도입부
오늘은 CISA KEV에 Cisco Catalyst SD-WAN Manager의 인증 우회(hex encoding) 취약점과 Apple CoreGraphics의 out-of-bounds write 취약점이 나란히 등재되며, 네트워크 중앙 관리 계층과 단말 양쪽이 동시에 실제 악용 확인 대상이 되었습니다. 국내에서는 파이오링크 PAS-K와 Apache Tomcat, Citrix NetScaler, Adobe Commerce 업데이트 권고가 나왔고, NVD에는 WordPress 테마/플러그인의 PHP Object Injection·인증 없는 RCE류 CVSS 9~10점 취약점이 대량 게시되었습니다. ICS 영역에서는 MikroTik RouterOS, VIVOTEK 카메라, Lantronix G520 등 엣지 장비의 원격 코드 실행 권고가 연이어 발표되어 관리형 네트워크 장비 운영자의 점검이 필요합니다. GHSA(npm/composer/pip) 신규 High/Critical 항목은 오늘 없었습니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-76504 — Cisco Catalyst SD-WAN Manager Hex Encoding 취약점
HTTP 요청의 URI 인코딩(hex encoding) 처리가 미흡해, 인증되지 않은 원격 공격자가 admin 사용자 권한으로 영향받는 시스템에 접근할 수 있습니다. SD-WAN Manager는 다수 지사·회선의 라우팅 정책을 중앙에서 제어하는 컨트롤러이므로, 침해 시 개별 라우터 단위가 아니라 전체 네트워크 정책이 조작될 수 있는 구조입니다. 랜섬웨어 사용 여부는 Unknown, EPSS는 제공되지 않았으나 CISA가 실제 악용 근거로 KEV에 등재했고 국내 KrCERT 공지에도 동일 항목이 포함되어 있습니다. 인터넷에 노출된 관리 인터페이스가 있다면 즉시 최신 버전으로 업데이트하고, 외부 노출 제거 및 관리망 접근 제어를 우선 적용하세요. NVD
CVE-2026-86950 — Apple Multiple Products Out-of-Bounds Write 취약점
iOS, macOS, iPadOS의 CoreGraphics 구성요소에서 out-of-bounds write가 발생해 임의 코드 실행으로 이어질 수 있습니다. 랜섬웨어 사용 여부는 Unknown이며 EPSS는 0.8%(백분위 55)로 수치 자체는 높지 않지만, KEV 등재는 실제 악용 정황이 확인됐다는 의미이므로 단순 통계보다 우선합니다. CoreGraphics는 이미지·PDF 등 콘텐츠 파싱 경로에서 광범위하게 호출되기 때문에 사용자 상호작용만으로 트리거될 여지가 있는 유형입니다. 관리 대상 단말의 OS 버전을 확인하고 Apple 보안 업데이트를 지연 없이 배포하세요. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
- 파이오링크 PAS-K 보안 업데이트 권고 (2026-09-30) — PAS-K에서 구버전 취약점을 활용한 사례가 실제 발견되어 1.8.19.0.11 등 해결 버전으로의 업데이트가 권고되었습니다. 국내 공공·금융 환경에서 상용 웹 방화벽/보안 장비로 널리 쓰이는 제품군으로, 관리 포인트가 인터넷에 노출된 구성이라면 버전 확인이 우선입니다. 공지 보기
- Apache 제품 보안 업데이트 권고 (2026-09-30) — Apache Tomcat의 Improper Authentication(CVE-2026-75973), Authentication Bypass by Alternate Name(CVE-2026-76183) 등이 언급되었습니다. Tomcat은 국내 SI 환경에서 대부분의 레거시 웹 애플리케이션이 올라가는 컨테이너이므로, 미들웨어 담당자는 지원 버전별 최신 릴리스 반영 여부를 확인해야 합니다. 공지 보기
- 美 CISA 발표 주요 Exploit 정보공유 (Update. 2026-09-30) — CISA KEV 최신 목록을 국내에 번역·요약한 공지로, 오늘 등재된 Cisco Catalyst SD-WAN Manager 항목(CVE-2026-76504)이 포함되어 있습니다. KEV 영문 공지를 직접 추적하지 않는 조직이라면 이 공지를 갱신 트리거로 삼는 것이 실무적으로 효율적입니다. 공지 보기
- Citrix 제품 보안 업데이트 권고 (2026-09-29) — NetScaler ADC / NetScaler Gateway에서 Improper Input Validation(CVE-2026-88771) 및 관련 취약점이 해결되었습니다. NetScaler는 원격 접속 진입점 역할을 하는 경우가 많아, 패치 전 노출 구간과 세션 토큰 탈취 흔적을 함께 점검할 가치가 있습니다. 공지 보기
- Adobe 제품 보안 업데이트 권고 (2026-09-29) — Adobe Commerce, Commerce B2B, Magento Open Source의 Incorrect Authorization(CVE-2026-71362) 취약점이 해결되었습니다. 커머스 플랫폼 특성상 비인가 권한 상승이 곧 결제·고객 데이터 노출로 직결되므로 커스텀 모듈이 많은 환경일수록 우선 적용이 권장됩니다. 공지 보기
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음.
🧩 주요 스택 관련
PHP / WordPress 계열 (다수, HIGH~CRITICAL)
- Contributor 이상 권한이 필요한 PHP Object Injection: SEO Plugin by Squirrly SEO(≤14.2.5), 10Web Booster(≤2.33.6), Go Live Update Urls(≤7.0.8), DesignSetGo(≤2.8.0), Themify Builder(≤7.8.1), Photo Gallery by 10Web(≤1.8.46), Schema & Structured Data for WP & AMP(≤1.66) 등. 스택상 HIGH(8.8)로 분류된 항목들이며, 취약 범위 버전 사용 시 플러그인 업데이트가 필요합니다.
- 인증 없이 도달 가능한 케이스가 더 위험: Zella Theme(<2.6.3, CVE-2026-75873)는 폰트 업로드 액션에 capability/nonce 검사가 없어 PHP 파일 업로드→RCE로 이어집니다(9.8). OrdaSoft Joomla CCK(<8.3.16, CVE-2026-102427)는
site/uploader.php가 인증·ACL 없이 라우팅되어 RCE로 연결됩니다(10.0). - 운영자 확인 사항: 커스텀 테마·서드파티 플러그인은 자동 업데이트가 꺼져 있는 경우가 많으므로, 해당 버전 범위를 직접 조회하고 업로드 디렉터리의 PHP 실행 차단(웹서버 레벨)을 완화책으로 병행하세요.
Docker — Tugtainer (CRITICAL/HIGH)
- CVE-2026-55494 (9.8):
AGENT_SECRET미설정 시 Agent의 Docker 관리 API가 인증 없이 접근 가능합니다. - CVE-2026-55181 (9.4):
OIDC_ENABLED=false여도 OIDC 인증 플로우가 개시될 수 있습니다. - CVE-2026-87004 (8.1): OIDC id_token을
get_unverified_claims()로 디코딩해 서명 검증 없이 신뢰합니다. 1.31.3 등 최신 버전으로 업데이트하고, 에이전트 포트를 외부에 게시하지 마세요.
Node.js
- anchorme ≤3.0.8 (CVE-2026-103043, 8.7): IPv6 호스트 추출 정규식의 catastrophic backtracking으로 ReDoS가 발생해 이벤트 루프가 차단됩니다.
- basic-ftp <6.2.1 (CVE-2026-102990, 8.2): 악의적 FTP 서버가
Client.list()응답을 조작해 이차 시간(quadratic) CPU 소모를 유발합니다. 외부 FTP 서버에 접속하는 자동화 파이프라인이라면 노출 가능성이 있습니다.
Windows / 드라이버 계열
- JetBrains TeamCity(2026.2/2026.1.4/2025.11.8 이전, CVE-2026-100254, 8.8): Pipeline Git 연결 설정의 CRLF injection으로 인증된 사용자가 Windows 서버에서 명령 실행이 가능합니다.
- OpenClaw Windows Node(<2026.7.1, CVE-2026-101880/101882, 8.7): 파이프 연산자·명령 치환 파싱 실패로 exec 승인 정책 우회 및 wildcard 실행 규칙 추가가 가능합니다.
- NVIDIA vGPU/Display Driver(CVE-2026-47493·47495·47499·47500·47502·47505, 7.8): 커널 모드 계층의 OOB write/read, use-after-free, integer overflow로 게스트→호스트 권한 상승 가능. 가상화 GPU를 멀티테넌트로 운영하는 환경은 드라이버 업데이트를 검토하세요.
- Cato Networks SDP Client for Windows(<6.12.6, CVE-2026-10739, 8.5): 로컬 IPC 명명 파이프의 SID 검증 미흡으로 SYSTEM 권한 임의 파일 삭제가 가능합니다.
Java / SSH
- Apache MINA SSHD(CVE-2026-93994, 8.1): 다중 인증(multi-auth) 구성 서버에서 인증 처리 결함이 보고되었습니다. OpenSSH 자체 이슈가 아니라 Java SSH 라이브러리 이슈이므로, Java 기반 SFTP/SSH 서비스를 운영하는 경우에 해당합니다.
- Apache WSS4J(<4.0.2, <3.0.6, CVE-2026-88920, 9.8): 서명되지 않은 SAML sender-vouches 어서션으로 인증된 SOAP 메시지 위조가 가능한 인증 우회입니다. SAML 기반 SOAP 연동(금융·공공 구간에 다수)을 쓰는 조직은 즉시 업그레이드 대상입니다.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-96587 | 10.0 | 미평가 | Viidure Android 앱에 클라우드 스토리지 자격증명이 평문 임베드 — 펌웨어·바이너리 읽기/수정/삭제 가능 |
| CVE-2026-71379 | 10.0 | 미평가 | 파일 내보내기 엔드포인트에서 인증 없이 임의 DB 테이블 export 가능 |
| CVE-2026-96349 | 10.0 | 미평가 | SiteSkite ≤2.1.8 인증 없는 원격 코드 실행 |
| CVE-2026-102427 | 10.0 | 미평가 | OrdaSoft Joomla CCK <8.3.16 인증 없는 RCE (PHP) |
| CVE-2026-88920 | 9.8 | 미평가 | Apache WSS4J DOM 보안 프로세서 인증 우회 — 위조 SOAP 메시지 통과 |
| CVE-2026-55494 | 9.8 | 미평가 | Tugtainer Agent, AGENT_SECRET 미설정 시 Docker 관리 API 무인증 노출 |
| CVE-2026-93903 | 9.4 | 미평가 | LiteSpeed Web Server <6.3.7 build 1 내부 리다이렉트 URL 검증 결함 |
| CVE-2026-102489 | 9.4 | 미평가 | Zammad 6.3.0~6.5.4 세션 하이재킹 → zammad 사용자 권한 RCE |
※ 오늘 게시된 Critical 다수는 CVSS만 부여되고 EPSS가 아직 산출되지 않은 상태입니다. EPSS 미평가를 “위험 없음"으로 해석하지 마세요.
🌐 위협 동향
MikroTik RouterOS RCE / DoS (CISA ICS 권고) — RouterOS <7.24에서 원격 코드 실행 또는 서비스 거부가 가능한 취약점(CVE-2026-84411, CVSS 9.8)이 공개되었습니다. MikroTik은 국내 중소 규모 지사·매장 네트워크에서 광범위하게 쓰이는 장비로, 펌웨어 업데이트 창구가 관리 콘솔뿐인 경우가 많아 노출된 관리 포트 정리가 함께 필요합니다. 원문
엣지 디바이스 연쇄 권고 — VIVOTEK / Lantronix / Baicells / Anjvision — VIVOTEK 카메라 펌웨어는 root 권한 원격 명령 실행으로 전면 장악이 가능하고, Lantronix G520 시리즈는 소프트웨어 교체 및 root 임의 코드 실행(CVE-2026-84409, CVE-2026-91191), Baicells Nova 430H는 조작된 메시지 주입으로 DoS, Anjvision YSSD-RTMP-H5는 계정 접근·OS 명령 실행까지 이어집니다. 카메라·게이트웨이류는 자산 목록에조차 누락되기 쉬우므로, 물리 보안망과 사무망이 같은 평면에 있는지부터 확인하는 것이 실질적인 완화책입니다. VIVOTEK · Lantronix
Wordfence WAF 파일 스캐닝 관측 (SANS ISC) — ISC 센서가 wordfence-waf.php 경로에 대한 소규모 스캔을 포착했습니다. 이 파일은 Wordfence 설치 시 사이트 루트에 생성되는 WAF 진입점으로, 공격자는 이 경로의 존재 여부 자체로 “Wordfence가 설치된 WordPress"라는 정보를 얻습니다. 직접적인 취약점 익스플로잇은 아니지만 이후 표적 공격의 정찰 단계로 해석되며, WAF 파일 접근 로그를 확인해 두면 침해 시점 추적에 도움이 됩니다. 원문
CISA KEV 카탈로그 갱신 (Cisco / Apple) — 9월 29일 Apple CoreGraphics(CVE-2026-86950), 9월 30일 Cisco Catalyst SD-WAN Manager(CVE-2026-76504)가 잇따라 등재되었습니다. CISA는 이 유형이 악성 행위자의 빈번한 공격 벡터라고 명시했으므로, KEV 등재는 “패치 우선순위 최상위” 신호로 취급하는 것이 맞습니다. Cisco 등재 · Apple 등재
오늘의 체크포인트
- Cisco Catalyst SD-WAN Manager(CVE-2026-76504) — 관리 인터페이스의 인터넷 노출 여부를 먼저 확인하고, 노출되어 있다면 관리망 분리와 최신 버전 업데이트를 즉시 진행하세요. CISA KEV 등재 + 국내 공지 동시 언급 항목입니다.
- Apple 단말(CVE-2026-86950) — iOS/macOS/iPadOS 보안 업데이트 배포 상태를 점검하세요. CoreGraphics 경로는 사용자 상호작용만으로 트리거될 수 있습니다.
- Apache WSS4J(<3.0.6, <4.0.2) — SAML 기반 SOAP 연동 구간이 있다면 인증 우회(9.8) 영향 여부를 확인하고 라이브러리를 올리세요.
- WordPress 사이트 전반 — 인증 없이 도달 가능한 RCE/파일 업로드 취약점(Zella Theme, Joomla 컴포넌트 등)이 다수 게시되었습니다. 테마·플러그인 버전 인벤토리를 갱신하고 업로드 디렉터리 PHP 실행 차단을 적용하세요.
- 엣지/ICS 장비(MikroTik, VIVOTEK, Lantronix) — 펌웨어 버전을 확인하고, 관리 포트가 외부에 열려 있는 자산이 있는지 자산 목록 기준으로 재점검하세요.
마무리
오늘은 “네트워크 중앙 관리 계층(Cisco SD-WAN)“과 “엣지 장비(MikroTik·카메라·게이트웨이)“가 동시에 흔들린 날이며, WordPress 생태계에서는 인증 없는 RCE류가 대량 게시되었습니다. 패치 공지 자체보다, 노출된 관리 인터페이스를 줄이는 것이 이번 주 가장 효율이 높은 조치입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.