도입부
오늘은 실제 악용이 확인된 CISA KEV 2건(Fortinet FortiMail, Cisco Catalyst SD-WAN Manager) 과 Apache HTTP Server 2.4.68 이하 전 버전에 걸친 다중 Use-After-Free/권한 처리 취약점이 동시에 부각된 하루입니다. 특히 Apache HTTP Server 취약점은 별도 stackHits 태깅 없이 CVSS 9.8로 게시되었지만 웹서버 운영자에게 사실상 최우선 패치 대상이며, 국내에서는 지니언스 Genian NAC/ZTNA·SSL PNS 6건이 KNVD에 일괄 공개되어 NAC/정책서버 운영 조직의 확인이 필요합니다. 패키지 생태계에서는 샌드박스 라이브러리 vm2에 Critical/High 6건이 몰려 패치 버전 3.11.7로의 업그레이드가 요구됩니다. 수집 실패한 소스는 없습니다(errors 없음).
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-104286 — Fortinet FortiMail
FortiMail에서 경로 조작(path traversal)과 NULL 바이트 미처리 결함이 결합되어, 인증되지 않은 공격자가 조작된 HTTP/HTTPS 요청으로 기반 시스템에 임의 파일을 쓸 수 있는 취약점입니다. CISA KEV에 2026-10-01 등재되었으며 랜섬웨어 사용 여부는 Unknown입니다. 메일 게이트웨이는 외부에 노출되는 경우가 많아 웹 관리 인터페이스 접근을 신뢰 대역으로 제한하고 벤더 패치를 즉시 적용해야 합니다. NVD
CVE-2026-76504 — Cisco Catalyst SD-WAN Manager
HTTP 요청의 URI 인코딩(hex encoding) 처리 미흡으로, 인증되지 않은 원격 공격자가 admin 권한으로 시스템에 접근할 수 있는 취약점입니다. EPSS 1.1%(상위 64 백분위)로 측정되었고 랜섬웨어 연관성은 Unknown입니다. SD-WAN Manager는 네트워크 제어 평면이므로 관리 포트를 외부에 노출하지 말고 Cisco 권고에 따라 업데이트해야 합니다. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
- Cisco 제품 보안 업데이트 권고 — Cisco Catalyst SD-WAN Manager의 Hex Encoding 취약점(CVE-2026-76504)을 해결한 업데이트 안내로, 위 KEV 항목과 동일 건입니다. SD-WAN을 운영하는 국내 기업·기관은 벤더 해결 버전으로 즉시 반영이 필요합니다. 공지 보기
- 美 CISA 발표 주요 Exploit 정보공유(Update. 2026-10-01) — CISA KEV에 추가된 Fortinet FortiMail 경로 조작(CVE-2026-104286)을 포함한 악용 확인 취약점 목록을 국문으로 정리한 공지입니다. 메일 보안 장비 담당자는 영향 버전 대조가 필요합니다. 공지 보기
- Piolink 제품 보안 업데이트 권고 — 파이오링크 PAS-K 구버전 취약점이 실제로 활용된 사례가 발견되었다는 공지로, 영향 범위는 1.8.12.0.0 이상 1.8.19.0.11 미만 등이며 해결 버전은 1.8.19.0.11입니다. 국산 네트워크 장비는 펌웨어 업데이트 절차와 서비스 영향 검토를 함께 계획해야 합니다. 공지 보기
- Apache 제품 보안 업데이트 권고 — Apache Tomcat의 Improper Authentication(CVE-2026-75973), Authentication Bypass by Alternate Name(CVE-2026-76183) 등을 포함한 다건 업데이트 안내입니다. WAS 계층 인증 우회 계열이므로 내부 시스템 포함 전수 버전 점검이 권장됩니다. 공지 보기
지니언스 Genian 계열 취약점 6건 (KNVD, 2026-10-01) — 동일 벤더 제품군에서 인증 우회·명령 실행·권한 상승이 연쇄적으로 공개되어, NAC/ZTNA를 운영하는 조직은 통합 패치가 시급합니다.
- CVE-2026-76146 (Genian SSL PNS, CVSS 8.4) — 계정 인증 과정의 OS 명령어 삽입(CWE-78)으로, 비밀번호 없이 클라이언트 접속 ID만으로 원격 명령 실행이 가능합니다. 공지 보기
- CVE-2026-76147 (Genian NAC/ZTNA, CVSS 5.9) — 에이전트 업그레이드 기능의 경로 조작(ZIP Slip) 및 무결성 검증 미흡으로 원격 임의 코드 실행이 가능합니다. 공지 보기
- CVE-2026-76142 (Genian NAC/ZTNA, CVSS 9.3) — 정책서버 내부 전용 IPC 엔드포인트의 인증·접근통제 미흡으로 인증 없이 내부 기능 호출이 가능한 Critical 등급입니다. 공지 보기
- CVE-2026-76145 (Genian SSL PNS, CVSS 7.5) — 사용자 일괄 등록 시 권한 값 조작으로 최고관리자 권한 획득 및 OS 계정 생성이 가능합니다. 공지 보기
- CVE-2026-76143 (Genian SSL PNS, CVSS 7.3) — 로그인 파라미터 조작으로 2차 인증(MFA)을 우회할 수 있는 인가 검증 미흡 결함입니다. 공지 보기
- CVE-2026-76144 (Genian SSL PNS, CVSS 1.8) — 파일 확장자·무결성 검증 미흡으로 위험한 형식 파일 업로드가 가능한 저위험 건이나, 패치 파일 위장 시나리오와 결합될 수 있어 함께 처리해야 합니다. 공지 보기
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| vm2 | npm | critical | >= 3.9.6, <= 3.11.6 | 3.11.7 |
| vm2 | npm | critical | >= 3.11.3, <= 3.11.6 | 3.11.7 |
| vm2 | npm | critical | <= 3.11.6 | 3.11.7 |
| vm2 | npm | critical | <= 3.11.6 | 3.11.7 |
| vm2 | npm | high | <= 3.11.6 | 3.11.7 |
| vm2 | npm | high | <= 3.11.6 | 3.11.7 |
vm2는 사용자 제출 코드를 격리 실행할 때 널리 쓰이는 Node.js 샌드박스로, 이번 6건은 builtin allowlist/denylist 우회, node: 접두사 우회를 통한 child_process 노출, TLS 자격증명 유출 등 샌드박스 탈출 계열입니다. 샌드박스가 뚫리면 호스트 파일 시스템 쓰기와 임의 코드 실행으로 이어지므로, 3.11.7 미만을 쓰는 서비스는 즉시 업그레이드하고 격리 경계를 신뢰하지 않는 전제로 재점검하세요.
🧩 주요 스택 관련
- Apache HTTP Server (2.4.0 ~ 2.4.68) — mod_rewrite lookahead(
%{LA-U:HTTP:...}) 사용 시 Use-After-Free(CVE-2026-56154, 9.8), mod_http2의 공유session->bbtmp재진입 문제(CVE-2026-57941, 9.8), mod_ssl의 SSLRequire·파일 관련 표현식 권한 관리 미흡(CVE-2026-59797, 9.8), Windows 8.3 경로 확장 시 Out-of-bounds Write(CVE-2026-59685, 7.5)가 함께 게시되었습니다. 2.4.68 이하 전 버전이 영향 범위이므로 벤더 안내에 따른 상위 버전 반영이 필요하며, 리버스 프록시·mod_rewrite 규칙을 쓰는 환경은 특히 우선순위를 높이세요. - n8n — 세션 토큰 유출(CVE-2026-103259, 8.5), 에이전트 노드 자격증명 소유권 미검증(CVE-2026-103246, 8.3), 노드 경로 조작(CVE-2026-103257, 8.1), community package 설치 검증 우회(CVE-2026-103251, 7.5, Redis 쓰기 권한 필요), Supabase 노드 filter injection(CVE-2026-103248, 7.1), 자격증명 테스트 엔드포인트 권한 우회(CVE-2026-103252, 7.1), Supabase tableId 경로 조작(CVE-2026-103255, 7.1), Wekan/Baserow 자격증명 평문 전송(CVE-2026-103256, 7.1). 해결 버전은 1.123.80 / 2.39.6 / 2.40.1 라인이며, 워크플로우에 외부 입력이 바인딩된 노드가 있는지 함께 점검하세요.
- PHP 기반 CMS/플러그인 — GetSimple CMS CE 3.3.22 이하의 저장형 XSS(CVE-2026-70650, CVE-2026-71542)와 템플릿 경로 노출(CVE-2026-71426), Icegram 3.1.31 이하 PHP Object Injection(CVE-2026-97284), WooCommerce 부가 플러그인 PHP Object Injection(CVE-2026-94390), Super Forms 6.3.316 이하 파일 삭제(CVE-2026-15983), PictShare 3.7.1 미만의 예측 가능한 delete_code 토큰(CVE-2026-104356), Prime Mover 2.2.1 미만 Zip Slip(CVE-2026-101888) 등이 게시되었습니다. WordPress 계열은 플러그인 자동 업데이트 정책과 함께 사용 여부부터 확인하세요.
- GraphQL Tools (Node.js) — executor-legacy-ws의
buildWSLegacyExecutor()가 wss:// 연결에서 TLS 인증서 거부를 비활성화하도록 하드코딩되어 있습니다(CVE-2026-103921, 7.4). 1.1.35 미만 사용 시 TLS 검증 없이 연결될 수 있어 MITM 노출 위험이 있습니다. - Foreman / Red Hat Satellite — 템플릿 엔진 safemode 샌드박스 우회를 통한 원격 코드 실행(CVE-2026-96658, 9.9), job invocation의 effective_user 명령 삽입(CVE-2026-12405, 8.8), provisioning token 검증 로직 결함에 따른 인증 우회(CVE-2026-12423, 7.5)가 공개되었습니다. 낮은 권한의 인증 사용자만 있어도 RCE로 확장될 수 있어 패치가 우선입니다.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-101148 | 10.0 | — | BackupSheep WordPress 백업 플러그인 1.8 이하 — integration key 미설정을 유효로 처리해 인증 없이 전체 사이트 백업(사용자 해시 포함) 생성·다운로드 및 삭제 가능 |
| CVE-2026-55393 | 10.0 | — | Teledyne FLIR Aware2(PackBot/FirstLook) 경로 조작 — 인증 없이 설정·보안 파라미터 열람 |
| CVE-2026-79901 | 9.9 | — | BoKS keytab 관리 — Unix timestamp 시드의 예측 가능한 PRNG로 AD 서비스 계정 비밀번호 생성 |
| CVE-2026-96658 | 9.9 | — | Foreman 템플릿 엔진 safemode 샌드박스 우회 — 저권한 인증 사용자가 RCE 달성 |
| CVE-2026-56154 | 9.8 | — | Apache HTTP Server mod_rewrite lookahead 사용 시 Use-After-Free (2.4.0~2.4.68) |
| CVE-2026-57941 | 9.8 | — | Apache HTTP Server mod_http2 공유 session->bbtmp 재진입 Use-After-Free (2.4.0~2.4.68) |
| CVE-2026-102115 | 9.8 | 0.5% | Kiteworks Core 비밀번호 재설정 워크플로우 파라미터 검증 미흡 — 이메일 주소만 알면 재설정 링크 없이 계정 탈취 가능 |
| CVE-2026-76142 | 9.3 | — | 지니언스 Genian NAC/ZTNA 정책서버 내부 IPC 엔드포인트 인증·접근통제 미흡 — 인증 없이 내부 기능 호출 |
그 외 9점대 신규 항목으로 AI 에이전트 프레임워크 계열(agentscope RealtimeAgent의 코드 실행 툴 노출 CVE-2026-51856, DB-GPT 스킬 업로드 실행 CVE-2026-51866, Devika Runner 코드 인젝션 CVE-2026-51871 등)과 SConnect 네이티브 호스트 RCE(CVE-2026-18397, 9.4), 아수스 라우터 포맷 스트링(CVE-2026-14157, 9.4)이 함께 게시되었습니다. 대부분 CVSS 외 실측 악용 지표가 없어 위험도 판단은 자산 노출도 기준으로 하세요.
🌐 위협 동향
- ScreenConnect Client 악용 공격 관측 (SANS ISC) — 공격자들이 고도화된 기법 대신 이미 설치된 원격지원 애플리케이션을 그대로 악용하는 사례가 관측되었습니다. ScreenConnect(ConnectWise)는 정상 관리 도구이면서 동시에 공격자의 상주·원격 제어 수단이 될 수 있어, 예상치 못한 클라이언트 설치와 세션 로그를 점검하는 것이 탐지의 핵심입니다. 원문
- CISA, FortiMail 취약점 KEV 등재 알림 — CISA가 Fortinet FortiMail 경로 조작(CVE-2026-104286)을 실제 악용 증거에 근거해 KEV 카탈로그에 추가했습니다. 공격자에게 빈번히 활용되는 유형이며 중요 인프라에 상당한 위험을 제기한다고 명시하고 있습니다. 원문
- ICS/OT 자산 대상 CISA 권고 다수 (2026-10-01) — 물리 출입통제 시스템(Armatura One), IoT 클라우드 OpenAPI(Meari), EV 충전 플랫폼(Monta), 빌딩 컨트롤러(Johnson Controls EasyIO Neo), 전력 보호 계전기 관리 도구(ABB PCM600) 등에서 데이터베이스 무단 접근, 최고 권한 코드 실행, 자격증명·세션 데이터 탈취 가능성이 보고되었습니다. OT/ICS를 운영하는 조직은 인터넷 노출 최소화와 벤더 권고 적용 여부를 확인하세요. 권고 목록
- CISA Malcolm 자체 권고(XSS, OS 명령 삽입) — 네트워크 트래픽 분석 도구인 CISA Malcolm에도 XSS와 OS 명령 삽입 등 결함이 게시되었습니다. 보안 분석 인프라 자체가 공격 표면이 될 수 있으므로 관리 인터페이스 접근 통제를 재확인하는 것이 좋습니다. 원문
오늘의 체크포인트
- Apache HTTP Server를 2.4.68 이하로 운영 중인지 확인하고 상위 버전으로 업데이트 — mod_rewrite/mod_http2/mod_ssl 관련 Use-After-Free 및 권한 처리 결함이 다수이며, 리버스 프록시로 외부에 노출된 인스턴스가 우선 대상입니다.
- FortiMail(CVE-2026-104286)과 Cisco Catalyst SD-WAN Manager(CVE-2026-76504) 패치 적용 및 관리 인터페이스 노출 차단 — 두 건 모두 KEV 등재, 인증 없이 접근 가능한 유형입니다.
- 지니언스 Genian NAC/ZTNA·SSL PNS 6건 통합 패치 — 특히 CVE-2026-76142(9.3, 인증 없이 내부 기능 호출)와 CVE-2026-76146(8.4, 접속 ID만으로 원격 명령 실행)은 국내 망 접근제어 환경에 직접적 영향이 있습니다. 아울러 파이오링크 PAS-K 구버전 사용 여부도 확인하세요.
- npm 의존성에서 vm2 3.11.7 미만 제거 — 샌드박스 탈출로 호스트 파일 쓰기·자격증명 유출까지 이어질 수 있으며, n8n·GraphQL Tools 관련 High 결함도 함께 점검하세요.
마무리
- 오늘의 한 줄 정리: KEV 2건(FortiMail, SD-WAN Manager)과 Apache HTTP Server 광범위 취약점, Genian 계열 6건이 겹친 날 — 노출 경계에 있는 장비와 샌드박스 라이브러리부터 패치하세요.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.