도입부
오늘 가장 중요한 소식은 Apple이 iOS/macOS/iPadOS용 CoreGraphics out-of-bounds write 취약점(CVE-2026-86950)을 긴급 패치했고, 이것이 실제 악용 근거와 함께 CISA KEV에 등재되었다는 점입니다. 여기에 더해 Google Chrome 154.0.8037.x 대역에서 sandbox escape로 이어지는 취약점이 대량 게시되었고, Firefox ESR도 다수의 use-after-free 기반 sandbox escape 패치를 포함하고 있어 브라우저/클라이언트 계층 전반의 우선순위 대응이 필요한 하루입니다. CISA ICS 권고도 MikroTik RouterOS, VIVOTEK 카메라 등 네트워크 경계 장비를 폭넓게 포함하고 있어, 클라이언트와 엣지 장비를 동시에 점검해야 합니다. 모든 수집 소스가 정상 수집되었습니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-86950 — Apple iOS / macOS / iPadOS (CoreGraphics)
CoreGraphics 컴포넌트의 out-of-bounds write 취약점으로, 악의적으로 조작된 콘텐츠를 처리하는 과정에서 임의 코드 실행으로 이어질 수 있습니다. CISA는 실제 공격에 악용된 근거를 확인해 KEV 카탈로그에 등재했으며, 랜섬웨어 캠페인 연계 여부는 알려지지 않았습니다(Unknown). EPSS는 0.8(백분위 55)로 수치는 높지 않지만 KEV 등재 자체가 실공격 증거를 의미하므로, iOS/iPadOS/macOS 환경은 즉시 최신 버전으로 업데이트하는 것이 우선입니다. SANS ISC에 따르면 iOS 26, macOS 26, macOS 15 분기가 영향을 받고, 최신 27 라인은 영향받지 않습니다. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
- Citrix 제품 보안 업데이트 권고 — NetScaler ADC, NetScaler Gateway에서 Improper Input Validation(CVE-2026-88771) 및 Improper Restriction of Operations 관련 취약점이 보고되어 최신 버전 업데이트가 권고되었습니다. NetScaler는 국내 공공·금융권에서 VPN/ADC 진입점으로 광범위하게 쓰이는 만큼, 외부 노출 자산이면 패치 주기를 앞당길 필요가 있습니다. 공지 보기
- Adobe 제품 보안 업데이트 권고 — Adobe Commerce, Adobe Commerce B2B, Magento Open Source에서 Incorrect Authorization 취약점(CVE-2026-71362)이 해결되었습니다. 커머스 플랫폼은 결제·회원 데이터와 직결되며 국내 이커머스 구축 사례가 많아 권한 검증 우회 리스크를 우선 확인해야 합니다. 공지 보기
- 美 CISA 발표 주요 Exploit 정보공유 (Update 2026-09-29) — CISA KEV 최신 목록을 국내 이용자용으로 정리한 공지로, 오늘 등재된 Apple CVE-2026-86950이 함께 포함되어 있습니다. 국내에서도 동일 취약점의 악용 가능성을 전제로 패치 우선순위를 잡는 것이 좋습니다. 공지 보기
오늘 krVuln(KNVD 국내 취약점 정보) 신규 항목은 없습니다.
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음
🧩 주요 스택 관련
- Google Chrome 154.0.8037.57 / 154.0.8037.92 — V8 type confusion·out-of-bounds write(CVE-2026-95304, CVE-2026-95306, CVE-2026-102299, CVE-2026-102302, CVE-2026-102321, CVE-2026-102323, CVE-2026-102326, CVE-2026-102328)는 렌더러 침해 시 sandbox 내부 임의 코드 실행으로 이어집니다. 여기에 GPU, PDFium, WebAudio, Fullscreen, AdFilter 등에서 sandbox escape(9.6)까지 함께 보고되어, 데스크톱·Android 브라우저를 모두 최신 안정 채널로 강제 업데이트하는 것이 가장 확실한 완화책입니다. 버전 범위는 154.0.8037.57 미만(일부 .92 미만)입니다.
- Mozilla Firefox ESR / Firefox — DOM: Content Processes, Core & HTML, Graphics, Widget: Gtk, XPCOM 등에서 use-after-free 기반 sandbox escape(CVE-2026-100762, CVE-2026-100770, CVE-2026-100778, CVE-2026-100786, CVE-2026-100800, CVE-2026-100811, CVE-2026-100818, CVE-2026-100819)가 다수 게시되었습니다. Firefox ESR 153.4, Firefox 157, ESR 115.42, ESR 140.17에서 수정되었으므로 장기 지원 채널을 쓰는 조직은 ESR 버전을 확인해 즉시 갱신하세요.
- Electron (CVE-2026-102676, CVSS 8.3) — 41.10.6, 42.9.2, 43.4.1, 44.0.0-beta.5 이전 버전에서
<webview>guest가 Node.js integration이 비활성인 embedder에서도 Web Worker에nodeIntegrationInWorker를 켤 수 있었습니다. Electron 기반 데스크톱 앱을 배포·운영한다면 이 버전들을 기준으로 의존성 잠금을 갱신해야 합니다. - TeamViewer Full Client / Host (CVE-2026-92370, CVSS 8.8) — Windows/Linux/macOS 전반에서 인증된 원격 공격자가 세션 수립 시 사용자 설정 권한을 우회할 수 있습니다. 원격 지원 채널이 내부 접근 경로로 악용될 수 있으므로, 제한 세션 정책을 신뢰하지 말고 클라이언트를 최신으로 올리는 것을 권장합니다.
- Joomla 확장 Balbooa Forms (CVE-2026-102424, CVSS 8.9) — 2.4.3.4 미만에서 인증 없이 path traversal로 로컬 파일을 유출할 수 있습니다. PHP 기반 CMS 확장은 공개 폼을 통해 외부에 노출되는 경우가 많아, 사용 중이면 우선 패치 대상입니다.
- mcp-chrome-bridge (CVE-2026-102878, CVSS 8.6) — 1.0.31 이하에서 native-server HTTP API의 origin 검증 오류로 CORS를 우회할 수 있고, 악성 웹페이지가 로컬 서버에 cross-origin 요청을 보내 브라우저 자동화 도구를 호출할 수 있습니다. 127.0.0.1 바인딩만으로는 안전하지 않다는 점을 유의해야 합니다.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-96587 | 10.0 | — | Viidure Android 앱에 평문 클라우드 스토리지 자격증명이 하드코딩 — 펌웨어/바이너리 등 플랫폼 스토리지 전체 접근 가능 |
| CVE-2026-71379 | 10.0 | — | 파일 export 엔드포인트에서 인증 없이 임의 DB 테이블 export 가능 |
| CVE-2026-84154 | 9.9 | 0.4 (27%) | GEOVIA Geospatial Data Manager(3DEXPERIENCE R2024x~R2026x) 코드 인젝션 — 서버 임의 코드 실행 |
| CVE-2026-77177 | 9.8 | — | Open GenAI Stack(ogx-ai)에서 Jinja2 템플릿 prompt injection으로 서버측 표현식 평가 → 코드 실행 |
| CVE-2026-39117 | 9.8 | — | AltumCode 66Uptime 54.0.0 미만 및 ping-servers 플러그인 2.0.0 미만에서 원격 임의 코드 실행 |
| CVE-2026-76721 | 9.8 | — | HPE Networking Instant ON 버퍼 오버플로 — 비인증 원격 공격자가 호스트에서 권한 사용자로 코드 실행 |
| CVE-2026-95281 | 9.6 | — | Chrome(Android) ANGLE 버퍼 오버플로 — sandbox 밖 임의 코드 실행 |
| CVE-2026-100762 | 9.6 | — | Firefox DOM: Content Processes use-after-free 기반 sandbox escape (ESR 153.4/157 등에서 수정) |
EPSS는 수집 데이터에 값이 있는 항목만 표기했고, 대부분의 신규 게시 CVE는 아직 EPSS가 산정되지 않아 실측 악용 확률은 불확실합니다. 다만 10.0점 항목들은 인증 없이 또는 하드코딩 자격증명만으로 치명적 결과에 도달한다는 점에서 별도 검토 대상입니다.
🌐 위협 동향
- MikroTik RouterOS (CISA ICSA-26-272-06) — RouterOS 7.24 미만에서 원격 코드 실행 또는 서비스 거부로 이어질 수 있는 취약점(CVE-2026-84411, CVSS 9.8)이 권고되었습니다. RouterOS는 소규모 지사·엣지 라우터로 널리 쓰여 패치 지연이 잦은 자산군이므로, 인터넷에 관리 포트가 열려 있는지부터 확인하는 것이 실질적인 위험 감소로 이어집니다. 원문
- VIVOTEK Camera Firmware (CISA ICSA-26-272-03) — 영향을 받는 V Series 등 펌웨어에서 공격자가 원격 명령 실행을 달성하고 root 권한까지 획득해 카메라 전체를 장악할 수 있습니다. IP 카메라는 인터넷 노출 비율이 높고 기본 자격증명 문제와 겹치기 쉬워, 노출 차단과 펌웨어 업데이트를 함께 처리해야 합니다. 원문
- Wordfence 보호 사이트 대상 스캔 관측 (SANS ISC) — 센서에
wordfence-waf.php경로를 탐색하는 소량의 스캔이 포착되기 시작했습니다. 이 파일은 Wordfence 설치 시 사이트 루트에 생성되는 WAF 스크립트로, 공격자들이 보안 플러그인 설치 여부를 정찰해 우회 전략을 세우는 단계로 해석됩니다. WordPress 운영자는 WAF 파일 경로 노출과 플러그인 버전을 함께 점검하는 것이 좋습니다. 원문 - Apple 긴급 패치 분석 (SANS ISC) — iOS 26 / macOS 26 / macOS 15 분기 패치에만 보안 수정이 포함되었고, 이미 악용 중인 취약점을 다룹니다. 최신 27 라인은 영향받지 않는다는 점이 분석되었으며, KEV 등재와 맞물려 구버전 분기 사용자의 업데이트가 최우선입니다. 원문
오늘의 체크포인트
- Apple 기기 패치 상태 확인 — iOS/iPadOS/macOS에서 CVE-2026-86950이 실제 악용 중입니다. KEV 등재 기준으로 관리 대상 단말의 버전을 확인하고, 가능하면 자동 업데이트를 강제하세요.
- Chrome·Firefox 클라이언트 일괄 갱신 — Chrome 154.0.8037.57/.92 미만, 그리고 Firefox ESR 153.4/115.42/140.17 및 Firefox 157 미만을 식별해 배포하세요. 데스크톱과 Android를 모두 포함합니다.
- 엣지/ICS 장비 노출 점검 — MikroTik RouterOS 7.24 미만, VIVOTEK 카메라, HPE Instant ON, Lantronix G520, Baicells Nova 430H 등 ICS 권고 대상의 인터넷 노출 여부와 펌웨어 버전을 확인하세요.
- Citrix NetScaler 및 Adobe Commerce/Magento 패치 검토 — 국내 공지 기준으로 외부 노출 자산 여부를 먼저 판단하고 우선순위를 정하세요.
마무리
- 오늘의 한 줄 정리: Apple 긴급 패치(실제 악용)와 브라우저 sandbox escape 대량 게시가 겹친 날 — 클라이언트 패치가 가장 효율이 높은 대응입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.