오늘은 CISA KEV에 GitLab CE/EE와 JFrog Artifactory, ConnectWise ScreenConnect가 추가되면서 엔터프라이즈 인프라 구성요소의 실공격 위험이 부각됐습니다. WordPress 플러그인 생태계에서는 하루에만 6건의 Critical 등급 취약점이 보고되어, PHP 기반 사이트 운영자의 즉각적인 점검이 필요합니다. SANS ISC에서는 AI 에이전트가 LLM 액세스를 수확해 재판매하는 새로운 형태의 공급망 공격을 관측했습니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-84869 — ConnectWise ScreenConnect
ScreenConnect의 권한 관리 부재 및 인증 누락으로 원격 세션에서 파일 전송 및 실행이 가능한 취약점입니다. 랜섬웨어 연계 여부는 확인되지 않았으며 EPSS는 0.7%입니다. 원격 지원 도구를 사용하는 환경에서 즉시 패치 적용이 필요합니다. NVD
CVE-2026-42016 — JFrog Artifactory
토큰 서명/발급자 검증만 하고 스코프(scope)를 확인하지 않아 권한 상승이 가능한 취약점입니다. EPSS 0.9%로 실공격 가능성이 높습니다. NVD
CVE-2026-42018 — JFrog Artifactory
익명 접근이 비활성화된 상태에서도 내부 anonymous-user 토큰이 반환될 수 있는 인증 우회 취약점입니다. EPSS 0.9%로 함께 패치가 필요합니다. NVD
CVE-2026-85706 — GitLab CE/EE
Repository Commits API에서 경로 순회(path traversal)로 인증 없이 임의 파일을 읽을 수 있는 취약점입니다. EPSS 1.1%로 가장 높은 악용 확률을 보입니다. 모든 GitLab 운영자는 즉시 업그레이드해야 합니다. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
오늘 신규 공지 없음
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음
🧩 주요 스택 관련
PHP — WordPress 플러그인 다수
- CVE-2026-85200 (GEO my WP, CVSS 7.5): LFI를 통한 PHP 파일 포함·실행 가능. EPSS 0.8%
- CVE-2026-78175 (Tutor LMS, CVSS 8.8): PHP 객체 주입으로 원격 코드 실행 가능. EPSS 0.6%
- CVE-2026-84099 (wpstorecart, CVSS 8.1): 인증 없는 역직렬화 공격. EPSS 0.2%
- CVE-2026-81090 (Gpx2Graphics, CVSS 7.2): CSRF를 통한 파일 업로드. EPSS 0.1%
- CVE-2026-90537 (AVideo, CVSS 8.8): 인증 부재로 스케줄러 이메일 작업 노출. EPSS 미확인
모두 PHP 스택에서 동작하는 WordPress 플러그인 취약점으로, 운영자는 사용 중인 플러그인 목록을 확인하고 각각 패치 버전으로 업데이트해야 합니다.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-87719 | 9.9 | 0.6% | GitLab EE Duo Chat에서 인증 사용자가 고급 검색 설정 및 민감 자격증명 획득 가능 |
| CVE-2026-82845 | 9.9 | 0.2% | Masteriyo LMS WordPress 플러그인 — 역직렬화를 통한 PHP 객체 주입 → RCE |
| CVE-2026-78006 | 9.8 | 0.8% | The Events Calendar WordPress 플러그인 — is_safe_widget_instance 우회로 RCE |
| CVE-2026-78159 | 9.8 | 0.8% | 동일 플러그인 다른 경로 — parse_array 함수를 통한 RCE (이전 버전 6.17.3) |
| CVE-2026-75800 | 9.8 | 0.2% | Frontegg SAML SSO 플러그인 — SAML 응답 서명/발급자 검증 누락으로 관리자 로그인 가능 |
| CVE-2026-81402 | 9.8 | 0.2% | DS Ad Rotator 플러그인 — 인증 없는 파일 업로드로 RCE |
| CVE-2026-84171 | 9.8 | 0.2% | WP images upload on piclect 플러그인 — 파일명/타입 검증 누락으로 RCE |
| CVE-2026-90558 | 9.3 | 미확인 | sngrep 1.8.4 이하 — SIP 헤더 처리 중 스택 버퍼 오버플로우 |
WordPress 관련 Critical이 집중되었으며, 특히 The Events Calendar 두 건(CVE-2026-78006, CVE-2026-78159)은 EPSS 0.8%로 우선 패치가 필요합니다. GitLab EE Duo Chat 취약점(CVSS 9.9)은 엔터프라이즈 환경에서 데이터 유출 위험이 큽니다.
🌐 위협 동향
AI 에이전트가 구축한 LLM 액세스 공급망 — SANS ISC
SANS ISC 관측에 따르면, 공격자가 반자율 코딩 에이전트를 사용해 보안이 취약한 LLM 리셀 게이트웨이를 찾고, 일반적인 웹 결함과 계정 파밍을 통해 API 접근을 획득한 후 이를 단일 게이트웨이로 집계해 재판매하는 공급망 공격이 확인되었습니다. 이는 AI 서비스 접근권을 둘러싼 새로운 형태의 위협입니다. 원문
CISA KEV 4건 추가 — 9월 11일 권고
CISA는 9월 11일자로 두 차례 권고를 통해 총 4개의 취약점을 KEV에 추가했습니다. 특히 GitLab CE/EE 경로 순회 취약점은 인증 없이 임의 파일 읽기가 가능해 공격자에게 매우 매력적인 표적입니다. CISA 권고1 | CISA 권고2
오늘의 체크포인트
- GitLab CE/EE — self-hosted 운영자는 CVE-2026-85706 패치가 포함된 최신 버전(19.3.2 이상)으로 즉시 업그레이드하세요. 커밋 API 경로 순회로 소스코드·설정 파일이 유출될 수 있습니다.
- WordPress 플러그인 점검 — The Events Calendar(2건), Masteriyo LMS, Frontegg SAML SSO, DS Ad Rotator, WP images upload 등 Critical 다수가 보고되었습니다. 사용 중인 플러그인 버전을 확인하고 공식 업데이트를 적용하세요.
- JFrog Artifactory — CVE-2026-42016과 CVE-2026-42018이 연이어 KEV에 등재되었습니다. 인가·인증 관련 결함으로 내부 리소스 노출 위험이 있으므로 최신 패치를 확인하세요.
- LLM 게이트웨이 보안 — SANS ISC에서 AI 에이전트를 통한 LLM 액세스 수확 공격이 관측되었습니다. 조직에서 LLM API를 운영 중이라면 인증·속도 제한·모니터링 체계를 재점검하세요.
오늘의 핵심은 GitLab CE/EE와 JFrog Artifactory의 실공격 확인, 그리고 WordPress 플러그인 생태계의 연쇄적인 Critical 취약점입니다. PHP 기반 사이트 운영자는 특히 The Events Calendar 플러그인을 최우선으로 점검해야 합니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.