2026-10-11 Security Daily

오늘은 CISA KEV 신규 등재도, 국내 KrCERT/KISA 공지도, npm/composer/pip 신규 GHSA도 없는 “조용한 날"입니다. 대신 NVD 24시간 게시분 438건 중 82건이 CVSS 9.0 이상 Critical로, 그 대부분이 WordPress 플러그인 생태계(파일 업로드, 인증 우회, PHP Object Injection)에 집중되어 있습니다. 그중 SiteVault(백업/복원/마이그레이션)의 미인증 RCE(CVSS 10.0) 와 Astron Agent의 코드 노드 실행 경로 취약점(CVSS 9.9) 은 서버 운영자 관점에서 우선 확인할 가치가 있습니다.

🚨 실제 악용 확인 (CISA KEV)

오늘 KEV 신규 등재 없음.

🇰🇷 국내 보안공지 (KrCERT/KISA)

오늘 신규 공지 없음.

📦 패키지 생태계 (GHSA)

오늘 npm/composer/pip 신규 High/Critical 없음. 다만 아래 스택 섹션의 PHP 진영 취약점이 대부분 WordPress 플러그인 배포 채널(공식 저장소/테마 마켓)을 통해 유통되므로, 언어 패키지 매니저가 아닌 플러그인 관리 계층에서 확인이 필요합니다.

🧩 주요 스택 관련

수집된 스택 매칭 10건이 모두 php(WordPress 계열)입니다. 플러그인 단위 취약점이라 “PHP 자체 업데이트"로는 해결되지 않으며, 플러그인 목록을 기준으로 대응해야 합니다.

• WordPress — GeoDirectory(디렉터리/분류 플러그인): design_type 파라미터를 통한 Local File Inclusion. 2.8.187 이하 영향, 미인증 공격 가능, CVSS 8.1(EPSS 0.6, 백분위 49). 파일 포함 경로가 노출되면 설정 파일 탈취로 이어질 수 있어 노출된 사이트는 우선 확인 대상입니다. NVD
• WordPress — LifterLMS(LMS): 신뢰할 수 없는 입력 역직렬화로 PHP Object Injection. 10.2.1 이하, 커스텀 레벨 이상 인증 사용자 필요, CVSS 8.8. NVD
• WordPress — Fastcache by Host.it: fastcache_settings[cache_cookie_exclude][] 설정이 sanitize 콜백 없이 register_setting()에 등록되어 코드 인젝션. 1.7.4 이하, CVSS 7.2. NVD
• WordPress — Bookly(예약/스케줄링): value 파라미터 역직렬화 기반 PHP Object Injection. 28.2 이하, CVSS 7.2. NVD
• WordPress — Rank Math SEO: 설정 가져오기(import) 기능에서 업로드 파일 타입 검증 미흡 → 관리자 권한 사용자가 PHP 파일 업로드 후 RCE. 1.0.280 미만, CVSS 7.2. 관리자 계정 탈취 시 2차 피해로 연결되는 구조라 관리자 계정 관리와 함께 점검하세요. NVD
• WordPress — PostX(Post Grid Gutenberg Blocks): display_name 사용자 필드를 통한 Stored XSS. 5.1.0 이하, 미인증 주입 가능, CVSS 7.2. NVD
• WordPress — WooCommerce Multilingual & Multicurrency: shop manager 권한에서의 PHP Object Injection. 5.5.8 이하, CVSS 7.2. NVD
• WordPress — Angio: Subscriber 권한 PHP Object Injection. 1.1.1 이하, CVSS 8.8. 최소 권한 계정만으로 트리거 가능한 유형이라 주의가 필요합니다. NVD
• Spotweb: runcommand NZB 핸들러의 OS 명령 주입. 1.5.8까지 영향, 공격자가 악성 제목의 self-signed spot을 Usenet에 게시하는 방식, CVSS 7.7. Usenet 인덱서를 운영 중이라면 외부 노출 여부와 실행 권한을 먼저 확인하세요. NVD
• OSSN(Open Source Social Network): components/OssnMessages/ossn_com.php의 IDOR로 인증 사용자가 타인의 비공개 메시지 첨부파일 열람 가능. 10.1까지 영향, CVSS 7.1. NVD

추가로 Critical 중 스택 매칭된 항목:

• CF7 Extensions For CF7(Contact Form 7 확장) — extcf7_submit 함수에서 파일 확장자/MIME/크기 검증 누락으로 임의 파일 업로드. 3.4.5 이하, CVSS 9.8, EPSS 0.7(백분위 50). 폼 플러그인은 대부분 인터넷에 노출되어 있어 실질 위험이 큽니다. NVD
• 3D Product configurator for WooCommerce — wp_loaded 핸들러에 인증/nonce 검증이 없고 xpv_image 파라미터 정제가 없어 RCE. 2.16.2 이하, CVSS 9.8, EPSS 0.7(백분위 53). NVD

🔴 신규 Critical 하이라이트

EPSS 수치는 수집 데이터 원값과 백분위(괄호)를 그대로 표기했습니다. 값이 낮은 항목도 게시 직후라 아직 평가가 반영되지 않았을 수 있으므로, 미평가·저수치를 “안전"으로 해석하지 않는 편이 좋습니다. 특히 인증 우회·임의 파일 업로드 계열은 공개 후 자동화 스캔이 빠르게 붙는 유형입니다.

🌐 위협 동향

• TLP는 내부 정보 분류 체계를 대체하지 않는다 (SANS ISC, 10/10) — Traffic Light Protocol이 정보 공유 범위를 표시하는 표준으로 유용하지만, 조직 내부의 정보 등급(기밀/대외비 등)이나 접근 통제 정책을 대신할 수는 없다는 내용입니다. 사고 대응 시 “TLP:AMBER니까 괜찮다"는 식의 판단은 위험하며, 내부 분류와 공유 등급을 별도 계층으로 운영해야 한다는 실무적 시사점이 있습니다. 원문
• ISC Stormcast (10/9) — 해당 항목은 팟캐스트 에피소드 안내로, 별도의 분석 본문 없이 라이선스 문구만 포함되어 있습니다. 오늘 관측 트래픽 관련 상세 내용은 원문 링크에서 확인이 필요합니다. 원문

오늘의 체크포인트

1. WordPress 플러그인 인벤토리 점검 — 위에 나열된 플러그인(CF7 확장, GeoDirectory, LifterLMS, Bookly, Rank Math, PostX, WooCommerce 3D configurator, WooCommerce Multilingual, Angio, Advanced IP Blocker, WPCOM Member 등)이 실제 설치되어 있는지 확인하고, 벤더 공지 기준 패치 버전을 적용하세요. 파일 업로드/인증 우회 계열은 설치만으로도 위험이 큽니다.
2. SiteVault 사용 여부 확인 — 미인증 RCE(CVSS 10.0)로, 백업/마이그레이션 플러그인은 파일 시스템 접근 권한이 커 피해 범위가 넓습니다. 미사용이면 제거, 사용 중이면 최신 버전 적용과 함께 웹 루트 내 백업 파일 노출 여부를 점검하세요.
3. JetBrains Exposed 라이브러리 버전 확인 — 1.5.1 미만을 사용하는 Kotlin/JVM 서비스가 있다면 SQL Injection 영향 범위를 확인하고 업데이트하세요. 애플리케이션 코드에서 사용자 입력이 SQL 함수 인자로 직접 전달되는 지점도 함께 점검하는 것이 좋습니다.
4. AI 에이전트 런타임 노출 점검 — Astron Agent처럼 코드 실행 노드를 포함한 에이전트 플랫폼은 기본 설정이 로컬 실행기를 선택하는 경우가 있습니다. 외부 노출 여부와 실행 격리(컨테이너/샌드박스) 구성을 확인하세요.

마무리

• 오늘의 한 줄 정리: KEV·국내 공지·패키지 생태계 신규는 없지만, Critical 82건이 WordPress 플러그인 파일 업로드/인증 우회/역직렬화에 몰려 있어 “플러그인 목록 관리"가 오늘의 실질적 대응입니다.
• 매일 아침 보안 동향을 릿치 블로그에서 만나보세요.