2026-10-10 Security Daily

오늘은 CISA KEV에 5건이 한꺼번에 등재됐습니다. BIND, Apache Struts, ProFTPD, ONLYOFFICE Docs, Strapi처럼 오래된 레거시 취약점이지만 EPSS가 90%를 넘는 항목이 섞여 있어 “여전히 현역으로 악용되는” 인프라라는 점이 눈에 띕니다. 신규 Critical 57건 중에서는 NetScaler ADC, fast-jwt, Hazelcast, Azure/Microsoft 서비스 계열이 두드러지며, Nginx UI는 하나의 제품에서 9건의 취약점이 동시에 공개됐습니다. 국내 KrCERT/KISA 신규 공지는 오늘 없습니다.

🚨 실제 악용 확인 (CISA KEV)

CVE-2015-5477 — ISC BIND

TKEY 쿼리 처리 과정의 데이터 처리 오류로 원격 DoS가 가능한 취약점입니다. 2015년 CVE지만 최근 실제 악용이 확인되어 KEV에 등재됐고, EPSS는 91.8%(상위 100%)입니다. BIND 9.x를 리졸버/권한 서버로 운영하는 조직은 벤더 권고 버전으로 즉시 업그레이드하고, 외부에 노출된 DNS 서비스의 패치 상태를 우선 점검하세요. 랜섬웨어 연관성은 확인되지 않았습니다(Unknown). NVD

CVE-2016-3081 — Apache Struts

Dynamic Method Invocation(DMI)이 활성화된 환경에서 method: 프리픽스를 통한 명령 주입으로 임의 코드 실행이 가능합니다. EPSS 94.5%(상위 100%)로 오늘 KEV 항목 중에서도 악용 확률이 매우 높게 산정됐습니다. Struts 2 기반 레거시 애플리케이션은 DMI 비활성화 여부와 프레임워크 버전을 함께 확인해야 하며, 인터넷에 노출된 구버전은 최우선 패치 대상입니다. NVD

CVE-2023-22894 — Strapi

관리자 패널 접근 권한을 가진 공격자가 쿼리 필터를 통해 민감한 사용자 정보를 평문으로 열람할 수 있는 취약점입니다. EPSS는 3.4%(상위 89%)로 상대적으로 낮지만 실제 악용 정황이 확인됐습니다. 해당 제품은 EoL/EoS 상태일 수 있다는 점이 벤더 설명에 명시되어 있어, 단순 패치가 어렵다면 관리자 패널 접근 통제와 노출 차단을 우선 적용하세요. NVD

CVE-2021-3199 — ONLYOFFICE Docs

JWT를 사용하는 구성에서 이미지 업로드 파라미터에 /.. 시퀀스를 넣어 경로를 벗어나고, 결과적으로 원격 코드 실행으로 이어질 수 있습니다. EPSS 14.5%(상위 97%)입니다. 사내 문서 서버로 ONLYOFFICE Docs를 운영하는 경우 Document Server 버전과 리버스 프록시 뒤 노출 범위를 확인하고, 가능하면 외부 직접 접근을 차단하세요. NVD

CVE-2015-3306 — ProFTPD

site cpfr/site cpto 명령을 악용해 임의 파일을 읽고 쓸 수 있는 접근 제어 취약점입니다. EPSS 98%(상위 100%)로 오늘 KEV 항목 중 최고 수준이며, 파일 쓰기까지 가능하다는 점에서 웹쉘 업로드·권한 상승으로 이어지기 쉽습니다. mod_copy가 활성화된 구버전 ProFTPD를 운영 중이라면 모듈 비활성화 또는 버전 업그레이드를 검토하세요. NVD

🇰🇷 국내 보안공지 (KrCERT/KISA)

오늘 신규 공지 없음

📦 패키지 생태계 (GHSA)

TinaCMS는 tinacms(critical, 관리자 프리뷰 iframe이 URL fragment의 공격자 제어 origin을 로드)와 @tinacms/cli(high, Git 브랜치명 미이스케이프로 생성 클라이언트 소스에 코드 주입)가 함께 올라와 있어, 헤드리스 CMS를 빌드 파이프라인에 물려 쓰는 팀은 CLI까지 함께 올려야 합니다. pyLoad는 인증 우회·세션 무효화 누락·tar 추출 시 device node 생성 등 4건이 한 제품에 몰려 있으나, 절반은 패치 버전이 아직 표기되지 않아 업스트림 상태 확인이 필요합니다.

🧩 주요 스택 관련

Nginx UI (nginx) — 2.0.0 ~ 2.5.0 구간 8건 + 2.5.0~2.6.0 구간 1건 CVE-2026-107806(CVSS 9.4)은 관리자 세션을 가진 공격자가 조작된 백업 키·매니페스트를 POST /api/restore로 보내 복호화·복원 흐름을 악용하는 문제입니다. 이외에도 node secret이 쿼리 파라미터로 통과되는 인증 우회(CVE-2026-107807), 토큰 쿠키를 API 자격증명으로 수용하는 CSRF 계열(CVE-2026-107809), passkey-only 계정의 WebAuthn 미검증 로그인(CVE-2026-107808), self-upgrade 바이너리 무결성 검증 미흡(CVE-2026-107812) 등 관리 인터페이스 전반의 결함입니다. 운영자는 2.5.0 이상, 가능하면 2.6.0으로 올리고, Nginx UI 관리 포트를 인터넷에 직접 노출하지 않는 구성을 권장합니다.

Linux kernel — 6건 (CVSS 미평가) CVE-2026-98375CVE-2026-98381까지 vlan/bpf/netfilter/net/sched/veth/xen-netfront 서브시스템 수정 건이 한꺼번에 게시됐습니다. 대부분 커널 내부 정합성 문제로 NVD 점수는 아직 미평가이며 EPSS도 0.10.2% 수준입니다. 다만 netfilter·veth처럼 컨테이너 네트워킹과 맞닿은 경로가 포함돼 있으니, 배포판 커널 업데이트 주기를 확인하고 컨테이너 호스트는 재부팅 반영 시점을 계획해 두세요.

PHP 계열 (php) — WordPress/웹앱 6건 AWP Classifieds 플러그인(4.4.9 미만)의 ZIP 압축 해제 시 파일 형식 미검증(CVE-2025-15700, 8.8), ILIAS 9.24/10.12/11.5 미만의 QTI 이미지 업로드 제한 우회(CVE-2026-108113, 8.7), Werkstatt(CVE-2026-94062)·The Voux(CVE-2026-94067) 테마의 파일 인클루드, HortusFox 저장형 XSS(CVE-2026-108101), KodExplorer 4.55 미만 압축 해제 경로 탈출(CVE-2026-104081)입니다. 공통적으로 “업로드/압축 해제 시 확장자·경로 검증 부재” 패턴이며, PHP 실행이 가능한 업로드 디렉터리가 있는지 먼저 확인하는 것이 실질적 완화책입니다.

Docker Desktop for Windows (CVE-2026-106581, 7.3) 4.92.0 이전 버전에서 Installer.exe install -package에 전달된 패키지의 서명을 검증하지 않아, Docker 서명 UAC 프롬프트를 승인한 사용자가 공격자 패키지를 실행할 수 있습니다. 개발자 워크스테이션의 Docker Desktop 버전을 확인하세요.

Windows 영향 항목 Dromara Skyeye 미인증 textToSpeech OS 명령 주입(CVE-2026-107780, 9.3)은 PowerShell 문자열 탈출을 이용하며, Go 표준 라이브러리 계열 junction 경로 탈출(CVE-2026-56857, 9.8)과 SumatraPDF 3.6.1 이하의 링크/번역 명령행 주입(CVE-2026-107732, CVE-2026-107802)도 Windows 환경 대상입니다.

fast-jwt 6.2.0~6.3.0 미만 버전은 RSA 공개키 텍스트를 HMAC 시크릿으로 오분류할 수 있어(CVE-2026-107722, 9.8), JWT 검증 라이브러리로 fast-jwt를 쓰는 Node.js 서비스는 6.3.0으로 즉시 올리는 것이 좋습니다.

🔴 신규 Critical 하이라이트

오늘 Critical은 대부분 Microsoft/Azure·IBM 계열 클라우드·엔터프라이즈 제품에 집중됐고 EPSS는 1% 미만으로 낮게 산정됐습니다. 반면 NetScaler ADC(SAML 구성 조건), Hazelcast, fast-jwt는 자체 인프라에 직접 설치되는 컴포넌트이므로 노출 여부를 별도로 확인할 가치가 있습니다. NVD에 게시됐다 하더라도 점수 미평가 항목이 다수이므로, 표의 수치를 절대적 위험도로 해석하지는 마세요.

🌐 위협 동향

중국 정부 연계 위협 행위자, 자동화 도구와 수동 해킹 병행해 민감 데이터 탈취 — CISA가 10월 8일 공동 권고(AA26-281A)를 발표했습니다. Integrity Technology Group이 지원하는 중국 정부 연계 행위자들이 자동화 스캐닝·초기 침투 도구와 수동 침투(hands-on) 기법을 결합해 민감 데이터를 탈취하는 캠페인입니다. 단순 취약점 패치 공지를 넘는 “행위자 전술” 문서이므로, 탐지 룰·로그 소스 점검 관점에서 읽어볼 것을 권합니다. 원문

ICS 환경 대상 CISA 권고 3건 — Satel Netco Design / Grid Protection Alliance / Red Lion Controls — 산업제어 대상 권고가 연달아 게시됐습니다. Satel Netco Design은 브라우저 내 임의 스크립트 실행·파일 열거·파일 생성/수정 및 잠재적 코드 실행, Grid Protection Alliance의 openPDC·openHistorian은 특정 버전 미만에서 다수 CVE가 확인됐으며, Red Lion Controls N-Tron 700 시리즈는 인증 없이 관리자 접근·설정 파일 업로드·재부팅 유발이 가능합니다. OT 네트워크를 운영한다면 자산 인벤토리에서 해당 제품 존재 여부를 먼저 확인하세요. Satel · Grid Protection Alliance · Red Lion

AI 에이전트 활동 재구성 — 사후 포렌식 스크립트 공개 (SANS ISC) — ISC가 사고 대응 과정에서 AI 코딩 어시스턴트·에이전트(Claude Code, Codex, Gemini 등)의 사용 흔적을 재구성하기 위한 두 개의 스크립트를 공개했습니다. 개발 워크스테이션에서 AI 에이전트가 어떤 명령을 실행했는지가 침해 조사의 핵심 증거가 되는 사례가 늘고 있다는 신호입니다. 엔드포인트 로그 수집 범위에 AI 도구 실행 이력을 포함할지 검토해 볼 만합니다. 원문

오늘의 체크포인트

1. 레거시 네트워크 서비스 우선 점검 — BIND(CVE-2015-5477, EPSS 91.8%), ProFTPD(CVE-2015-3306, EPSS 98%), Apache Struts 2(CVE-2016-3081, EPSS 94.5%)는 오늘 KEV에 등재된 실제 악용 취약점입니다. 운영 중인 DNS·FTP·WAS 자산 버전을 확인하고 패치 또는 기능(mod_copy, DMI) 비활성화를 검토하세요.
2. Nginx UI 관리 인터페이스 — 2.0.0~2.5.0 대역에서 인증 우회·복원 흐름 악용 등 9건이 공개됐습니다. 2.6.0으로 업그레이드하고 관리 포트의 외부 노출을 차단하세요.
3. Node.js JWT 검증 라이브러리 — fast-jwt 6.2.0~6.3.0을 사용한다면 6.3.0 이상으로 즉시 업데이트하세요(CVE-2026-107722).
4. 가상화·컨테이너 호스트 — NetScaler ADC(SAML SP/IdP 구성 시, CVE-2026-107406)와 Hazelcast 클러스터(CVE-2026-107726)의 버전을 확인하고, Hazelcast는 외부에서 접근 가능한 상태인지 점검하세요.

마무리

오늘은 “오래됐지만 여전히 악용되는” 레거시 취약점 5건이 KEV에 오른 날입니다 — 신규 CVE만 보면 놓치는 위험이 크다는 점을 다시 확인시켜 줍니다.

매일 아침 보안 동향을 릿치 블로그에서 만나보세요.