오늘은 실제 악용 확인된 CISA KEV 신규 등재는 없으나, CVSS 10.0의 WordPress 플러그인 원격 파일 삭제 취약점과 Node.js 생태계(Nodemailer), nginx 연동(Socket Firewall), PostgreSQL(PostGIS) 스택 취약점이 다수 확인되었습니다. 패키지 생태계(GHSA) 및 국내 보안공지는 신규 항목이 없습니다.
🚨 실제 악용 확인 (CISA KEV)
오늘 KEV 신규 등재 없음.
🇰🇷 국내 보안공지 (KrCERT/KISA)
오늘 신규 공지 없음.
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음.
🧩 주요 스택 관련
CVE-2026-90776 — Nodemailer (Node.js)
Nodemailer 9.1.0~10.0.4의 addressparser 컴포넌트에서 RFC 5322 코멘트를 포함한 이메일 주소를 파싱할 때 이차 시간 복잡도 문제가 발생합니다. 공격자가 조작된 이메일 헤더로 CPU를 소모시켜 Node.js 이벤트 루프를 차단할 수 있습니다. Node.js 기반 메일 발송 서비스를 운영 중이라면 버전을 확인하고 10.0.5 이상으로 업데이트해야 합니다.
CVE-2026-90493 — Internet Download Manager (Windows)
Windows용 IDM 6.42 Build 63 이하의 커널 드라이버(idmwfp.sys)에서 부적절한 접근 제어 취약점이 발견되었습니다. 로컬 공격자가 해당 드라이버를 통해 권한 상승을 시도할 수 있습니다. Windows 환경에서 IDM을 사용 중이라면 최신 빌드로 업데이트하거나 불필요한 경우 제거하는 것이 좋습니다.
CVE-2026-90651 — Socket Firewall (nginx 연동)
Socket Registry Firewall 2.0.0 미만 버전에서 기본 설정 시 upstream TLS 인증서 검증이 비활성화됩니다. socket.yml에 api_ssl_verify, upstream_ssl_verify 키를 생략하면 내부적으로 SOCKET_API_SSL_VERIFY='false'로 설정되어 중간자 공격(MITM)에 노출됩니다. nginx 리버스 프록시와 연동된 환경이라면 반드시 2.0.0 이상으로 업데이트하거나 설정 파일에서 SSL 검증을 명시적으로 활성화하세요.
CVE-2026-90775 — PostGIS (PostgreSQL)
PostGIS address_standardizer 3.7.0까지의 Weight 파라미터 검증 누락으로, caller가 제공한 규칙 테이블의 Weight 값이 배열 인덱스로 사용될 때 범위 밖 읽기(Out-of-bounds read)가 발생합니다. 공격자가 악의적인 규칙 행을 삽입하여 PostgreSQL 서버 충돌 또는 정보 유출을 유발할 수 있습니다. PostGIS를 사용 중인 PostgreSQL 인스턴스는 address_standardizer 확장의 입력을 신뢰할 수 있는 사용자로 제한하고 패치를 기다려야 합니다.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-81648 | 10.0 | - | CryptoPayment Gateway WordPress 플러그인 1.2.1~1.2.2에서 AJAX 엔드포인트 인증 미비. 인증 없는 원격 사용자가 서버 파일 삭제, 결제 설정 덮어쓰기 등 관리자 작업 가능. |
| CVE-2026-90561 | 9.3 | - | Strapi 4.x~4.26.2 / 5.x<5.48.1에서 WYSIWYG 미리보기 컴포넌트의 저장형 XSS. Author 권한 사용자가 script 태그를 포함한 리치 텍스트를 저장하면 편집자 세션에서 실행됨. |
| CVE-2026-90562 | 9.2 | - | LangBot 4.10.11 미만에서 비밀번호 복구 키가 24비트 엔트로피에 불과하고 재설정 엔드포인트에 속도 제한 없음. 원격 공격자가 관리자 이메일만 알면 무차별 대입으로 비밀번호 초기화 가능. |
| CVE-2026-90647 | 9.1 | - | ASE/Kalkitech ASE2000 통신 테스트 장비 2.35~2.37 (Windows)의 IEC 60870-5-104 TLS 클라이언트에서 인증서 검증 취약점. 네트워크 위협자가 다중 동시 인증서를 사용하여 검증 우회 가능. |
🌐 위협 동향
금일 CISA 보안 권고 및 SANS ISC 관측 데이터가 없습니다. 특별히 보고된 주요 공격 캠페인이나 관측 트래픽은 없습니다.
오늘의 체크포인트
- WordPress CryptoPayment Gateway 플러그인을 사용 중이라면 즉시 비활성화하거나 패치가 발표될 때까지 대체 결제 수단으로 전환하세요. CVSS 10.0으로 원격 공격이 가능합니다.
- Strapi를 운영 중이라면 4.26.2 이하 또는 5.48.1 미만인지 확인하고 업데이트하세요. Author 권한 사용자의 XSS를 통해 편집자 권한 탈취가 가능합니다.
- Nodemailer를 사용하는 Node.js 애플리케이션은
package.json에서 버전을 확인하고 10.0.5 이상으로 업데이트하세요. 이메일 파싱 시 DoS 공격에 노출됩니다. - Socket Firewall (socketdev/socket-registry-firewall) v2.0.0 미만 환경에서는
upstream_ssl_verify를 명시적으로true로 설정하거나 업데이트하세요. 기본값이 SSL 검증을 생략합니다.
마무리
오늘은 KEV 신규 등재는 없었지만 CVSS 10.0 WordPress 플러그인 취약점과 개발 스택(Nodemailer, PostGIS, Socket Firewall)의 고위험 취약점이 다수 공개되었습니다. 특히 WordPress와 Strapi 사용자는 신속한 조치가 필요합니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.