2026-10-09 Security Daily

도입부

오늘은 CISA KEV에 5건이 한꺼번에 등재되었는데, 모두 2015~2023년에 공개된 “오래된” 취약점(BIND, Apache Struts, ProFTPD, ONLYOFFICE Docs, Strapi)이라는 점이 특징입니다. 신규 CVE가 아니라 이미 알려진 취약점이 실제 공격에서 다시 악용되고 있다는 신호이므로, 패치가 오래된 레거시 자산 목록을 다시 점검해야 하는 날입니다. 신규 게시 쪽에서는 IBM DataPower Gateway와 IBM Guardium에 9.8점 취약점이 몰려 나왔고, AI 에이전트 프레임워크인 PraisonAI에서 인증 우회·명령 실행 계열 GHSA가 다수 보고되었습니다. 수집 실패한 소스는 없습니다.

🚨 실제 악용 확인 (CISA KEV)

CVE-2015-5477 — ISC BIND

TKEY 쿼리 처리 과정의 결함으로 원격에서 DoS를 유발할 수 있는 취약점입니다. KEV 등재일은 2026-10-08이며 랜섬웨어 연관 정보는 Unknown, EPSS는 91.3%(상위 100%)로 악용 확률이 매우 높게 평가됩니다. BIND 9 기반 리졸버/권한 네임서버를 운영 중이라면 버전을 확인하고 벤더 패치를 적용해야 하며, 외부에 노출된 DNS 서비스는 우선순위로 다루는 것이 좋습니다. NVD

CVE-2016-3081 — Apache Struts

Dynamic Method Invocation이 활성화된 환경에서 method: 프리픽스를 통해 원격 코드 실행이 가능한 command injection입니다. KEV 등재일 2026-10-08, 랜섬웨어 정보 Unknown, EPSS 93.4%(상위 100%). Struts 2 기반 레거시 웹 애플리케이션은 여전히 사내에 남아 있는 경우가 많으므로, DMI 비활성화 여부와 프레임워크 버전을 함께 확인하십시오. NVD

CVE-2023-22894 — Strapi

관리자 패널 접근 권한을 가진 공격자가 query filter를 통해 민감한 사용자 정보를 조회할 수 있는 취약점입니다. KEV 등재일 2026-10-08, 랜섬웨어 Unknown, EPSS는 1.7%(76백분위)로 상대적으로 낮지만 실제 악용이 확인된 항목입니다. 공지에는 해당 제품이 EoL/EoS 상태일 수 있다는 언급이 있으므로, 유지보수가 끝난 Strapi 버전을 운영 중인지 확인하고 업그레이드 또는 대체를 검토해야 합니다. NVD

CVE-2021-3199 — ONLYOFFICE Docs

JWT를 사용하는 구성에서 이미지 업로드 파라미터에 /.. 시퀀스를 넣어 path traversal 후 원격 코드 실행으로 이어질 수 있는 취약점입니다. KEV 등재일 2026-10-08, 랜섬웨어 Unknown, EPSS 8.2%(95백분위). 사내 문서 서버 형태로 ONLYOFFICE Docs를 자체 호스팅하는 조직이라면 노출 범위와 버전을 확인하십시오. NVD

CVE-2015-3306 — ProFTPD

site cpfr / site cpto 명령을 악용해 임의 파일을 읽고 쓸 수 있는 improper access control 취약점입니다. KEV 등재일 2026-10-08, 랜섬웨어 Unknown, EPSS 96.8%(상위 100%)로 오늘 KEV 항목 중 악용 확률이 가장 높습니다. FTP 서비스를 외부에 열어둔 경우 접근 제어와 버전을 즉시 확인하고, 가능하면 SFTP 등으로 대체하는 것을 권장합니다. NVD

🇰🇷 국내 보안공지 (KrCERT/KISA)

• 美 CISA 발표 주요 Exploit 정보공유(Update. 2026-10-08) — KISA/KrCERT가 CISA의 악용 취약점 목록 갱신 내용을 국내에 공유한 공지로, 영향 제품 표에 ProFTPD(CVE-2015-3306) 등이 포함되어 있습니다. 국내 공공·민간에서 오래된 오픈소스 인프라를 운영하는 경우가 많아, 위 KEV 항목과 함께 자산 대장을 대조해볼 필요가 있습니다. 공지 보기

오늘 KNVD 국내 취약점 정보(krVuln)는 신규 항목이 없습니다.

📦 패키지 생태계 (GHSA)

가장 눈에 띄는 것은 fast-jwt입니다. RSA 공개키를 HMAC 시크릿으로 오인해 HS256 토큰 위조가 가능해지는 알고리즘 혼동(algorithm confusion) 계열이 여러 건이며, 6.2.4에서 6.3.0/6.3.1로 올려야 정리됩니다. JWT 검증은 인증 경계 자체이므로 이 라이브러리를 쓰는 서비스는 즉시 버전을 확인하십시오. praisonai는 한 패키지에서 인증 없는 기본 노출, 샌드박스 정책 미적용, LLM 도구 호출을 통한 임의 파일 쓰기·명령 실행 등이 함께 보고되어, 에이전트 프레임워크를 내부망에 띄워 쓰는 환경이라면 노출면 점검이 필요합니다. mariadb(Node.js 커넥터)는 NO_BACKSLASH_ESCAPES 세션 모드에서 SQL 인젝션이 가능한 항목이라 커넥터 버전 확인이 필요합니다.

🧩 주요 스택 관련

PHP 생태계 — WordPress 플러그인 취약점이 다수입니다. Bricksforge(≤ 3.1.8.9)는 인증 없이 임의 파일 업로드가 가능해 CVSS 9.8로 평가되었고, Frontend Dashboard(< 3.0.5)는 nonce/권한 검사 없이 공격자가 지정한 PHP 함수를 호출해 관리자 계정 탈취까지 이어질 수 있습니다. Ultimate Multisite(< 2.17.0)는 이메일 정규화 차이를 이용한 인증 우회입니다. 라이브러리 쪽으로는 league/commonmark(2.0.0 ~ 2.10.2 미만)의 GFM 표 확장에서 2차 시간 복잡도 DoS, webonyx/graphql-php(15.32.3 미만)의 재귀 깊이 제한 부재, ILIAS의 assImagemapQuestionGUI 인자 주입 등이 보고되었습니다. WordPress 플러그인은 자동 업데이트 정책과 무관하게 수동 확인이 필요한 경우가 많으니 설치 목록을 점검하십시오.

Node.js — MariaDB Connector/Node.js에서 SQL 인젝션 2건(permitSetMultiParamEntries의 SET 확장, 텍스트 프로토콜 이스케이프)과 GeoJSON 인코더의 버퍼 할당 크기 오산이 함께 나왔습니다. 3.2.5 / 3.3.4 / 3.4.7 / 3.5.4 미만을 사용한다면 업그레이드 대상입니다. msgpack5(< 6.1.0)는 청크 내 다수 값 처리 시 재귀 폭주와 map32 헤더 경계 검사 누락으로 DoS가 가능합니다.

nginx / 컨테이너 — Malcolm의 nginx 기반 리버스 프록시에서 Lua RBAC 계층과 nginx 라우팅 간 URL 경로 정규화 불일치로 역할 제한 우회가 가능하며, 번들된 FilePond PHP 서버의 fetch API 라우트가 서버 측 다운로드를 유발할 수 있습니다. Docker 환경에서는 Ollama의 /api/pull 엔드포인트 path traversal(CVSS 9.4)이 모델 저장 경로 밖에 임의 바이너리를 쓰게 할 수 있어, Ollama를 외부에 노출한 구성은 특히 주의가 필요합니다.

Windows — hMailServer(6.0.0~6.3.5)의 COM 객체 권한 누락·기본 권한 오설정, TightVNC Server(< 2.8.88)의 검색 경로 및 명명 공유 메모리 권한 문제 등 로컬 권한 상승 계열이 다수입니다. 로컬 사용자 권한을 이미 가진 공격자에게 SYSTEM 권한을 넘겨줄 수 있으므로, 서버 역할 호스트의 원격 관리 도구 버전을 확인하십시오.

🔴 신규 Critical 하이라이트

EPSS가 부여된 항목은 아직 낮은 수치(0.1~1.5%)이지만, 신규 게시 CVE는 악용 관측 전이라 EPSS가 낮게 나오는 것이 일반적입니다. IBM DataPower Gateway는 오늘만 RFC2047 파서 OOB write, 버퍼 오버플로, LDAP 인증 시 빈 패스워드 미거부 등 9.8점 항목이 여러 건 게시되어 별도로 묶어 관리하는 것이 좋습니다. 이 외에도 IBM Guardium Data Protection의 path traversal·SQL 인젝션·인증 누락(9.8), Tenable Identity Exposure의 AD 이벤트 리스너 명령 주입(9.4) 등이 함께 나왔습니다.

🌐 위협 동향

중국 정부 연계 위협 행위자의 자동화+수동 침투 결합 — CISA는 Integrity Technology Group의 지원을 받는 중국 정부 연계 행위자들이 자동화 도구와 수동 해킹 기법을 결합해 민감 데이터를 탈취하고 있다고 경고했습니다. 대량 스캔으로 초기 침투 지점을 찾은 뒤 사람이 직접 후속 작업을 수행하는 패턴이므로, 경계 차단만으로는 부족하고 내부 횡적 이동 탐지 룰을 함께 점검해야 합니다. 원문

Atlassian CVE-2026-21589 스캔 관측 — SANS ISC는 10월 5일 Atlassian이 패치한 “Arbitrary File Access” 취약점에 대한 실제 스캔 트래픽을 관측했다고 전했습니다. 공개 후 수일 내에 자동화 스캔이 돌기 시작했다는 뜻이므로, Atlassian 제품군을 운영 중이라면 로그에서 해당 경로 요청을 확인하고 패치 적용 여부를 우선 점검하십시오. 원문

AI 에이전트 활동 포렌식 스크립트 공개 — ISC는 FOR577 과정 업데이트와 함께 Claude Code, Codex, Gemini 등 주요 AI 코딩 어시스턴트/에이전트의 활동 흔적을 사후 분석하는 스크립트 2종을 소개했습니다. 개발 환경에 AI 에이전트가 광범위하게 들어온 만큼, 침해 대응 시 “누가 어떤 에이전트를 어떤 권한으로 실행했는가"를 복원하는 절차가 필요해지고 있습니다. 원문

ICS 자문 3건 게시 — CISA는 Satel Netco Design, Grid Protection Alliance openPDC/openHistorian, Red Lion Controls N-Tron 700 시리즈에 대한 ICS 자문을 게시했습니다. 각각 브라우저 측 스크립트 실행·파일 조작, 다수 CVE 묶음, 장치 관리자 권한 획득 및 재부팅 유발 등이 가능하다고 요약되어 있어, OT 네트워크 운영자는 해당 자문을 참고해 노출 인터페이스를 확인하는 것이 좋습니다. Satel Netco Design · openPDC/openHistorian · Red Lion Controls N-Tron 700

오늘의 체크포인트

1. 레거시 서비스 패치 대장 재점검 — KEV에 오른 BIND, Apache Struts, ProFTPD, ONLYOFFICE Docs, Strapi는 모두 수년 전 공개된 취약점입니다. “이미 패치했을 것"이라는 가정을 버리고 실제 운영 버전을 확인하십시오.
2. JWT 검증 라이브러리 버전 확인 — fast-jwt를 사용한다면 6.3.0/6.3.1 이상으로 올리고, 시크릿/공개키 설정이 알고리즘을 명시적으로 고정하고 있는지도 함께 확인하십시오.
3. AI 에이전트·LLM 서비스 노출면 점검 — PraisonAI, Ollama, SGLang 관련 취약점은 대부분 “인증 없이 기본 노출” 또는 “도구 호출을 통한 코드 실행"입니다. 외부에서 접근 가능한지, 샌드박스 정책이 실제로 적용되는지 확인하십시오.
4. WordPress 플러그인 목록 확인 — Bricksforge, Frontend Dashboard, Ultimate Multisite, Uncanny Automator 등 인증 우회·파일 업로드 계열이 연속 보고되었습니다.

마무리

오늘의 핵심은 “새 취약점"보다 오래된 취약점이 다시 공격에 쓰이고 있다는 사실이며, 동시에 AI 에이전트·LLM 서비스가 새로운 공격 표면으로 빠르게 자리잡고 있다는 점입니다.

매일 아침 보안 동향을 릿치 블로그에서 만나보세요.