오늘은 Citrix NetScaler의 메모리 버퍼 경계 위반 취약점(CVE-2026-88779)이 CISA KEV에 등재되며 실제 악용이 확인된 점이 가장 큰 뉴스입니다. 동시에 vm2, tinypool 등 Node.js 샌드박스·워커 라이브러리에서 RCE로 이어지는 prototype pollution 계열 취약점이 대거 공개됐고, Perforce P4 Search 컨테이너 이미지에서 인증 없이 최고 권한을 얻을 수 있는 CVSS 10.0 취약점이 나왔습니다. 모든 소스가 정상 수집되었습니다(errors 없음). 국내 KrCERT/KISA 신규 공지는 오늘 없습니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-88779 — Citrix NetScaler 메모리 버퍼 경계 위반
Citrix NetScaler ADC(구 Citrix ADC)와 NetScaler Gateway(구 Citrix Gateway)에서 메모리 버퍼 연산 경계가 제대로 제한되지 않아 서비스 거부(DoS)로 이어질 수 있는 취약점입니다. CISA가 실제 악용 증거를 근거로 KEV에 등재했으며, 랜섬웨어 캠페인 연계 여부는 아직 Unknown으로 표기되어 있습니다. EPSS는 0.5%(상위 43%)로 확률 자체는 낮지만 KEV 등재는 실공격 관측을 의미하므로 우선순위를 높여야 합니다. NetScaler는 외부에 노출된 인증 프록시·게이트웨이로 널리 쓰이므로, 운영자는 벤더 권고 버전으로 즉시 업그레이드하고 관리 인터페이스 접근을 제한해야 합니다. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
오늘 신규 공지 없음.
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| @capacitor/android | npm | critical | >= 6.0.0, < 6.2.2 | 6.2.2 |
| tinypool | npm | critical | <= 2.1.0 | 2.1.1 |
| tinypool | npm | critical | < 2.1.2 | 2.1.2 |
| vm2 | npm | critical | <= 3.11.7 | 3.11.8 |
| vm2 | npm | critical | >= 3.10.0, <= 3.11.7 | 3.11.8 |
| vm2 | npm | critical | >= 3.11.0, <= 3.11.7 | 3.11.8 |
| vm2 | npm | critical | <= 3.11.7 | 3.11.8 |
| fsspec | pip | high | >= 0.9.0, < 2026.6.0 | 2026.6.0 |
| @graphql-tools/executor-legacy-ws | npm | high | <= 1.1.34 | 1.1.35 |
| @graphql-tools/utils | npm | high | <= 12.0.0 | 12.0.1 |
| @vue/server-renderer | npm | high | < 3.5.42 | 3.5.42 |
| quart | pip | high | = 0.23.0 | 0.23.1 |
| langgraph-sdk | pip | high | >= 0.1.45, <= 0.4.3 | 0.4.4 |
| vm2 | npm | high | <= 3.11.7 | 3.11.8 |
| prosemirror-view | npm | high | < 1.42.3 | 1.42.3 |
오늘 가장 눈에 띄는 것은 vm2입니다. 샌드박스 탈출(Sandbox Escape)부터 호스트 RCE까지 이어지는 5건이 한꺼번에 공개됐으며 모두 3.11.8에서 패치됩니다. vm2는 사용자 제공 코드를 격리 실행하는 용도로 쓰이므로, 샌드박스가 뚫린다는 것은 곧 신뢰 경계가 무너진다는 뜻입니다. 또한 tinypool(vitest 등 테스트 러너의 워커 풀)과 fsspec(ReferenceFileSystem SSTI→RCE)도 코드 실행으로 직결되므로, 해당 버전을 쓰는 프로젝트는 즉시 상향해야 합니다.
🧩 주요 스택 관련
- Laravel / PHP — CVE-2026-105222 (google-maps 패키지, CVSS 9.1): 번들 config가
ssl_verify_peer를 기본 FALSE로 설정해 TLS 인증서 검증이 꺼집니다. on-path 공격자가 Google Maps API 트래픽을 가로챌 수 있으므로, 해당 패키지 사용 시 TLS 검증 옵션을 명시적으로 켜야 합니다. NVD - Node.js — Ghost 다수 (CVE-2026-105642 외 7건): Ghost CMS의 SVG 처리, embed card, 북마크 카드, 테마 번역 파일 로딩 등에서 RCE·저장형 XSS·권한 상승이 보고됐습니다. 버전별 패치선이 다르므로(6.64.0 / 6.65.0 / 6.67.0 등) 운영 중인 Ghost 버전을 확인하고 최신 패치로 올리는 것이 안전합니다.
- Docker — CVE-2026-105641 (Plane, CVSS 9.8): 커뮤니티 배포 매니페스트에 공개적으로 알려진
SECRET_KEY/LIVE_SERVER_SECRET_KEY기본값이 그대로 남습니다. 기본값으로 운영 중인 인스턴스는 시크릿을 즉시 재생성해야 합니다. NVD - Node.js — CVE-2026-102282 (adm-zip, CVSS 7.1):
keepOriginalPermission=true로 압축 해제 시 zip 엔트리의 Unix 권한 비트가 그대로 적용됩니다. 신뢰할 수 없는 아카이브를 푸는 CI/컨테이너 환경에서 권한 상승 위험이 있습니다. - npm — CVE-2026-92931 (@progress/sitefinity-nextjs-sdk, CVSS 8.8): 서버 사이드 요청 위조(SSRF)로 내부 호스트 접근이 가능합니다.
- Windows — CVE-2026-77805 (Telerik Fiddler Classic, CVSS 7.9): 외부 헬퍼 도구 실행 전 Authenticode 서명 검증이 불충분합니다.
- PHP — CVE-2026-104890 / CVE-2026-88393 / CVE-2026-88396 / CVE-2026-95264: Kunstmaan CMS(확장자 블랙리스트 대소문자 우회), WookTeam(eval 기반 RCE), ApiAdmin(확장자 무검증 업로드), Feehi CMS(경로 순회 삭제) 등 국내에서도 쓰이는 계열의 CMS 취약점입니다. 최신 버전 적용 또는 업로드 경로 차단을 검토하세요.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-100103 | 10.0 | 0.4% | Perforce P4 Search 2026.4.2 이전 컨테이너 이미지, 인증 토큰이 공개된 기본값으로 리셋되어 최고 권한 획득 가능 |
| CVE-2026-100102 | 9.5 | 0.4% | P4 Search 2026.4.2 이전, 인증 없는 Java 디버그 인터페이스로 임의 코드 실행 |
| CVE-2026-103510 | 9.5 | 0.3% | P4 Search, 서비스 인증 토큰이 빈 값일 때 안전하게 실패하지 않아 인증 우회 |
| CVE-2026-105636 | 9.9 | – | Plane 1.4.0 이전, 웹훅 전달 시 리다이렉트 미검증으로 SSRF |
| CVE-2026-105691 | 9.9 | – | Penpot 2.18.0 이전, SVG exporter가 사용자 입력을 셸 명령에 삽입해 RCE |
| CVE-2026-105740 | 9.9 | – | Langflow 1.9.0 이전, MCP Stdio transport의 command 필드가 bash로 직접 전달되어 RCE |
| CVE-2026-21589 | 9.3 | – | Atlassian Data Center 제품군(Bitbucket/Confluence/Jira/Bamboo/Crowd 등) 임의 파일 접근 |
| CVE-2026-105285 | 9.3 | 1.1% | Totolink A3002MU QoS Rule Handler의 스택 버퍼 오버플로, 원격 익스플로잇 가능 |
🌐 위협 동향
- CISA KEV 카탈로그 1건 추가 — CISA가 CVE-2026-88779(Citrix NetScaler)를 실제 악용 증거에 근거해 KEV에 등재했습니다. 이 유형(메모리 버퍼 경계 위반)은 공격자들이 반복적으로 노리는 클래스로, 노출된 NetScaler 인스턴스는 패치 전까지 공격 표면이 됩니다. 원문
- 허니팟 TTY 로그 분석 (SANS ISC) — 공격자가 DShield 센서 로그인 성공 후 실행한 명령들을 TTY 로그로 수집·파싱해 SIEM에 상관분석하는 실험이 소개됐습니다. 침해 후(post-compromise) 행위를 명령 단위로 추적하는 접근으로, 자체 허니팟·로그 파이프라인을 운영하는 팀에 참고할 만합니다. 원문
- User-Agent 문자열 관찰 (SANS ISC) — 허니팟 로그에 나타나는 새로운 User-Agent 문자열을 리뷰하며 스캐너·봇의 위장 패턴 변화를 짚습니다. WAF/봇 탐지 룰 튜닝 시 참고할 수 있는 관측 기록입니다. 원문
오늘의 체크포인트
- Citrix NetScaler 즉시 점검 — CVE-2026-88779가 KEV에 등재됐습니다. 외부 노출 NetScaler ADC/Gateway의 버전을 확인하고 벤더 패치를 적용하며, 관리 인터페이스 접근을 제한하세요.
- vm2 / tinypool / fsspec 상향 — 샌드박스·워커·파일시스템 계층에서 RCE로 이어지는 취약점이 다수입니다. vm2는 3.11.8, tinypool은 2.1.2, fsspec은 2026.6.0으로 올리세요.
- Plane / Perforce P4 Search 기본 시크릿 재생성 — 공개된 기본
SECRET_KEY·인증 토큰을 그대로 쓰는 인스턴스는 즉시 교체하고, P4 Search는 2026.4.2 이상으로 업그레이드하세요. - Ghost CMS 버전 확인 — RCE·저장형 XSS가 여러 버전대에 걸쳐 있어, 사용 중인 버전의 패치선을 확인하고 최신으로 갱신하세요.
오늘의 한 줄: Citrix NetScaler가 실제 공격에 악용되기 시작했고, Node.js 샌드박스 계열(vm2·tinypool) RCE가 한꺼번에 쏟아진 하루 — 노출 서비스와 코드 실행 계층을 우선 점검하세요.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.