오늘 CISA KEV 신규 등재는 없지만, 총 9건의 Critical 취약점이 NVD에 게시되었습니다. 특히 Suricata IDS/IPS 제품에서 DoH2 타입 혼동과 HTTP2 use-after-free 취약점(CVSS 9.4)이 발견되어 네트워크 보안 장비 운영자의 주의가 필요합니다. 또한 OrdaSoft Joomla Gallery 확장에서 3건의 Critical RCE 및 SQLi가 공개되었고, ISC에서는 HTTP QUERY 메서드의 새로운 RFC와 이에 따른 보안 관점을 다루고 있습니다.
🚨 실제 악용 확인 (CISA KEV)
오늘 KEV 신규 등재 없음.
🇰🇷 국내 보안공지 (KrCERT/KISA)
오늘 신규 공지 없음.
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음.
🧩 주요 스택 관련
PHP 스택 관련 취약점이 집중적으로 보고되었습니다. 주요 내용은 다음과 같습니다.
- CVE-2026-93988 (QloApps ≤1.7.0) – 인증된 백오피스 사용자가
/admin/ajax.php의getEmailHTML액션에서 경로 탐색(path traversal)을 통해 임의 파일을 읽을 수 있습니다. EPSS 0.4%. - CVE-2026-85017 (Unlimited Elements For Elementor WordPress 플러그인 <2.0.20) – AJAX 액션에서 역직렬화(deserialization)로 PHP 객체 인젝션 가능. 구독자 수준 권한으로도 공격 가능. EPSS 0.2%.
- CVE-2026-94104 (NivoCart ≤2.4.0) – 파일 관리자의
multi()엔드포인트에서 확장자 검증 부재로 PHP 파일 업로드 가능. 뷰 전용 권한만으로도 악용 가능. - CVE-2026-94108 (getID3 ≤1.9.26) – XML 외부 엔티티(XXE) 취약점으로 미디어 파일의 악의적인 메타데이터를 통해 로컬 파일 노출, SSRF 가능. PHP 8.0 이전 환경에서 취약.
운영자는 관련 패키지의 버전을 확인하고 패치가 있다면 즉시 적용해야 합니다.
🔴 신규 Critical 하이라이트
오늘 게시된 Critical 9건 중 파급도가 높은 항목을 선별했습니다.
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-94083 | 9.4 | 0.4% | Suricata <8.0.7 DoH2 타입 혼동으로 인한 invalid free. HTTP1→HTTP2 업그레이드 시 HTTP2 상태 정리 코드가 잘못 실행됨. |
| CVE-2026-94084 | 9.4 | 0.4% | Suricata <8.0.7 Http2ThreadMultiBuf use-after-free. http.response_header 규칙 조합 시 발생. |
| CVE-2026-88856 | 9.4 | 미평가 | OrdaSoft Joomla Gallery <6.2.7 인증된 원격 코드 실행. updateOSGallery()에서 JSON의 메서드 필드를 PHP 함수로 호출. |
| CVE-2026-88857 | 9.4 | 미평가 | 동일 확장의 saveWatermark()에서 클라이언트 제공 파일명을 검증 없이 웹 접근 가능 디렉토리에 저장. |
| CVE-2026-88854 | 9.3 | 미평가 | 동일 확장의 SQL Injection. $input->getVar()를 사용해 검색 파라미터를 직접 전달. |
| CVE-2026-94003 | 9.3 | 미평가 | Comfast CF-N1-S 라우터 웹 관리 인터페이스의 스택 버퍼 오버플로우. 원격 공격 가능. |
| CVE-2026-94089 | 9.3 | 미평가 | D-Link DIR-868L 2.01b05 인증 핸들러 /webfa_authentication.cgi의 스택 버퍼 오버플로우. |
| CVE-2026-94107 | 9.2 | 미평가 | NivoCart ≤2.4.0 비밀번호 재설정 토큰 예측 가능. substr(md5(mt_rand()),0,10)로 생성. |
🌐 위협 동향
HTTP QUERY 메서드 – GET과 POST 사이의 회색 지대
SANS ISC가 9월 18일 일기에서 다룬 내용입니다. 2026년 6월 IETF는 새로운 HTTP 메서드인 “QUERY"를 정의하는 RFC 10008을 발표했습니다. HTTP/2, HTTP/3 이후 처음으로 표준 HTTP 동사(PATCH 이후 2010년)가 추가된 것입니다. ISC는 이 메서드가 GET과 POST의 중간적 성격을 가지며, 보안 장비 및 애플리케이션에서 처리 방식이 불명확해 공격 표면이 될 가능성을 지적합니다. 운영자는 웹 애플리케이션 방화벽(WAF)과 IDS/IPS 규칙이 QUERY 메서드를 적절히 처리하는지 확인해야 합니다. 원문 보기
오늘의 체크포인트
- Suricata 버전 확인 – 8.0.7 미만인 경우 즉시 업데이트하세요. DoH2 기능이 활성화된 환경에서 특히 위험합니다.
- OrdaSoft Joomla Gallery 확장 – 6.2.7 미만 사용 시 RCE, SQLi에 노출됩니다. 패치 여부를 확인하고 업데이트하세요.
- PHP 기반 패키지 점검 – QloApps, Unlimited Elements, NivoCart, getID4 등 오늘 언급된 라이브러리/플러그인이 사용 중이라면 최신 버전으로 업데이트하세요.
- HTTP QUERY 메서드 대비 – WAF 및 IDS/IPS 정책에 QUERY 메서드에 대한 기본 차단/허용 규칙을 검토하세요.
오늘은 KEV 등재는 없었지만 Suricata, Joomla 확장, PHP 패키지에서 다수의 Critical 취약점이 보고되었습니다. 특히 Suricata는 보안 인프라의 핵심 제품인 만큼 패치를 최우선으로 고려해야 합니다. QUERY 메서드 도입은 장기적인 관점에서 모니터링이 필요합니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.