auth-proxy를 쓸 때 임의 accessKeyID 등록으로 인증 우회 (1.75.1 미만) |
| CVE-2026-89094 | 9.9 | — | Forgejo 16.0.4 미만, .forgejo/template 템플릿 확장 처리 오류로 RCE |
| CVE-2026-68488 | 9.9 | — | Plesk TOCTOU/심볼릭 링크로 로컬 권한 상승, 68487(백업 매니저 경로 탐색)과 연계 시 위험 |
| CVE-2026-85025 | 9.8 | — | IBM Langflow OSS 1.0.0~1.11.5, 공개 MCP 엔드포인트로 인증 없이 코드 실행·세션 접근 |
| CVE-2026-52098 | 9.8 | — | Flowise 3.1.2, /api/v1/prediction/<flowId> 엔드포인트로 원격 코드 실행 |
| CVE-2026-18351 | 9.8 | 0.8% | Elementor Forms Drag and Drop File Upload 1.6.0 이하 임의 파일 업로드 (PHP 스택) |
같은 날 IBM Langflow는 OS 명령 주입(CVE-2026-79724)과 코드 인젝션(CVE-2026-81204)까지 총 3건, Plesk는 2건, Dell ThinOS도 원격/인접 네트워크 명령 주입(CVE-2026-81467, CVE-2026-81048) 2건이 연쇄 공개됐습니다. 한편 이 블로그 이름과 우연히 같은 ‘LZ-litchi 1.0.0’ 제품에서도 인증 없는 임의 파일 업로드 + 경로 탐색(CVE-2026-71805, CVSS 9.8)이 등록됐습니다. 전혀 다른 프로젝트이므로 혼동하지 마시고, 해당 제품을 사용 중이라면 업데이트하세요. NVD 신규 게시 CVE는 EPSS가 아직 산출되지 않은 경우(표의 —)가 많아 이후 악용 확률 변화를 계속 확인해야 합니다.
🌐 위협 동향
CISA, KEV에 MikroTik RouterOS 2건 추가 (2026-09-10)
CISA는 RouterOS의 btest 서비스 인증 부재(CVE-2026-67277)와 명령 인자 구분자 처리 결함(CVE-2026-86060)을 KEV에 추가하며 실제 악용을 확인했습니다. 인터넷에 노출된 RouterOS 장비를 보유한 조직은 즉시 펌웨어와 노출 포트를 점검해야 합니다. 원문
CISA, KEV에 Fortinet·Citrix·Chromium·Cisco 4건 추가 (2026-09-09)
하루 전에는 Fortinet 힙 오버플로우(CVE-2025-25249), Citrix NetScaler 인증 우회(CVE-2026-19490), Chromium V8(CVE-2026-87491), Cisco FMC/SCC 인증 우회(CVE-2026-20079)가 등재됐습니다. 특히 Cisco FMC 건은 EPSS 74.7%로 KEV 등재 건 중 가장 높아 방화벽 관리 평면부터 패치 우선순위를 두어야 합니다. 원문
ISC: EOL Proxmox VE 7 노린 스캔 관측
SANS ISC는 약 일주일 전 Proxmox가 공개한 취약점 공지 이후, 지원이 종료된 Proxmox VE 7을 대상으로 한 스캔 트래픽을 관측했습니다. VE 7은 수년 전 지원이 끝나 패치가 제공되지 않으므로 VE 8 이상으로 업그레이드하는 것 외에 사실상 선택지가 없습니다. 원문
ISC: Redtail 페이로드 분석 (Guest Diary)
ISC 인턴 Aaron Ng가 SANS.edu BACS 프로그램의 일환으로 ‘Redtail’ 페이로드 분석을 게스트 다이어리로 공유했습니다. 실제 수집된 페이로드를 해부한 내용으로, 같은 사인처를 IOC로 삼아 탐지 환경에 반영할 수 있습니다. 원문
오늘의 체크포인트
- Cisco Secure FMC/SCC 사용처는 최우선 패치 — CVE-2026-20079 인증 우회는 EPSS 74.7%(99th)로 KEV 중 최상위 악용 확률입니다. Citrix NetScaler(CVE-2026-19490)도 AAA/게이트웨이 구성이면 같은 날짜에 패치하세요.
- MikroTik RouterOS 펌웨어 확인 — CVE-2026-86060(정책 마스크 변조), CVE-2026-67277(btest 인증 부재)이 KEV에 등재됐습니다. btest/관리 포트의 외부 노출을 차단하고 최신 펌웨어로 업데이트하세요.
- 인프라 컴포넌트 업데이트 — rclone 1.75.1 미만(–auth-proxy 사용 시 인증 우회), Apache Artemis/ActiveMQ Artemis(SESSION_REATTACH 세션 탈취), Forgejo 16.0.4 미만(RCE)을 각각 최신 버전으로 올리세요.
- 패키지 의존성 최신화 — n8n 1.123.76, Angular 22.1.4, open-webui 0.11.1, pimcore 2026.1.6으로 업데이트하고, 패치가 없는 omniroute은 노출을 통제하세요.
오늘의 한 줄 정리: 라우터에서 메시지 브로커까지, ‘인증’의 빈틈을 노린 실제 악용과 대량의 신규 Critical이 쏟아진 하루였습니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.