오늘은 CISA KEV 신규 등재가 없었지만, NVD 24시간 내 게시분 중 CVSS 9.0 이상 Critical이 39건 쏟아졌습니다. 특히 AnyDesk(무인증 RCE, Linux root 실행), HAProxy Data Plane API(인증 우회), Progress MarkLogic(XQuery 계열 권한 상승 다수)처럼 운영 인프라에 직접 닿는 항목이 눈에 띕니다. 국내에서는 Citrix NetScaler ADC/Gateway 보안 업데이트 권고가 올라왔고, GHSA·CISA 신규 데이터는 없었습니다. 수집 소스 오류는 없었습니다.
🚨 실제 악용 확인 (CISA KEV)
오늘 KEV 신규 등재 없음.
🇰🇷 국내 보안공지 (KrCERT/KISA)
- Citrix 제품 보안 업데이트 권고 — Citrix가 NetScaler ADC, NetScaler Gateway에서 발생하는 메모리 버퍼 경계 내 연산 제한 미흡(Improper Restriction of Operations within the Bounds of a Memory Buffer) 취약점(CVE-2026-107406)을 해결한 보안 업데이트를 발표했습니다. 영향을 받는 버전 사용자는 최신 버전으로 업데이트해야 합니다. NetScaler는 공공기관·금융권의 외부 접점(SSL VPN/ADC)으로 널리 쓰이므로, 대외 서비스 경계에 배치된 장비라면 우선순위를 높여 점검할 필요가 있습니다. 공지 보기
오늘 KNVD 국내 취약점 정보(krVuln) 신규 항목은 없습니다.
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음.
🧩 주요 스택 관련
Nginx UI (nginx) — 2.4.1 미만 다수 결함 CVE-2026-84313, CVE-2026-84314, CVE-2026-84315, CVE-2026-84316, CVE-2026-84317, CVE-2026-84318, CVE-2026-84319, CVE-2026-84360이 한꺼번에 공개되었습니다. 요지는 OTP/step-up 인증(RequireSecureSession)이 여러 mutation 라우트에 적용되지 않아 탈취된 JWT만으로 패스키·OTP 등록이나 타 사용자 비밀번호 변경이 가능하고, 설정 검증 로직(ValidateConfigFile)이 세미콜론으로 이어진 다중 지시문·MCP 인터페이스 경유 경로를 제대로 걸러내지 못해 위험한 nginx 지시문(load_module, js_, perl_ 등)이 적용될 수 있다는 것입니다. Nginx UI를 쓰는 운영자는 즉시 2.4.1 이상으로 업그레이드하고, 관리 UI를 외부에 노출하지 않도록 접근 제어를 재점검하세요.
컨테이너 런타임 (containerd / runc / docker)
CVE-2026-95837: containerd 2.1.02.2.7, 2.3.4 미만의 CRI CreateContainer 체크포인트 복원 경로에서 CRIU가 목적지 ContainerConfig 대신 체크포인트 데이터의 프로세스 보안 상태를 복원해, 컨테이너 생성 권한을 가진 공격자가 권한을 유지·상승시킬 수 있습니다. CVE-2026-109358: Contrast 1.8.01.24.1 미만의 node installer가 containerd 설정을 world-writable(0666)로 기록해, 노드의 비권한 로컬 사용자가 runc 경로를 바꿔 권한 상승이 가능합니다. CVE-2026-108980: Blinko 1.8.8 이하의 플러그인 설치 경로에서 ../ 미검증으로 디렉터리 트래버설이 발생, root로 시작 파일을 덮어쓸 수 있습니다. 컨테이너 격리를 신뢰 경계로 삼는 환경이라면 런타임·설치 스크립트 버전을 함께 확인하세요.
PHP 애플리케이션 생태계
- CVE-2026-109305 Craft CMS 5.10.2~5.10.14 미만: Twig 샌드박스 우회로
has some/has every연산자에서 PHP callable(passthru, system 등) 호출이 가능합니다. - CVE-2026-109347 Adminer 6.1.1 미만: BOM(UTF-8 byte-order mark)으로 ATTACH/VACUUM INTO 제한을 우회해 RCE 가능.
- CVE-2026-109318 Grav Git Sync 1.0.2~3.4.12: 프로필 필드에 셸 치환 삽입으로 OS 명령 실행(gravuser/gravfull 모드).
- CVE-2026-109326 Grav 2.1.7 미만: nginx/lighttpd/IIS/Caddy 설정이 문서 루트의
.git만 차단해, 중첩 경로(user/.git)로 Git 저장소가 유출될 수 있습니다. - CVE-2026-109397 Thelia 3.1.2 미만·3.2.x 3.2.1 미만: 파일명 끝 공백으로 PHP 업로드 검증 우회.
- CVE-2026-65954 PHPCSUtils 1.0.0-alpha1~1.2.3 미만:
getActualArrayKey()가 eval()로 공격자 제어 배열 키를 평가. - CVE-2026-109398 Gumlet php-image-resize 3.0.1 미만: 픽셀 한도 없이 GD로 디코딩해 DoS 가능.
- CVE-2026-109329 Admidio 4.3.2
4.3.17, 5.0.05.0.15 미만:members_assignment.php에 외부 role UUID를 넣어 타 조직 역할에 사용자를 배정하는 접근 제어 결함.
Node.js CVE-2026-109563: N3.js 2.11.1 미만의 N3Lexer 숫자 패턴이 긴 자릿수 열에서 이차 백트래킹을 일으켜 이벤트 루프를 정지시키는 ReDoS입니다. 신뢰할 수 없는 Turtle/N3 입력을 파싱하는 서비스는 버전 확인이 필요합니다.
기타 (red hat / windows / ios)
CVE-2026-52903: ManageIQ의 YamlLoadAliases가 YAML.safe_load 실패 시 unsafe_load로 폴백해 다이얼로그 임포트 권한만으로 역직렬화 공격이 가능합니다. CVE-2026-105464, CVE-2026-18166: IBM Db2 11.5.011.5.9, 12.1.012.1.5에서 권한 관리 부실로 로컬 권한 상승·정보 노출. CVE-2026-87690: Metasploit Framework post/apple_ios/gather/ios_image_gather 모듈이 신뢰할 수 없는 iOS 기기의 디렉터리 목록 파일명을 경로에 보간하는 상대 경로 트래버설입니다. CVE-2026-109424: NetEase Cloud Music Windows 클라이언트 3.1.38/3.1.39.205426이 고정 AES-128-ECB 키로 응답을 복호화합니다.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-109390 | 9.8 | — | AnyDesk 8.0.3 미만, 세션 프로토콜 mode 5 스트림 패킷 핸들러의 힙 버퍼 오버플로로 무인증 원격 코드 실행. Linux에서 사용자 승인 없이 root 명령 실행 시연 |
| CVE-2026-109575 | 9.8 | — | HAProxy Data Plane API 2.2.0~3.4.3, Server.ConfigureAPI()의 프로세스 전역 인증 로직이 transport 유형별 보안 통제를 잘못 제거 |
| CVE-2026-85947 | 9.9 | — | Progress MarkLogic 12.1.0 미만·11.3.7 미만, forest 관리 작업의 권한 결함으로 영구 관리자 계정 생성 가능 |
| CVE-2026-93582 | 9.4 | 0.4 | OTRS Community Edition 6 이하 HTTP Basic Auth가 REMOTE_USER/HTTP_REMOTE_USER 환경변수를 신뢰, 헤더 매핑으로 인증 우회 |
| CVE-2026-92681 | 9.3 | — | @neo4j/graphql 7.6.3 이하, @cypher가 붙은 최상위 필드에 스키마·Query/Mutation 레벨 @authentication이 무시됨 |
| CVE-2026-109372 | 9.3 | — | ZITADEL 4.19.2 미만·3.4.15 이하, SAML IdP intent 콜백에서 요청 URL의 provider와 로그인 intent 사용자 일치를 검증하지 않아 인증 우회 |
| CVE-2026-108804 | 9.3 | 2.4 | TRENDnet TEW-751DR/TEW-752DRU/TEW-733GR 펌웨어, pigwidgeon.cgi의 service 인자 조작으로 OS 명령 주입 |
| CVE-2026-66086 | 9.8 | 0.5 | 모뎀 OTA 스택에서 SIB1 메시지 스케줄링 정보 검증 미흡으로 스택 기반 버퍼 오버플로, 원격 코드 실행 또는 DoS |
그 외 Progress MarkLogic 관련 CVE-2026-85948/85956/9191, IBM Db2 Mirror for i(CVE-2026-96012), obsidian-tc MCP 서버(CVE-2026-77366), Grav Login OAuth(CVE-2026-109321), Rapyd Admin 하드코딩 자격증명(CVE-2026-109566), sandboxed.sh 컨테이너 탈출(CVE-2026-109569) 등이 새로 올라왔습니다. 다수 항목이 EPSS 미평가이므로 실제 악용 확률은 아직 불확실합니다.
🌐 위협 동향
오늘 CISA 권고/캠페인 분석 신규 데이터는 없습니다.
- SANS ISC Stormcast (2026-10-12) — ISC 일일 다이어리 인덱스 항목으로, 팟캐스트 형태의 일일 요약입니다. 수집된 데이터에는 구체적인 스캔·공격 트래픽 관측 내용이 포함되지 않아 별도 분석은 생략합니다. 원문
대신 오늘 신규 Critical 목록 자체가 하나의 위협 신호입니다. 라우터·NAS·원격제어(AnyDesk)·관리 API(HAProxy Data Plane API, Nginx UI)처럼 “경계에 노출된 관리 평면"을 겨냥한 결함이 집중적으로 공개되었습니다. 공격 표면이 넓은 장비일수록 노출 여부(공인 IP, VPN 접근)를 먼저 확인하는 것이 효과적입니다.
오늘의 체크포인트
- AnyDesk 8.0.3 이상으로 업데이트 — 무인증 RCE이면서 Linux root 실행이 가능한 항목입니다. 원격 지원 용도로 상시 구동 중인 단말이 있다면 최우선으로 버전을 확인하고, 불필요하면 서비스를 중지하세요.
- Nginx UI 2.4.1 이상 적용 + 관리 UI 노출 재점검 — OTP가 켜져 있어도 우회 가능한 결함이 다수 포함되어 있습니다. 관리 인터페이스를 신뢰망/VPN 내부로 제한하는 것을 함께 검토하세요.
- NetScaler ADC/Gateway(CVE-2026-107406) 패치 검토 — 대외 경계 장비라면 KrCERT 권고의 영향 버전을 확인하고 최신 버전으로 갱신하세요.
- 컨테이너 호스트 점검 — containerd(CVE-2026-95837), Contrast 설치 스크립트(CVE-2026-109358) 항목을 감안해 런타임 버전과 containerd 설정 파일 권한(world-writable 여부)을 확인하세요.
마무리
- 오늘의 한 줄 정리: KEV는 조용했지만, 원격제어·관리 API·라우터를 겨냥한 Critical이 대거 공개된 “관리 평면의 날"이었습니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.