오늘은 CISA KEV 신규 등재가 없고 국내 KrCERT/KISA 공지와 GHSA 패키지 권고도 없는, 대신 NVD에 하루 동안 300건 이상이 쏟아진 날입니다. 신규 Critical 16건 중 절대다수가 WordPress 플러그인 계열의 인증 우회·옵션 조작·임의 파일 업로드이며, 눈에 띄는 것은 Wukong_HRM 인증 우회(CVE-2026-108707, EPSS 상위권)와 안톤 확장 RCE(CVE-2026-104028), 그리고 자체 호스팅 제품의 하드코딩 자격증명(JWT 시크릿) 문제입니다. 수집 실패한 소스는 없었으나 KEV·KrCERT·GHSA·CISA는 신규 항목이 없어 해당 섹션은 “없음"으로 표기합니다.
🚨 실제 악용 확인 (CISA KEV)
오늘 KEV 신규 등재 없음.
🇰🇷 국내 보안공지 (KrCERT/KISA)
오늘 신규 공지 없음.
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음.
🧩 주요 스택 관련
- ImageMagick (Windows) — CVE-2026-108693 (CVSS 7.3): Windows용 ImageMagick 7.1.2-33 및 6.9.13-58 이하에서
NTGhostscriptEXE()가 Ghostscript 미등록 상태일 때gswin64c.exe를 경로 없이 이름만으로 실행하는 uncontrolled search path 문제입니다. 공격자가 작업 디렉터리에 악성gswin64c.exe를 심어두면 ImageMagick 권한으로 코드가 실행될 수 있습니다. 이미지 변환 파이프라인을 Windows에서 운영한다면 Ghostscript를 정식 등록하거나 실행 경로를 명시적으로 고정하고, 업로드 디렉터리와 변환 작업 디렉터리를 신뢰 경계 밖으로 분리하세요. NVD - databasement (PHP) — CVE-2026-108963 (CVSS 8.8): 1.8.2 미만에서 인증된 사용자가 지정한 DB 이름이
mariadb-dump같은 명령에 그대로 전달되어,--result-file=/app/public/index.php형태로 웹 루트에 파일을 써서 RCE로 이어집니다. 인용 처리가 OS 명령 주입은 막지만 파일 쓰기 경로는 막지 못하는 유형입니다. 1.8.2 이상으로 즉시 업데이트하고, 웹 서버 사용자 계정이 애플리케이션 소스 디렉터리에 쓸 수 없도록 권한을 재점검하세요. NVD - pH7Builder (PHP) — CVE-2026-108905 (CVSS 8.7): 18.6.0 미만의
Tool.class.php에 하드코딩된 API 키(dev772277)가 존재해,Host: localhost헤더 스푸핑과 기본 허용 URL 조합으로 API 접근 검사를 우회할 수 있습니다. 18.6.0 이상으로 업데이트하고, 리버스 프록시 단에서 Host 헤더를 화이트리스트로 검증하세요. NVD - WordPress 플러그인 — CVE-2026-104028 (CVSS 9.8, PHP): Anton Extensions 플러그인 1.2.2 이하가 capability 검사·nonce 검증·파일 타입 검증 없이 공격자가 지정한 경로에 임의 콘텐츠를 써서, 비인증 공격자의 PHP 파일 업로드 및 RCE가 가능합니다. 사용 중이라면 즉시 비활성화·삭제가 우선입니다. NVD
- Agnaistic agnai — CVE-2026-108753 (CVSS 9.3, Docker): 1.0.555 이하의
self-host.docker-compose.yml에 고정 admin 비밀번호와 공개된 JWT 시크릿이 들어 있어, 비인증 공격자가 admin으로 로그인하거나admin: true토큰을 직접 서명해 사용자 사칭·비밀번호 재설정이 가능합니다. 자체 호스팅 배포판을 쓰는 경우 compose 파일의 자격증명을 반드시 교체하고 기존 토큰을 무효화하세요. NVD
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-108576 | 10.0 | — | TOZED X300 6.01.3 이하 IPPingDiagnostics의 process_ping에서 Host 인자 조작으로 원격 OS 명령 주입 |
| CVE-2026-104028 | 9.8 | 0.2 (11p) | Anton Extensions WP 플러그인 1.2.2 이하, 비인증 임의 PHP 업로드 → RCE |
| CVE-2026-84737 | 9.8 | 0.1 (3p) | Freeton WP 1.0.0 이하, 인증 코드 검증 미흡으로 이메일만 알면 관리자 포함 임의 계정 로그인 |
| CVE-2026-85118 | 9.8 | 0.1 (3p) | AI Content Generator Marketing 1.0.0 이하, AJAX nonce/capability 미검사로 임의 옵션 변경 → 관리자 권한 획득 |
| CVE-2026-108707 | 9.3 | 0.6 (45p) | Wukong_HRM, ParamAspect에서 AUTH-TOKEN 헤더 생략만으로 모든 HRM API 호출 가능 — 급여·인사 데이터 노출 |
| CVE-2026-108753 | 9.3 | — | Agnaistic agnai 1.0.555 이하, compose 파일 하드코딩 admin 비밀번호·JWT 시크릿 |
| CVE-2026-108860 | 9.3 | — | BotSharp 5.2.0 이하, appsettings.json의 하드코딩 Jwt:Key로 bearer 토큰 위조 |
| CVE-2026-81649 | 9.1 | 0.1 (3p) | Fundiin for WooCommerce 3.4.0 이하, 모든 설치본에 동일한 자격증명 의존 → 결제 크레덴셜·주문 정보 노출 |
WordPress 생태계 항목이 다수를 차지하는데, click5 CRM add-on(Ninja Forms/WPForms/Gravity Forms/Contact Form 7용, 1.0.x 이하) 4건은 동일한 REST 옵션 업데이트 권한 검사 누락 계열로 묶여 있습니다. EPSS 수치는 아직 낮지만 공격 난이도가 “비인증 + 단일 요청” 수준이므로 노출된 사이트에서는 사실상 즉시 위험으로 보는 편이 안전합니다.
🌐 위협 동향
- TLP는 내부 정보 분류 체계를 대체하지 않는다 (SANS ISC, 10/10): TLP(Traffic Light Protocol) 2세대는 정보 공유 범위를 명확히 표현하는 훌륭한 표준이지만, 조직 내부의 정보 등급 분류를 대신하는 용도는 아니라는 논지입니다. 외부 공유 등급과 내부 기밀 등급을 하나의 축으로 합치면 과소·과대 공유가 모두 발생할 수 있으니, 사고 대응 문서에서 두 체계를 병기하는 방식을 권장합니다. 원문
오늘의 체크포인트
- WordPress 운영자: Anton Extensions, click5 CRM add-on 계열(1.0.1~1.0.4 이하), Mindstien Quick Login, Freeton WP, AI Content Generator Marketing, Fundiin for WooCommerce(3.4.0 이하), Insurify, Quick quotes 플러그인이 설치되어 있는지 확인하고 취약 버전이면 비활성화·제거하세요. 사용하지 않는 플러그인은 삭제가 가장 확실한 완화입니다.
- Windows 이미지 처리 파이프라인: ImageMagick 7.1.2-33 / 6.9.13-58 이하 사용 여부를 확인하고, Ghostscript 등록 상태와
gswin64c.exe실행 경로(작업 디렉터리 하이재킹 가능성)를 점검하세요. - 자체 호스팅 서비스 운영자: Agnaistic(1.0.555 이하)·BotSharp(5.2.0 이하) 등 하드코딩 자격증명 이슈가 있는 배포판을 쓰고 있다면 기본 admin 비밀번호와 JWT 시크릿을 교체하고 발급된 토큰을 무효화하세요.
- DB 관리 도구: databasement 1.8.2 미만이면 업데이트하고, 애플리케이션 계정의 웹 루트 쓰기 권한을 회수하세요.
마무리
- 오늘의 한 줄 정리: KEV·국내 공지·패키지 권고는 조용했지만, 비인증 한 방에 뚫리는 WordPress 플러그인과 하드코딩된 JWT 시크릿 계열 Critical이 대거 게시된 날입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.