도입부
오늘 가장 무거운 소식은 Citrix NetScaler ADC/Gateway의 제로데이 2건(CVE-2026-88771, CVE-2026-88772)이 CISA KEV에 등재되며 실제 악용이 확인된 것입니다. CISA는 Citrix가 공개한 8개 신규 취약점 전체를 권고로 확대했고, Apple은 이미 악용 중인 iOS/macOS 취약점(CVE-2026-86950)에 대한 긴급 패치를 배포했습니다. 국내 KrCERT/KISA 신규 공지는 없었으며, 수집 실패 소스도 없습니다(errors 없음).
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-88772 — Citrix NetScaler (메모리 버퍼 범위 연산 제한 미흡)
NetScaler ADC 및 NetScaler Gateway에서 발생하는 메모리 버퍼 경계 연산 제한 미흡 취약점으로, 원격 코드 실행(RCE) 또는 서비스 거부(DoS)로 이어질 수 있습니다. 랜섬웨어 사용 여부는 Unknown, EPSS 데이터는 미제공입니다. 인터넷에 노출된 NetScaler ADC/Gateway를 운영한다면 즉시 벤더 패치를 적용하고 관리 인터페이스 노출 여부를 점검하세요. NVD
CVE-2026-88771 — Citrix NetScaler (부적절한 입력 검증)
인증되지 않은 공격자가 임의 명령을 실행할 수 있는 입력 검증 취약점입니다. 랜섬웨어 사용 여부는 Unknown, EPSS 데이터는 미제공입니다. 인증 전 단계에서 악용 가능하다는 점에서 노출된 게이트웨이 환경의 위험이 특히 큽니다. CISA 권고에 따르면 Citrix가 공개한 8개 취약점(CVE-2026-88771~88778) 중 이 2건이 실제 악용 정황으로 등재되었습니다. NVD / CISA 권고
🇰🇷 국내 보안공지 (KrCERT/KISA)
오늘 신규 공지 없음.
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| @angular/platform-server | npm | high | >= 22.0.0, < 22.1.6 | 22.1.6 |
| fast-uri | npm | high | < 2.4.6 | 2.4.6 |
| fast-uri | npm | high | = 2.4.5 | 2.4.6 |
| @angular/platform-server | npm | high | >= 22.0.0, < 22.1.4 | 22.1.4 |
fast-uri는 수많은 HTTP/URI 파싱 스택의 하위 의존성으로 자주 끌려오는 패키지라, 직접 의존하지 않아도 lockfile에 남아 있을 가능성이 높습니다. Angular SSR을 쓰는 서버라면 DoS(무한 루프)와 XSS 두 건을 함께 22.1.6으로 올리는 것이 깔끔합니다.
🧩 주요 스택 관련
Node.js — axios 연쇄 취약점: axios에서 1.13.0~1.20.0 구간에 걸친 다수 취약점이 게시되었습니다. HTTP/2 세션 에러 처리 미비(CVE-2026-101901, 8.2), RFC 2397 data URL 정규식 처리 문제(CVE-2026-101903, 8.2), 프록시 우회 판정의 2차식 정규식(CVE-2026-101906, 8.2), prototype pollution을 통한 createConnection 주입(CVE-2026-101905, 7.6), HTTP/2 프록시·DNS 정책 미적용(CVE-2026-101898, 7.0), fetch adapter의 maxRedirects 우회(CVE-2026-101907, 7.0), ToFormData 상속 옵션 처리(CVE-2026-101909, 8.3)입니다. 모두 1.20.0에서 수정되었으니 axios를 1.20.0 이상으로 즉시 갱신하세요.
Node.js — brace-expansion / NestJS: brace-expansion은 1.1.19, 2.1.5, 3.0.7, 5.0.10 미만에서 조작된 brace 패턴으로 네이티브 스택 고갈(CVE-2026-102276, 7.5), 1.1.20/2.1.6/3.0.8/5.0.11 미만에서 깊은 중첩으로 스택 고갈(CVE-2026-102278, 7.5)이 발생합니다. NestJS는 11.2.4, 12.0.2 미만에서 TCP/RabbitMQ 트랜스포트로 깊게 중첩된 객체 메시지 한 건만으로 마이크로서비스가 종료될 수 있습니다(CVE-2026-102281, 7.5). 전이 의존성 포함 버전을 확인하세요.
PHP — FreePBX / WordPress / Joomla: FreePBX는 16.0.10·17.0.5 미만 sound 언어 업로드에서 임의 파일 쓰기→RCE(CVE-2026-54675, 8.7), 16.0.72·17.0.7 미만 백업 모듈 RCE(CVE-2026-54708, 8.6), 16.0.40·17.0.7 미만 superfecta 모듈의 임의 PHP include RCE(CVE-2026-54710, 8.6)가 있습니다. WordPress ConvertPlus 플러그인 3.6.3 이하 deserialization(CVE-2026-87741, 8.8), Joomla Real Estate Manager 6.7.9 미만 비인증 SQL Injection(CVE-2026-100752, 9.3)도 확인 대상입니다.
PostgreSQL — WarehousePG / ManageEngine: WarehousePG 7.6.0-WHPG 미만에서 서버측 파일 함수(pg_file_write 등)에 대한 권한 검증 누락이 있습니다(CVE-2026-96538, 8.7). ManageEngine DDI Central 6201 미만은 HA failover 엔드포인트 접근 제어 미흡으로 파괴적 PostgreSQL 작업이 가능합니다(CVE-2026-12265, 8.8).
Windows / Docker: ManageEngine DDI Central 6201 미만에서 Windows DNS SPF/TXT 레코드 푸시 시 PowerShell 명령 주입(CVE-2026-12268, 8.8), Query Resolution Policy 이름 필드 명령 주입(CVE-2026-12267, 7.2), Apache Karaf instance-management의 javaOpts 문자열 결합(CVE-2026-91006, 미평가)이 있습니다. Docker 관련으로는 kube-compare가 container:// 참조 처리 시 이미지 entrypoint를 실행해 임의 코드 실행으로 이어질 수 있고(CVE-2026-87114, 7.1), Obot은 README의 quickstart가 인증 비활성 상태로 0.0.0.0:8080에 바인딩됩니다(CVE-2026-101065, 9.3).
iOS: Apple iOS 26.7.1 / iPadOS 26.7.1 / macOS Sequoia 15.8.1 / macOS Tahoe 26.7.1에서 악성 파일 처리 시 임의 코드 실행이 가능하며(CVE-2026-86950, 8.8), Apple은 해당 이슈가 악용되었을 수 있다고 밝혔습니다. 최신 버전으로 즉시 업데이트하세요.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-82384 | 9.8 | - | Apache Roller 6.1.5 XML-RPC 엔드포인트 인증 전 역직렬화 |
| CVE-2026-82377 | 9.9 | - | Apache Roller 6.1.5 XML-RPC API 인가 누락으로 타 weblog 콘텐츠 조작 |
| CVE-2026-85526 | 9.9 | - | Canonical LXD Btrfs 드라이버 경로 순회로 호스트 임의 파일 삭제/교체 |
| CVE-2026-87799 | 9.9 | - | Canonical LXD migration 수신 경로 링크 해석 오류 |
| CVE-2026-12342 | 9.6 | - | SailPoint IdentityIQ 웹서비스 API 입력 검증 미흡, 비인증 RCE |
| CVE-2026-88804 | 9.6 | - | SUSE Rancher UI 공개 설정 무단 갱신으로 저장형 XSS |
| CVE-2026-90924 | 9.8 | - | Logsign SIEM 6.4.117 미만 기본 자격증명 사용 |
| CVE-2026-101065 | 9.3 | - | Obot Docker quickstart 기본 인증 비활성으로 0.0.0.0 노출 |
EPSS 값은 오늘 수집 데이터에 포함되지 않아 표기하지 않았습니다. 신규 게시 CVE는 CVSS 미평가 또는 초기 스코어인 경우가 많으므로 실제 위험도는 벤더 공지와 함께 판단하세요.
🌐 위협 동향
Citrix NetScaler 제로데이 캠페인 (CISA) — CISA는 Citrix가 공개한 8개 신규 취약점(CVE-2026-88771~88778) 중 최소 2건이 실제 공격에 악용된 정황을 근거로 KEV에 등재했습니다. NetScaler ADC/Gateway는 인증 게이트웨이 앞단에 위치하는 경우가 많아, 침해 시 내부 인증 체계 전체가 노출될 수 있습니다. 노출 자산 목록을 재점검하고 패치 전에는 관리 인터페이스 접근을 제한하세요. 원문
Apple 긴급 패치 (SANS ISC) — Apple이 전 OS 대상 패치를 배포했지만, 실제 보안 수정은 구버전 브랜치(iOS 26, macOS 26, macOS 15)에만 포함됩니다. 해당 취약점(CVE-2026-86950)은 이미 악용 중이며 최신 브랜치(iOS/macOS 27)는 영향받지 않습니다. “패치했다"보다 “어느 브랜치에 실제 수정이 들어갔는지"를 확인하는 것이 핵심입니다. 원문
Wireshark 4.6.9 릴리스 (SANS ISC) — 4.6.9 버전에서 19개 취약점과 16개 버그가 수정되었습니다. 패킷 분석 도구는 신뢰할 수 없는 트래픽을 직접 파싱하므로, 분석 워크스테이션과 캡처 파이프라인 모두 업데이트 대상에 포함시키는 것이 좋습니다. 원문
오늘의 체크포인트
- Citrix NetScaler ADC/Gateway 즉시 패치 — CVE-2026-88771·88772가 실제 악용 중입니다. 인터넷 노출 여부와 관리 인터페이스 접근 제어를 함께 확인하세요.
- Node.js 의존성 일괄 점검 — axios를 1.20.0 이상으로, NestJS를 11.2.4/12.0.2 이상으로, brace-expansion을 각 브랜치 패치 버전으로 올리고 lockfile 전이 의존성까지 확인하세요.
- Apple 기기 긴급 업데이트 — iOS 26.7.1/iPadOS 26.7.1/macOS Sequoia 15.8.1/macOS Tahoe 26.7.1 적용. 이미 악용 중인 취약점입니다.
- LXD·Rancher·IdentityIQ 등 인프라 관리 계층 패치 검토 — LXD 다수 경로 순회(9.9), Rancher UI 저장형 XSS(9.6), SailPoint IdentityIQ 비인증 RCE(9.6)는 관리 평면 침해로 직결됩니다.
마무리
- 오늘의 한 줄 정리: Citrix NetScaler 제로데이 2건이 실제 악용으로 KEV에 오르고 Apple이 긴급 패치를 내놓은, 경계 태세가 필요한 하루입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.