오늘 KEV에 GitLab Community/Enterprise Edition, JFrog Artifactory, ConnectWise ScreenConnect, MikroTik RouterOS 등 주요 인프라 제품의 실제 악용 취약점이 대거 추가되었습니다. 국내에서는 KrCERT가 PostgreSQL과 Linux 커널 보안 업데이트를 권고했으며, GitHub Advisory에서는 npm/pip 패키지 4건의 고위험 취약점이 발표되었습니다. 또한 SANS ISC는 AI 에이전트를 활용한 LLM 공급망 공격 캠페인을 관측했습니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-84869 — ConnectWise ScreenConnect
ConnectWise ScreenConnect에서 원격 세션 중 권한 없이 파일 전송 및 실행이 가능한 권한 관리 및 인가 누락 취약점입니다. 섬웨어 사용 여부는 확인되지 않았으며 EPSS는 0.4%(백분위 32)입니다. ScreenConnect를 사용 중이라면 즉시 최신 버전으로 업데이트하세요. NVD
CVE-2026-42016 — JFrog Artifactory
토큰 서명/발행자 검증만 수핼하고 스코푸 검증을 생략하여 권한 상승이 가능한 부정확한 인가 취약점입니다. EPSS 0.3%. Artifactory를 운영 중이라면 최신 패치 적용이 필수입니다. NVD
CVE-2026-42018 — JFrog Artifactory
익명 액세스 비활성화 상태에서도 내부 익명 사용자 토큰이 반환되는 부적절한 인증 취약점입니다. EPSS 0.3%. 위와 동일 제품군이므로 함께 업데이트하세요. NVD
CVE-2026-85706 — GitLab Community/Enterprise Edition
리퍼지토리 커밋 API에서 경로 검증 및 인증 누락으로 인증 없이 임의 파일을 읽을 수 있는 경로 탐색 취약점입니다. 랜섬웨어 사용 여부는 미확인이나 EPSS는 아직 제공되지 않았으나 CISA가 실제 악용을 확인했습니다. GitLab 인스턴스는 즉시 업데이트하세요. NVD
CVE-2026-86060 — MikroTik RouterOS
명령 인자 구분자 처리 미흡으로 RouterOS 정책 마스크를 변경하여 권한 상승이 가능한 취약점입니다. EPSS 0.7%(백분위 51)로 악용 확률이 높습니다. NVD
CVE-2026-67277 — MikroTik RouterOS
btest 서비스에 인증 없이 커널 메모리 노출 및 Do가 가능한 취약점입니다. EPSS 0.7%(백분위 53). 라우터 OS 사용자는 최신 펌치를 확인하세요. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
1. 美 CISA 발표 주요 Exploit 정보공유 (Update. 2026-09-11) CISA KEV 카탈로그에 신규 등록된 취약점 목록을 국내에 재공유한 공지입니다. GitLab, JFrog, ConnectWise, MikroTik 제품이 해당되며 국내에서도 해당 솔루션을 사용하는 기관은 즉시 점검이 필요합니다. 공지 보기
2. Linux 제품 보안 업데이트 권고 리눅스 커널에서 Use-After-Free 취약점(CVE-2026-31554)가 해결된 업데이트를 발표했습니다. 커널 기반 시스템(서버, 클라우드 인스턴스, 임베디드 장치 등)은 영향을 받을 수 있으므로 배포판에서 제공하는 커널 업데이트를 적용하세요. 공지 보기
3. PostgreSQL 제품 보안 업데이트 권고 정수 오버프로(CVE-2026-6473), UNIX 심볼릭 링크 팔로잉(CVE-2026-6475) 등 다수 취약점이 패치되었습니다. Po스tgreSQL 16, 15, 14, 13 브핸치 사용자는 각 브랜치의 최신 업데이트(16.4, 15.8 등)를 적용해야 합니다. 공지 보기
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 버전 | 패치 버전 |
|---|---|---|---|---|
| yayson | npm | Critical | <=4.2.0 | 4.3.0 |
| @mockoon/commons-server | npm | High | <9.7.0 | 9.7.0 |
| mcp-from-openapi | npm | High | >=2.3.0, <2.5.0 | 2.5.0 |
| prowler-cloud | pip | Critical | <5.30.3 | 5.30.3 |
yayson은 스토어/레거시스토어 비직렬화 과정에서 프로토타입 오염이 발생하는 심각한 취약점입니다. Node.js 프로젝트에서 해당 라이브러리를 의존성으로 사욜한다면 즉시 4.3.0 이상으올 업데이트해야 합니다. prower-cloud는 AWS 보안 감사 도구로, SAML 도메인 클레임 처리 결함으로 크로스-테넌트 계정 탈취가 가능합니다. 클라우드 보안 담당자는
주요 스택 관련
• Node.js multipary (CVE-2026-87908): 2.1.0부터 4.31 미만 버전에서 멀티파트 폀데이터 파성 중 마리 헤더 버퍼 크기 제한 부재로 메모리 고갈 Do가 가능. 4.3.1로 업데이트.
• Node.js compression (CVE-2026-87776):1.8.2 미만 버전에서 클라이언트 연결 종료 시 zlib 스트림 미해제로 리크 발생. 1.8.2로 업데이트.
• PHP pris (CVE-2026-89013: 24.0.1 미만, 인증 우회로 임의 파일 읽기. 업데이트 필요.
• PHP WP SP (CVE-2026-72708): 4.4.18 미만, 공재 sitemap 엔드포인트에서 블라인드 SQL 인젝션. 4.4.18로 패치.
• Linux Kerne: CVE-2026-80926 ~ 80937까지 다수 oock/ksmbd/timekeeping/smack/w1/vsock/wifi 드라이버 UAF, 메모리 누수 등. 안정적인 커널 버전(예: LTS 6.12.x, 6.1.x 최신 빌드) 사용 권고.
이 외에도 CVE-2026-16174 (Windows EPDLP 정수 오버플로), CVE-2026-18994 (Android Lenovo File Manager 권한 상승) 등 플랫폼별 취약점도 존재합니다.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-81204 | 9.8 | 0.6% | IBM Langflow OSS 그래프 구축 시 코드 인젝션으로 원격 코드 실행 |
| CVE-2026-89094 | 9.9 | 0.5% | Forgejo 16.0.4 미만, 템플릿 리포지토리 확장 처리 결함으로 원격 코드 실행 |
| CVE-2026-8778 | 9.8 | 0.6% | WordPress MIPL Grouped Checkout 플러그인에서 임의 파일 업로드 |
| CVE-2026-80462 | 10.0 | – | Chef Automate API 게이트웨이 인증 우회로 관리자 권한 획득 가능 |
| CVE-2026-87985/986/987/988 | 10.0 | – | Mistral Vibe에서 ANSI-C 인수, 쉘 구문, 환경 변수 등 여러 경로로 명령 우회 코드 실행 가능 (4건) |
| CVE-2026-82617 | 10.0 | – | Apache OpenNLP 정규 표현식의 중첩 정량자로 인한 ReDoS 가능성 |
| CVE-2026-62103 | 9.8 | – | WordPress Everest Forms 3.6.0 이하, 미인증 PHP 객체 인젝션 |
| CVE-2026-79395 | 9.8 | – | Xiongmai IP Cmera XM530 펌웨어, WS-Security 인증 우회로 ONVIF 리빌리지드 명령 실행 |
CVSS 10.0인 취약점 중 Chef Automate와 Mistral Vibe는 파급력이 매우 크므로 해당 제품 사용자는 업데이트 및 설정 검토가 필요합니다.
🌐 위협 동향
1. AI 에이전트를 활용한 LLM 공급망 공격 (SANS ISC) 아이덴티파이된 공격자가 반자율 코딩 에이전트를 이용해 취약한 LLM 재판매 게이트웨어를 스캔하고, 웹 일반 결함과 계정 팜이및을 통해 API 액세스를 획득한 후, 단일 게이트웨이 뒤에 집약시키는 공급망 공격을 수행했습니다. 이는 AI 인프라를 표적으로 한 새로운 유형의 자동화된 공격 캠페인으로, 전통적인 API 보안 점검이 시급함을 시사합니다. 원문
.2 Redtail 페이로드 분석 [게스트 다이리] SANS ISC 인턴이 분석한 Redtail 악성코드는 특정 취약점을 통해 유입된 후, 시스탬 정보 수집 및 추가 명령 실행을 수핼하는 것으로 나다났습니다. 상세 지표(IOC)는 다이리 원문 참조. 원문
.3 CISA ICS 및 의료 기기 권고
• Orthan DICOM Service (ICSMA-26-253-02): 인증된 공격자가 PNG/JPEG 디코딩 시 힙 오버라이트로 DoS 유발.
• AVEVA Pipeline Integrity Monitor (ICSA-26-253-01): 정보 노출, 해시 브루트포스, 브라우저 임의 코드 실행 가능.
• ST Engineering iDirect iQ-Series (Update A, ICSA-26-183-01): 다수 취약점으로 기기 정보 노출 및 DoS.
• NextGen Healthcare Mirth Connect (ICSMA-26-253-01): 데이터 탈출 및 DoS 가능.
의료 및 산업 제어 시스템 운여자는 각 권고에 따라 패치 및 완화 조치를 취하십시오.
오늘의 체크포인트
- KEV 등록 제품 즉시 업데이트: GitLab (CE/EE), JFrog Artfactory, ConnectWise ScreenConnect, MikroTik RouterOS 사용 중이라면 오늘 안에 패치를 적용하세요. GitLab은 path traversal로 인증 없이 파일 노출이 가능하므로 특히 위험합니다.
- PostgreSQL 업데이트: CVE-2026-6473 (정수 오버플로), CVE-2026-6475 (심볼릭 링크 팔로잉) 등 다수 취약점이 공개되었습니다. 현 제품 운용 버전을 확인하고 최신 마이너 릴리스로 업데이트하세요.
- npm 패키지 업데이트:
yayson,@mockoon/commons-server,mcp-from-openapi종속성을 사용한다면 각 패치 버전 이상으로 업데이트하세요. Prowler 사용자는 5.30.3 이상으로 업그레이드하세요. - Node.js 익스프레스 미들웨어:
compression1.8.2 미만 사용 시 z립 누수로 메모리 고갈이 발생할 수 있음.multiparty4.3.1 미만 사용 시 파서 메모리 고갈 DoS 위험. 두 모듈 모두 업데이트하세요.
당장 조치가 필요한 항목이 없더라도, 이번 주에 언급된 취약점들은 일부 제품군에 대규모 영향을 미칠 수 잇으므로 주기적으로 점검하시기 바랍니다.
매일 아참 보안 동향을 릿치 블로그에서 만나보세요.