도입부

오늘의 최대 이슈는 Citrix NetScaler ADC/Gateway에서 확인된 제로데이 계열 취약점이다. CISA는 NetScaler 관련 신규 취약점 8건을 공개하면서 이 중 2건(CVE-2026-88771, CVE-2026-88772)을 실제 악용 근거와 함께 KEV 카탈로그에 등재했고, 같은 제품군의 HTTP 요청 스머글링 취약점(CVE-2026-88773, CVSS 9.3)도 함께 공개됐다. 인터넷에 노출된 ADC/Gateway는 인증 없이 임의 명령 실행으로 이어질 수 있어 최우선 점검이 필요하다.

NVD 24시간 게시분은 155건, 이 중 CVSS 9.0 이상 Critical은 7건이다. 신규 게시 CVE는 CVSS 미평가 비율이 여전히 높아, 점수만으로 우선순위를 정하기보다 노출 여부와 실제 사용 여부를 함께 봐야 한다. 국내 KrCERT/KISA 신규 공지와 GHSA(npm/composer/pip) High·Critical 항목은 오늘 수집분에 없었다. 수집 실패로 누락된 소스는 없었다.

🚨 실제 악용 확인 (CISA KEV)

CVE-2026-88771 — Citrix NetScaler Improper Input Validation

NetScaler ADC 및 NetScaler Gateway의 입력 검증 결함으로, 인증되지 않은 공격자가 임의 명령을 실행할 수 있는 유형이다. CISA가 실제 악용 근거를 확인해 KEV에 등재한 2건 중 하나로, 공격 표면이 인증 전 단계라는 점이 가장 위험하다. 랜섬웨어 캠페인 연계 여부는 데이터상 Unknown(미확인)이며, EPSS 값은 이번 수집 데이터에 포함되지 않았다. 인터넷에 직접 노출된 ADC/Gateway가 있다면 관리 인터페이스 접근 제한 여부를 확인하고 벤더 권고 버전으로 즉시 업그레이드해야 한다. NVD

CVE-2026-88772 — Citrix NetScaler Improper Restriction of Operations within the Bounds of a Memory Buffer

메모리 버퍼 범위를 제대로 제한하지 못하는 결함으로, 원격 코드 실행 또는 서비스 거부(DoS)로 이어질 수 있다. 마찬가지로 악용이 확인되어 KEV에 등재됐고 랜섬웨어 연계 여부는 Unknown이다. 메모리 계열 결함은 DoS를 넘어 RCE로 악화될 수 있으므로, 리버스 프록시·SSL VPN 용도로 NetScaler를 운영 중인 환경은 패치 전까지 노출 최소화(관리 평면 분리, 접근 통제)를 병행하는 것이 안전하다. NVD

🇰🇷 국내 보안공지 (KrCERT/KISA)

오늘 신규 공지 없음.

📦 패키지 생태계 (GHSA)

오늘 npm/composer/pip 신규 High/Critical 없음.

🧩 주요 스택 관련

  • CVE-2026-93302 — wolfSSL MatchTrustedPeer 검증 우회 (CVSS 8.3, HIGH): WOLFSSL_TRUST_PEER_CERT 매크로를 활성화하고 wolfSSL_CTX_trust_peer_cert() / wolfSSL_trust_peer_cert()로 CA 인증서를 로드하는 빌드에서, 사용된 공개키를 검증하지 않아 위조된 CA 클론이 검증을 통과한다. nginx/openssl 스택과 함께 매칭된 항목으로, TLS 신뢰 체인 구성에 영향을 줄 수 있다. 해당 매크로를 쓰지 않는 일반 빌드는 영향 범위에서 벗어나므로 실제 사용 여부를 먼저 확인하고, 해당하면 wolfSSL 최신 버전으로 업데이트해야 한다. NVD

  • CVE-2026-101044 — pnpm의 Rust 패키지 매니저 pacquet 경로 검증 누락 (CVSS 7.1, HIGH): pnpm npm 패키지의 >=12.0.0-alpha.0 <12.0.0-alpha.5 버전에 포함된 pacquet이 lockfile에서 가져온 의존성 alias/name 경로를 설치 시 파일시스템 조인 전에 검증하지 않는다. 공격자가 조작한 lockfile을 설치하는 순간 경로 이탈이 발생할 수 있는 공급망 성격 이슈로, CI에서 alpha 버전 pnpm을 고정 사용 중인지 확인하고 12.0.0-alpha.5 이상으로 올리는 것이 좋다. NVD

  • CVE-2026-100847 — AzuraCast DQL 인젝션 (CVSS 8.7, HIGH): AbstractSearchableListAction.php의 sortOrder API 파라미터에 DQL 식을 주입해 사용자 자격증명, 스테이션 설정 등 민감 DB 정보를 추출할 수 있다. 자체 호스팅 웹 라디오를 운영 중이라면 0.23.8 이상으로 업데이트해야 한다. NVD

  • CVE-2026-100849 — AzuraCast 웹훅 URL 검증 우회 (CVSS 7.1, HIGH): AbstractConnector::getValidUrl()이 리터럴 호스트만 차단해 SSRF류 우회가 가능하다. 같은 제품의 0.23.8 패치에 포함된 항목이므로 함께 처리하면 된다. NVD

  • CVE-2026-100839 — Contrast 게스트 커널 ACPI/AML 인젝션 “BadAML” (CVSS 8.4, HIGH): Confidential Computing 런타임에서 신뢰할 수 없는 호스트(QEMU)가 넘긴 ACPI 테이블의 AML 바이트코드가 게스트 펌웨어(OVMF)로 전달되는 경로의 결함이다. linux kernel 스택과 매칭되며, 1.18.0 이전 버전이 영향 범위다. 기밀 컴퓨팅 격리를 신뢰 모델로 쓰는 환경은 특히 주의해야 한다. NVD

  • CVE-2026-100844 — MONAI nnUNetV2Runner OS 명령 주입 (CVSS 8.6, HIGH): YAML 설정(dataset_name_or_id)과 CLI/kwargs 값이 인용 없이 명령 문자열로 결합된다. 학습 파이프라인 입력을 외부에서 받는 경우 위험하며, 1.6.0 이상으로 올려야 한다. NVD

  • WordPress 플러그인 2건 (CVSS 미평가): Ad Inserter 2.8.19 미만(CVE-2026-81655)은 설정 페이지 접근 통제 미흡으로 subscriber 권한 사용자가 설정을 변경할 수 있고, Online Scheduling and Appointment Booking System 28.3 미만(CVE-2026-86841)은 신뢰할 수 없는 입력 역직렬화 문제를 갖는다. 둘 다 PHP 기반이며 점수가 아직 평가되지 않았으므로 노출된 사이트는 플러그인 버전부터 확인하는 것이 좋다. CVE-2026-81655 · CVE-2026-86841

  • Critical 중 스택 매칭 항목: CVE-2026-100741(hMailServer, windows)과 CVE-2026-101065(Obot, docker)는 아래 Critical 섹션에서 함께 다룬다.

🔴 신규 Critical 하이라이트

CVECVSSEPSS요약
CVE-2026-1007419.81.7% (상위 77%)hMailServer 6.0.0~6.3.3(Windows) JScript 이벤트 스크립트 디스패처의 Eval 인젝션 — 원격 비인증 공격자가 서비스 계정 권한으로 임의 JScript 실행
CVE-2026-1007219.50.4%vm2 3.12.2 미만 NodeVM external-module resolver의 권한 우회 — require.external 커스텀 리졸버 사용 시 샌드박스 탈출 경로
CVE-2026-887739.3미제공Citrix NetScaler ADC/Gateway의 HTTP 요청 스머글링 — ADC 14.1-73.37/13.1-64.23 미만 등 다수 브랜치 영향
CVE-2026-1010659.3미제공Obot(AI agent/MCP 플랫폼) — README의 Docker quickstart가 인증 비활성 상태로 0.0.0.0:8080에 바인딩
CVE-2026-1010849.3미제공obot v0.21.1 미만 /mcp-connect 접근 제어 미적용 — 인증된 사용자가 서버 ID만 알면 제한된 MCP 서버에 연결
CVE-2026-1010909.3미제공Nezha 2.2.3 OAuth2 리다이렉트 엔드포인트의 Host 헤더 인젝션 회귀 — dashboard_host 미설정 시 공격자 Host가 redirect_uri에 반영
CVE-2026-1008359.10.2%Contrast 1.16.0 미만 원격 attestation 릴레이 — 검증만 통과하면 어느 머신이 생성했든 리포트를 수용해 특정 노드에 바인딩되지 않음

🌐 위협 동향

Citrix NetScaler 제로데이 8건 공개, 2건 KEV 등재 — CISA는 Citrix가 공개한 NetScaler ADC/Gateway 취약점 8건(CVE-2026-88771~88778)을 확대 전파하면서, 이 중 CVE-2026-88771과 CVE-2026-88772를 실제 악용 근거 기반으로 KEV에 추가했다. 즉 벤더 권고만 나온 단계가 아니라 이미 공격에 쓰이고 있다는 의미이며, 외부 노출형 ADC/Gateway는 관리 평면 분리와 패치를 동시에 진행하는 것이 안전하다. 나머지 6건은 아직 KEV 등재 전이지만 같은 제품군 전반의 결함이 한꺼번에 공개된 만큼 버전 전체를 점검하는 편이 낫다. 원문

CISA KEV 카탈로그 2건 추가 — CISA가 악용 증거에 따라 KEV에 2건을 추가했다는 별도 공지로, 대상은 위와 동일한 NetScaler 항목(CVE-2026-88771, CVE-2026-88772)이다. KEV 등재는 연방기관 패치 기한이 걸리는 신호이자, 민간 조직에도 “패치 우선순위 최상단"을 뜻하는 지표로 읽는 것이 일반적이다. 두 CVE가 같은 제품·같은 날짜에 묶여 올라온 점은 단일 캠페인이 NetScaler를 표적으로 삼고 있을 가능성을 시사한다. 원문

Wireshark 4.6.9 릴리스 — 취약점 19건 수정 — SANS ISC는 Wireshark 4.6.9가 19개 취약점과 16개 버그를 수정했다고 전했다. 패킷 분석 도구 자체가 공격 대상이 되는 사례가 반복돼 온 만큼, 분석 워크스테이션·관제 환경에서 구버전 Wireshark로 신뢰할 수 없는 캡처 파일을 여는 습관은 피하고 최신 버전으로 올리는 것이 좋다. 원문

오늘의 체크포인트

  1. Citrix NetScaler ADC/Gateway 즉시 패치 검토 — CVE-2026-88771/88772가 실제 악용 중이다. 인터넷 노출 장비를 최우선으로 벤더 권고 버전에 맞추고, 패치 전에는 관리 인터페이스 접근을 제한한다.
  2. HTTP 요청 스머글링(CVE-2026-88773) 영향 버전 확인 — 데이터상 버전 표기가 일부 잘려 있으므로 Citrix 공식 권고에서 ADC/Gateway 브랜치별 정확한 패치 버전을 확인해야 한다.
  3. AI/에이전트 플랫폼 노출 점검 — Obot Docker quickstart(인증 비활성, 0.0.0.0:8080)로 기동한 컨테이너가 없는지 확인하고, v0.21.1 이상으로 업데이트한다.
  4. Node.js 샌드박스 의존성 점검 — vm2를 임베드해 사용 중이라면 3.12.2 이상으로 올리고, pnpm alpha 버전을 CI에 고정한 경우 12.0.0-alpha.5 이상 여부를 확인한다.

마무리

  • 오늘의 한 줄 정리: NetScaler 제로데이 2건이 KEV에 오르며 외부 노출형 장비 패치가 최우선 과제가 됐고, AI 에이전트 플랫폼의 기본 설정 결함도 함께 눈에 띄는 하루였다.
  • 매일 아침 보안 동향을 릿치 블로그에서 만나보세요.