도입부
오늘 가장 중요한 소식은 Citrix NetScaler의 메모리 버퍼 취약점(CVE-2026-88779)이 CISA KEV에 등재되며 실제 악용이 확인된 점입니다. 국내 보호나라(KISA/KNVD)도 동일 취약점을 포함한 CISA Exploit 정보공유 공지를 게시해 국내 NetScaler 운영자의 확인이 필요합니다. 한편 NVD에는 CVSS 9점대 Critical 11건이 신규 게시되었는데, 그중 다수가 아직 EPSS가 낮아 “게시 시점 정보” 성격이 강하며 ZITADEL 인증 우회 계열이 여러 건을 차지했습니다. 수집 실패한 소스는 없습니다(errors 없음).
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-88779 — Citrix NetScaler (ADC/Gateway)
Citrix NetScaler ADC(구 Citrix ADC)와 NetScaler Gateway(구 Citrix Gateway)에서 메모리 버퍼 연산 범위를 제대로 제한하지 못해 서비스 거부(DoS)를 유발할 수 있는 취약점입니다. CISA가 실제 악용 근거를 바탕으로 KEV 카탈로그에 추가했으며, 랜섬웨어 캠페인 사용 여부는 Unknown(확인되지 않음) 입니다. EPSS는 0.3%로 낮게 산출되었지만, 이는 30일 내 악용 확률 추정치일 뿐이며 KEV 등재 자체가 실공격 관측을 의미하므로 확률 수치보다 우선해 대응해야 합니다. NetScaler를 리버스 프록시·VPN 게이트웨이로 외부에 노출해 운영 중인 환경이라면 영향 버전 여부를 확인하고 최신 버전으로 업데이트하세요. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
美 CISA 발표 주요 Exploit 정보공유 (Update. 2026-10-04) — KISA/KNVD가 CISA의 악용 취약점 목록 갱신 내용을 국문으로 공유한 공지입니다. 영향 제품 표에 위 KEV와 동일한 CVE-2026-88779 (Citrix NetScaler) 가 포함되어 있으며, 해당 버전 사용자는 해결 방안에 따라 최신 버전으로 업데이트할 것을 권고합니다. 국내에서도 NetScaler는 공공·금융·대기업의 대외 서비스 앞단에 널리 쓰이므로, 해외 공지라도 국내 인프라 영향 여부를 반드시 대조해 확인하는 것이 좋습니다. 공지 보기
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음.
🧩 주요 스택 관련
CVE-2026-105123 — W (wcms) 원격 코드 실행 (PHP, CVSS 8.7) — vincent-peugnet/wcms 3.18.0 이하에서 인증된 편집자 권한 사용자가 POST /api/v0/media/upload/[*:path] 의 검증되지 않은 경로를 악용해 임의 파일을 업로드할 수 있습니다. .php 파일 업로드 후 웹 서버가 이를 실행하거나 인코딩된 ../ 시퀀스로 경로를 벗어날 수 있어 사실상 RCE로 이어집니다. PHP 기반 CMS를 운영 중이라면 업로드 경로 검증 로직과 실행 권한 설정을 점검하고, 가능하면 최신 버전으로 갱신하세요. EPSS 0.5%(42 백분위). NVD
CVE-2026-105219 — Mammoth.js 정규식 DoS (Node.js, CVSS 8.7) — Mammoth.js 1.3.0 ~ 1.12.3 구간에서 lib/styles/parser/tokeniser.js 의 스타일 맵 토크나이저가 중첩된 정규식 대안으로 인해 ReDoS에 취약합니다. 종료되지 않은 인용 문자열과 반복 백슬래시 이스케이프가 포함된 조작된 .docx 를 처리하면 CPU가 과점유될 수 있습니다. 사용자가 업로드한 docx를 서버에서 변환하는 파이프라인(문서 변환, 미리보기 생성 등)에서 특히 위험하므로 1.12.3 이상으로 업데이트하고, 외부 입력 변환 작업에는 타임아웃과 리소스 제한을 걸어두는 것이 안전합니다. NVD
🔴 신규 Critical 하이라이트
오늘 게시된 Critical은 대부분 EPSS 미산출 또는 저확률로, 아직 실제 악용 정황은 확인되지 않은 신규 공개 건입니다. 파급이 큰 인증/결제 계열 위주로 선별했습니다.
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-105134 | 9.3 | 1.8% | Ahsay CBS 10.3.2 이하 Replication Receiver의 random 인자 조작으로 OS 명령 주입 (원격 실행 가능) |
| CVE-2026-105135 | 9.3 | 0.8% | InternLM MindSearch 0.1.0 Planner Agent의 inputs 조작으로 코드 주입 |
| CVE-2026-105207 | 9.3 | — | ZITADEL 3.0.0 |
| CVE-2026-105211 | 9.2 | — | ZITADEL 4.17.1 미만 Login V2 인증 우회 — returnCode 전달 방식으로 OTP 코드 탈취해 계정 탈취 |
| CVE-2026-105215 | 9.3 | — | ZITADEL 3.4.14 미만/4.16.2 미만 Login V1 UI 인증 우회 (위조 IdP 필드 신뢰) |
| CVE-2026-105209 | 9.3 | — | ZITADEL 3.4.15 미만/4.17.1 미만 passkey·passwordless 등록코드 발급 시 조직 검증 오류 (권한 상승) |
| CVE-2026-105216 | 9.1 | — | go-micro 6.0.0 미만 공유 TLS 헬퍼가 InsecureSkipVerify=true 기본값 → gRPC 중간자 공격 가능 |
| CVE-2026-105218 | 9.1 | — | gopay 1.5.119 미만 defaultClient()가 TLS 검증 비활성화 → 결제 API 위장, 자격증명·거래 데이터 노출 |
ZITADEL은 3.x·4.x 다수 버전에 걸쳐 인증 우회·계정 탈취 계열이 연속 공개되었습니다. IdP로 ZITADEL을 쓰는 조직은 3.4.15 / 4.17.3 이상으로 통합 업데이트를 검토하세요(각 CVE별 최소 패치 버전이 다르므로 가장 높은 기준 적용 권장).
🌐 위협 동향
CISA, KEV 카탈로그에 1건 추가 — CISA가 실제 악용 근거에 따라 CVE-2026-88779(Citrix NetScaler)를 KEV에 등재했습니다. 공지에서 이 유형(메모리 버퍼 범위 제한 실패)이 빈번한 공격 표적임을 언급하고 있습니다. KEV 등재는 통상 연방기관 패치 기한이 설정되는 신호이므로, 민간 조직도 동일 기준으로 우선순위를 올려 대응하는 것이 좋습니다. 원문
User-Agent 문자열에서 관측되는 흥미로운 패턴 (SANS ISC) — 허니팟 로그에 새로 등장하는 User-Agent 문자열들을 검토하며 분석가가 주목한 사례를 다룬 diary입니다. 스캐너·봇이 UA를 위조하거나 비정상적으로 조합하는 정황은 탐지 룰 튜닝과 봇 필터링 정책에 직접 참고할 수 있는 실전 관측입니다. 원문
YARA-X 1.21.0 릴리스 (SANS ISC) — 시그니처 매칭 도구 YARA-X의 1.21.0 버전이 개선 5건·버그픽스 4건과 함께 공개되었습니다. 악성코드 탐지 룰을 운영하는 팀이라면 변경 사항을 확인하고 룰셋 호환성을 점검할 시점입니다. 원문
오늘의 체크포인트
- Citrix NetScaler(ADC/Gateway) 노출 자산 버전 확인 및 최신 버전 업데이트 — KEV 등재 + 국내 공지 동시 언급, 최우선 대응.
- ZITADEL 사용 시 3.4.15 / 4.17.3 이상으로 업데이트 — 인증 우회·계정 탈취 계열이 다수 버전에 걸쳐 연속 공개됨.
- PHP 기반 wcms 운영 시 업로드 경로 검증·실행 권한 점검 (CVE-2026-105123), 서버 측 docx 변환에 Mammoth.js 사용 시 1.12.3 이상으로 갱신 (CVE-2026-105219).
- Go 서비스에서 go-micro·gopay 의존성 버전 확인 — TLS 검증 비활성화 기본값은 중간자 공격에 직결되므로 사내 결제/서비스 간 통신에 영향 여부를 점검.
마무리
- 오늘의 한 줄 정리: 실제 악용이 확인된 Citrix NetScaler(KEV)를 최우선으로 패치하고, 인증 계열(ZITADEL)과 스택(PHP CMS·Mammoth.js) 신규 취약점은 버전 확인부터 시작하세요.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.