오늘은 Cisco ISE 관련 취약점이 CISA KEV에 대거 등재되고 CVSS 10.0 REST API 취약점까지 공개되면서 전 세계 NAC 운영 조직의 긴급 대응이 필요한 날입니다. 국내 KrCERT는 Gitea Code Injection 취약점(CVE-2026-60004)이 실제 공격에 활발히 사용되고 있다고 경고했고, Python 패키지 djust에서도 Critical 1건을 포함한 5건의 취약점이 한꺼번에 수정됐습니다. 지난 24시간 NVD에는 984건의 CVE가 게시됐으며, 이 중 Critical은 105건에 달합니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-58704 — Google Pixel
Google Pixel 기기의 cellular modem에서 권한 검사 로직 오류로 인해 공격자가 permission check를 우회하고 권한을 상승시킬 수 있는 취약점입니다. 랜섬웨어 사용 여부는 Unknown이며 EPSS는 0.1%입니다. Pixel 기기는 제조사의 최신 OTA를 반드시 적용하고, MDM으로 관리 중인 조직은 패치 배포 상태를 확인하세요. NVD
CVE-2026-76460 — Cisco Identity Services Engine
Cisco ISE 및 ISE-PIC가 privileged API를 잘못 사용하여, 인증되지 않은 원격 공격자가 웹 기반 관리 인터페이스를 우회해 장치에 접근할 수 있는 취약점입니다. KEV 등재로 실제 악용이 확인된 만큼 최신 하드닝 릴리스 적용이 시급하며, 같은 시기에 동일 제품군의 CVSS 10.0 취약점(CVE-2026-76423 등)도 공개됐습니다. 랜섬웨어 사용 여부는 Unknown이며 EPSS는 데이터에 포함되지 않았습니다. ISE를 운영 중이라면 관리 인터페이스의 외부 노출을 차단하고 즉시 패치하세요. NVD
CVE-2026-87886 — Acronis Backup
Acronis Backup의 cPanel & WHM 플러그인과 Plesk 확장에 잘못된 기본 권한 설정이 있어 권한 상승이 가능한 취약점입니다. 호스팅 환경에서 cPanel/WHM·Plesk과 함께 Acronis Backup을 쓰는 서버라면 플러그인/확장을 최신 버전으로 업데이트하고 기본 권한 설정을 점검하세요. 랜섬웨어 사용 여부는 Unknown이며 EPSS는 데이터에 포함되지 않았습니다. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
美 CISA 발표 주요 Exploit 정보공유(Update. 2026-09-16) — CISA가 현재 자주 악용되는 취약점 목록(KEV)을 업데이트했으며, 여기에는 Acronis Backup(CVE-2026-87886) 등이 포함됐습니다. KISA 권고에 따라 영향받는 버전 사용자는 해결 방안을 적용해 최신 버전으로 업데이트해야 합니다. 국내 기관도 이 목록을 기준으로 패치 우선순위를 잡는 것이 효과적입니다. 공지 보기
Gitea 제품 보안 업데이트 권고 — Gitea에서 발생한 Code Injection 취약점(CVE-2026-60004)이며, 최근 해당 취약점을 이용한 공격과 피해가 발생 중이라고 KrCERT가 경고했습니다. Gitea는 자체 호스팅 Git 서버로 국내 개발 조직에서도 널리 쓰이므로, 레포지토리와 CI/CD 연동이 많은 환경은 특히 최신 버전 업데이트를 서두르세요. 공지 보기
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| @nuxtjs/mdc | npm | High | < 0.22.1 | 0.22.1 |
| djust | pip | Critical | < 1.0.7 | 1.0.7 |
| djust | pip | High | < 1.0.7 | 1.0.7 |
| djust | pip | High | < 1.0.7 | 1.0.7 |
| djust | pip | High | < 1.0.7 | 1.0.7 |
| djust | pip | High | < 1.0.7 | 1.0.7 |
pip 패키지 djust는 WebSocket/SSE 마운트 경로의 인증 우회(Critical), IDOR, 세션 하이재킹, 신뢰할 수 없는 상태 복원 등 5건이 1.0.7에서 일괄 수정됐습니다. 1.0.7 미만을 사용 중이라면 즉시 업그레이드하세요. @nuxtjs/mdc는 Nuxt 기반 콘텐츠 사이트에서 쓰이는 마크다운 컴포넌트로, 기본 설정에서도 SVG xlink:href와 data:text/html을 통한 XSS가 가능하므로 0.22.1 이상으로 업데이트해야 합니다.
🧩 주요 스택 관련
오늘 스택 관련 신규 CVE는 312건으로, 그중 운영 대응이 필요한 항목을 골라 정리했습니다.
PHP 기반 장치 관리 인터페이스 — 인증 우회·RCE 연쇄
일련의 CVE가 같은 제품군의 PHP 웹 관리 인터페이스로 보이며, 인증 우회와 원격 셸 실행이 함께 공개됐습니다.
- CVE-2026-27546 (Critical 9.8):
_account_log함수의 인증 우회로 admin 로그인 가능. EPSS 1.0% - CVE-2026-27565 (Critical 9.8): 악성 IODD 파일을 업로드하면 root 권한으로 셸 스크립트가 실행되며, 재부팅 후에도 유지. EPSS 0.9%
- CVE-2026-27547~27558 (High 8.8):
/index.php/ajax/*,attached_devices_tab등 다수 엔드포인트에서 user/operator 권한으로 명령 주입 또는 로컬 파일 포함(LFI)을 통한 임의 PHP 코드 실행 가능. EPSS 2.1%(상위 81%)로 실제 스캔/공격 가능성이 꽤 높은 편
운영자는 해당 장치의 펌웨어 업데이트가 배포됐는지 확인하고, 관리 인터페이스를 외부에 노출하지 말아야 합니다.
Google Chrome (Chromium)
Chrome 153.0.8010.47 이전 버전에서 type confusion 및 use-after-free 계열 취약점 10건(CVE-2026-91709, 91711, 91715, 91721, 91722, 91731, 91736, 91737, 91741, 91745)이 공개됐습니다. ServiceWorker·Compositing·CacheStorage·V8·PDF 등의 컴포넌트가 대상이며, CVE-2026-91721은 샌드박스 외부 코드 실행 가능성이 있는 Critical로 평가됐습니다. Chrome/Edge 및 Electron 기반 애플리케이션을 153.0.8010.47 이상으로 업데이트하세요.
Linux 커널
- CVE-2026-89778 (9.8): isofs zisofs 빈 블록에서 out-of-bounds 페이지 배열 접근
- CVE-2026-89783 (9.8):
xfrm6_input_addr()의 secpath depth 검증 오류로 out-of-bounds 쓰기 - CVE-2026-89788 (9.8): ksmbd
smb2_tree_connect()에서 tree connection use-after-free - CVE-2026-89969 (9.8): nvmet-tcp의 과도하게 긴 PDU 수신 시 out-of-bounds 쓰기
- CVE-2026-89847/89857 (9.8): qla2xxx async IOCB timeout 이중 완료, NVMe LS reject 시 락 누락
- High 등급으로는 Bluetooth SCO(89774), vfio/pci MSI permission(89777), nouveau dmem DMA unmap(89804), amdkfd MES TLB flush(89811), qla2xxx 관련 3건(89844, 89849, 89860)이 공개됐습니다.
운영자는 배포판의 안정 커널 업데이트를 확인하고, ksmbd(SMB 서버), NVMe-oF 타깃, IPsec(xfrm)을 쓰는 호스트를 우선 점검하세요.
🔴 신규 Critical 하이라이트
오늘 공개된 Critical 105건 중 EPSS가 높거나 파급력이 큰 8건을 선별했습니다. NVD 게시 직후라 아직 EPSS가 산출되지 않은 항목이 많으며, 아래 표에도 EPSS가 없는 항목이 포함됩니다.
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-70416 | 10.0 | - | Dell ObjectScale(4.4.0.0 미만) 역직렬화(Deserialization) 취약점 → 원격 코드 실행 |
| CVE-2026-76423 | 10.0 | - | Cisco ISE/ISE-PIC REST API 인증 부재 → 관리자 접근 (CVE-2026-20130, 20192 등도 동일 하드닝 릴리스에 포함) |
| CVE-2026-92808 | 10.0 | - | Altium Enterprise Server UnifiedLogin 서비스 SSRF → 내부 서비스 접근 |
| CVE-2026-27546 | 9.8 | 1.0% | PHP 기반 장치의 _account_log 인증 우회 → admin 로그인 |
| CVE-2026-27565 | 9.8 | 0.9% | 악성 IODD 파일 업로드 → root 셸 실행(재부팅 후 유지) |
| CVE-2026-61560 | 9.8 | 0.7% | @zereight/mcp-gitlab SSE 모드에서 MCP 도구 인증 없음 → 서버 로컬 파일 읽기 |
| CVE-2026-54337 | 9.8 | 0.4% | Fireshare(1.6.14 미만) 비디오 업로드 함수 인자 주입 → 시스템 파일 쓰기/덮어쓰기 |
| CVE-2026-12793 | 9.8 | 0.4% | JetFormBuilder(≤3.6.2) WordPress 폼 플러그인 권한 상승 |
🌐 위협 동향
호스피탈리티(접객) 애플리케이션 대상 스캔 관측 — SANS ISC가 “First Seen” 보고서에서 호스피탈리티 업종 애플리케이션을 겨냥한 비정상 요청을 포착했습니다. 숙박·여행 업종의 웹 예약 시스템이 표적이 될 수 있으므로, 해당 업종 운영자는 최근 패치 적용 여부와 비정상 스캔 로그를 함께 확인하세요. 원문
macOS 27 ‘Golden Gate’ 첫 부팅 트래픽 분석 — ISC가 macOS 27이 로그인 전 첫 부팅 시 어떤 네트워크 트래픽을 발생시키는지 분석했습니다. macOS를 관리하는 조직이라면 이 기준 트래픽을 숙지해 두면 비정상 활동 탐지에 도움이 됩니다. 원문
Siemens Mendix SAML 모듈 계정 탈취 주의 — Mendix SAML 모듈은 특정 SSO 구성에서 인증되지 않은 원격 공격자가 계정을 탈취할 수 있는 취약점이 있습니다. Mendix 기반 애플리케이션에서 SAML SSO를 사용 중이라면 최신 픽스 릴리스로 업데이트하세요. 원문
NIST·CISA 토큰 및 어서션 보호 가이드 발간 — NIST와 CISA가 페더레이션 인증의 access token·identity assertion 보호와 위조·도난·오용 방지를 위한 구현 권고를 담은 보고서를 발표했습니다. OAuth/OIDC/SAML을 제공하는 클라우드 서비스 운영자는 토큰 저장·검증 방식을 이 권고와 대조해 보세요. 원문
오늘의 체크포인트
- Cisco ISE/ISE-PIC 하드닝 릴리스 적용 — KEV에 등재된 CVE-2026-76460과 CVSS 10.0 REST API 취약점(CVE-2026-76423)을 함께 해결할 수 있는 최신 릴리스로 업데이트하고, 관리 인터페이스 외부 노출을 차단하세요.
- Gitea 최신 버전 업데이트 — CVE-2026-60004 Code Injection이 실제 공격에 사용되고 있으므로 외부에 노출된 인스턴스를 우선 점검하고 패치하세요.
- Acronis Backup 플러그인/확장 점검 — KEV에 등재된 CVE-2026-87886에 대해 cPanel/WHM·Plesk용 플러그인을 업데이트하고 기본 권한 설정을 재검토하세요.
- 패키지 업데이트 — pip 패키지 djust를 1.0.7로, npm 패키지 @nuxtjs/mdc를 0.22.1 이상으로 업그레이드하세요. 또한 Chrome/Chromium을 153.0.8010.47 이상으로 유지해야 합니다.
오늘의 한 줄 정리: 실제 공격이 이미 확인된 Cisco ISE와 Gitea의 패치를 최우선으로 적용하고, 대량으로 쏟아진 PHP 관리 인터페이스·Chrome·커널 취약점 업데이트를 이어서 진행하세요.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.