도입부

오늘은 10월 Microsoft Patch Tuesday가 겹치면서 하루 사이 무려 1,417건의 Microsoft 취약점 패치와 108건의 신규 Critical CVE가 쏟아졌습니다. 가장 중요한 두 소식은 Ivanti Connect Secure의 실제 악용 중인 인증 우회 제로데이(CVE-2026-104935) 와 Microsoft Windows Shell 명령 주입(CVE-2026-96951) 이 CISA KEV에 신규 등재된 것입니다. 국내에서는 SonicWall SMA1000과 Citrix NetScaler ADC/Gateway 관련 KISA 권고가 나왔습니다. 수집 실패한 소스는 없으며, GHSA(npm/composer/pip)와 KNVD 국내 취약점 정보는 오늘 신규 항목이 없습니다.

🚨 실제 악용 확인 (CISA KEV)

CVE-2026-104935 — Ivanti Connect Secure 인증 우회 (Spoofing)

Ivanti Connect Secure에서 스푸핑 기반 인증 우회가 발생해, 원격의 비인증 공격자가 임의 명령을 실행할 수 있습니다. CISA는 이 취약점이 제로데이 상태에서 실제 공격자에 의해 악용되고 있다고 별도 권고를 통해 확인했으며, 영향 버전은 25.1.1.1 이하, 25.1.2.2 이하, 22.8R2.4 이하입니다. VPN/SSL-VPN 게이트웨이는 경계 장비라 노출 즉시 침해로 이어질 수 있으므로, 사용 중인 조직은 벤더 패치 적용 여부를 최우선으로 확인해야 합니다. 랜섬웨어 사용 여부는 Unknown으로 표기되어 있습니다. EPSS는 수집 데이터에 제공되지 않았습니다.

NVD · CISA 권고

CVE-2026-96951 — Microsoft Windows 명령 주입

Windows Shell에 명령 주입 취약점이 존재하며, 비인가 공격자가 네트워크를 통해 보안 기능을 우회할 수 있습니다. 이번 건은 KISA가 CISA KEV 목록 업데이트를 통해 국내에도 함께 공지한 항목이라, Windows 자산을 운영하는 조직은 10월 정기 패치와 함께 반드시 반영해야 합니다. 랜섬웨어 사용 여부는 Unknown, EPSS는 데이터 미제공입니다.

NVD · CISA KEV 등재 공지

🇰🇷 국내 보안공지 (KrCERT/KISA)

  • SonicWall 제품 보안 업데이트 권고 — SonicWall SMA1000에서 SSRF(CVE-2026-102255)와 OS Command Injection(CVE-2026-102256) 취약점이 확인되어 최신 버전 업데이트가 권고되었습니다. SMA1000은 원격 접속 게이트웨이로 국내 공공·기업에서도 널리 쓰이는 장비라 경계 구간 노출 여부를 점검해야 합니다. 공지 보기
  • 美 CISA 주요 Exploit 정보공유 (Update. 2026-10-13) — CISA가 현재 자주 악용되는 취약점 목록을 갱신했으며, Microsoft Windows Shell 명령 주입(CVE-2026-96951) 등이 포함되었습니다. 국내 사용자도 KEV 등재 항목을 우선순위 패치 대상으로 삼는 것이 좋습니다. 공지 보기
  • Citrix 제품 보안 업데이트 권고 — NetScaler ADC, NetScaler Gateway에서 메모리 버퍼 경계 내 연산 제한 미흡 취약점(CVE-2026-107406)이 해결되었습니다. NetScaler 역시 대표적인 대외 노출 장비로, 원격 접근 경로를 운영하는 조직은 버전 확인이 필요합니다. 공지 보기

📦 패키지 생태계 (GHSA)

오늘 npm/composer/pip 신규 High/Critical 없음.

🧩 주요 스택 관련

  • Nginx UI (nginx) — CVE-2026-84317 / CVE-2026-84316 / CVE-2026-84313 / CVE-2026-84318 (CVSS 8.8, High): 2.4.1 이전 버전에서 설정 검증 우회 계열 문제가 연속 보고되었습니다. ValidateConfigFile이 일부 설정 저장 경로에서만 호출되어 js_*, perl_*, load_module, user root 같은 위험 지시어가 우회 삽입될 수 있고, MCP 도구 nginx_config_add는 검증 없이 파일을 쓰고 reload를 트리거합니다. 또한 POST /api/otp_enroll, POST /api/finish_passkey_register가 현재 비밀번호 검증 없이 세션만으로 동작해 탈취된 JWT로 인증 수단을 바인딩할 수 있습니다. Nginx UI를 관리 콘솔로 쓰는 환경은 2.4.1 이상으로 업그레이드하고, 관리 엔드포인트가 인터넷에 노출되어 있지 않은지 확인하세요.
  • Leantime (php) — CVE-2026-85990 (CVSS 8.8, High): 3.10.0 이전 버전의 JSON-RPC dispatcher가 public API 서비스 메서드를 노출하고 권한 검사가 우회될 수 있는 문제입니다. PHP 기반 프로젝트 관리 도구를 사내에서 운영한다면 3.10.0 이상 적용을 검토하세요.
  • Firefox for iOS (ios) — CVE-2026-103418 (CVSS 8.8, High): 페이지의 HTML lang 속성이 번역 스크립트에 직접 보간되어, 공격자 제어 마크업이 privileged content world에서 실행되고 CSP가 우회될 수 있습니다. Firefox for iOS 157.1에서 수정되었습니다.
  • Windows 계열 (windows) — CVE-2026-100202(Message Queuing), CVE-2026-102210(Text Shaping), CVE-2026-105010(Search Component) 등 CVSS 9.8 Critical 다수 포함: 10월 Patch Tuesday를 통해 공개된 네트워크 경유 RCE/권한 상승 계열입니다. Windows 서버·워크스테이션은 월간 누적 업데이트를 예정대로 적용하는 것이 가장 확실한 완화입니다.

🔴 신규 Critical 하이라이트

CVECVSSEPSS요약
CVE-2026-9722910.00.6% (45pct)GitLab CE/EE 19.2.8 / 19.3.5 / 19.4.2 이전, 특정 조건에서 비인증 사용자가 조작된 정규식으로 서버에서 임의 코드 실행
CVE-2026-961199.90.5% (42pct)IBM i 7.3~7.6 HTTP Server Administration 웹앱의 데이터 정제 미흡으로 민감정보 노출 또는 원격 코드 실행
CVE-2026-909209.80.5% (44pct)IBM Maximo AI Service 9.1.0 / 9.2.0 코드 생성 제어 미흡으로 원격 코드 실행
CVE-2026-8911110.00.3% (18pct)SAP Cloud SDK for Python의 OAuth2 SSRF — tenant_subdomain 조작 시 토큰 요청이 공격자 서버로 리다이렉트되어 client credentials 유출
CVE-2026-891079.90.4% (30pct)SAP S/4HANA Substitution/Validation Rule의 도메인 스크립트 입력 검증 미흡, 권한 보유 인증 공격자가 임의 코드 실행 가능
CVE-2026-876899.80.4% (29pct)Metasploit Framework Web Service REST API(msf-ws)에서 update_credential(PUT)/delete_credentials(DELETE) 라우트에 인증 검사 누락, 자격증명 저장소 노출
CVE-2026-9460310.0—Podman 4.4.0 ~ 5.8.8 / 6.1.3 이전, 이미지 어노테이션을 체크포인트로 오인해 --cap-drop=ALL 등 컨테이너 생성 제약을 무시
CVE-2026-774599.9—Argo CD 2.10.0 ~ 3.3.15 / 3.4.10 / 3.5.4 / 3.6.0-rc2 이전, PostDelete 훅 생성 시 AppProject 목적지·리소스 권한 검사가 생략되어 GitOps 권한 경계 우회

이 외에도 FortiSIEM 7.5.0 경로 traversal(CVE-2026-106173, 9.8), NVIDIA AIStore for Linux ETL PodSpec 초기화 문제(CVE-2026-65162, 10.0), Adobe Commerce 템플릿 엔진 RCE(CVE-2026-103849, 10.0), Dockhand 1.0.45 이전 인증 우회(CVE-2026-110130, 10.0) 등이 함께 게시되었습니다. 다만 대부분 EPSS가 낮거나 미산정 상태로, 실제 악용 가능성은 아직 불확실합니다.

🌐 위협 동향

  • Ivanti Connect Secure 제로데이 실제 악용 (CISA) — CISA는 사이버 위협 행위자가 Ivanti Connect Secure의 인증 우회 제로데이를 이미 악용하고 있다고 명시했습니다. 경계 VPN 장비의 취약점이 공격 캠페인에 즉시 편입되는 전형적 패턴으로, 패치 지연이 곧 침해로 이어질 수 있음을 보여줍니다. 원문
  • CISA Adds Two Known Exploited Vulnerabilities to Catalog — CISA가 실제 악용 증거에 기반해 두 건을 KEV에 추가했습니다. KEV 등재는 “패치가 존재하고 공격이 관측됨"을 의미하므로, 자산 관리 목록에서 최우선 순위로 승격시켜야 합니다. 원문
  • 10월 Microsoft Patch Tuesday (SANS ISC) — 이번 달 Microsoft 패치는 1,417건에 달하며 76건이 Critical, 그중 7건은 고객 조치가 불필요한 수준으로 분류되었습니다. 공개 전 사전 공개된 취약점 1건과 이미 악용 중인 1건이 포함되어 있어, 볼륨이 큰 달일수록 우선순위 선별이 중요합니다. 원문
  • Swann Communications SWIFI-SE2KIC ICS 권고 (CISA) — 펌웨어 2.0.22 이하에서 인증 없이 영상 정보를 열람할 수 있는 취약점(CVE-2026-107605, CVE-2026-107606, CVE-2026-107607)이 공개되었습니다. IP 카메라·NVR 류는 관리망 분리와 외부 노출 차단이 기본 완화책입니다. 원문

오늘의 체크포인트

  1. Ivanti Connect Secure 사용 여부 확인 후 25.1.1.1 / 25.1.2.2 / 22.8R2.4 초과 버전으로 즉시 업데이트 — 실제 악용 중인 제로데이입니다.
  2. Windows 전 자산 10월 누적 업데이트 적용 — CVE-2026-96951(KEV 등재) 포함 1,417건 규모이며, Message Queuing·QUIC·NPS 등 네트워크 경유 RCE가 다수 포함되어 있습니다.
  3. Nginx UI를 2.4.1 이상으로 업그레이드 — 관리 콘솔의 설정 검증 우회 및 인증 수단 바인딩 문제 4건이 한꺼번에 해결됩니다.
  4. GitLab 자체 호스팅 인스턴스 점검 — 19.2.8 / 19.3.5 / 19.4.2 이상으로 패치하고, 인터넷에 노출된 GitLab 인스턴스가 없는지 재확인하세요.

마무리

  • 오늘의 한 줄 정리: Patch Tuesday 물량 폭증 속에서도 실제 악용 중인 Ivanti Connect Secure 제로데이가 단연 최우선 대응 대상입니다.

매일 아침 보안 동향을 릿치 블로그에서 만나보세요.