2026-10-16 Security Daily

도입부

오늘은 CISA KEV에 무려 5건이 새로 등재되며 위협 지형이 크게 움직였습니다. Atlassian Data Center 제품군의 파일/디렉터리 노출(CVE-2026-21589), Cisco Secure Email Gateway의 경로 탐색(CVE-2026-76519), Palo Alto PAN-OS 코드 인젝션(CVE-2026-0322), 그리고 Ahsay AhsayCBS의 인증 우회·명령 인젝션 체인(CVE-2026-105133 / CVE-2026-105134)이 실제 공격에 악용된 것으로 확인됐습니다. 국내에서는 KrCERT가 Cisco·MS·GitLab·Ivanti 정기 보안 업데이트를 연달아 권고했고, NVD에는 CVSS 9점대 Critical이 49건 쏟아졌습니다. GHSA(패키지 생태계) 신규 High/Critical 항목은 오늘 없었습니다.

🚨 실제 악용 확인 (CISA KEV)

CVE-2026-21589 — Atlassian Multiple Products

Bitbucket/Confluence/Jira/Bamboo/Crowd/Crucible Data Center 등 다수 제품에서 외부에서 접근 가능한 파일·디렉터리 노출 문제입니다. 영향 범위가 매우 넓어 자체 호스팅 Data Center 환경을 운영하는 조직은 즉시 확인이 필요합니다. 랜섬웨어 악용 여부는 Unknown, EPSS 2.8%(상위 86 백분위). NVD

CVE-2026-105134 — Ahsay AhsayCBS

Replication Receiver 컴포넌트의 /rps/api/json/UpdateReceivers.do 엔드포인트에서 random 파라미터를 조작해 원격에서 OS 명령을 실행할 수 있습니다. 아래 인증 우회(CVE-2026-105133)와 체이닝이 가능하다는 점이 명시돼 있어 단독보다 조합 공격 위험이 큽니다. 랜섬웨어 Unknown, EPSS 3.2%(상위 88 백분위)로 오늘 KEV 중 가장 높습니다. NVD

CVE-2026-105133 — Ahsay AhsayCBS

API 컴포넌트의 checkSysPwd 함수에서 random 파라미터 조작으로 인증을 우회할 수 있는 부적절한 인증 취약점입니다. CVE-2026-105134와 체이닝되어 인증 없이 명령 실행까지 이어질 수 있으므로 백업 서버를 운영 중이라면 두 취약점을 함께 패치해야 합니다. 랜섬웨어 Unknown, EPSS 0.7%. NVD

CVE-2026-76519 — Cisco Secure Email Gateway

상대 경로 탐색(Relative Path Traversal)으로 인증되지 않은 원격 공격자가 운영체제에 임의 파일을 기록할 수 있습니다. 메일 게이트웨이는 대개 인터넷 경계에 노출되어 있어 실질 위험이 크며, KrCERT도 동일 취약점에 대한 업데이트를 별도 권고했습니다. 랜섬웨어 Unknown, EPSS 1.7%. NVD

CVE-2026-0322 — Palo Alto Networks PAN-OS

네트워크 접근 권한을 가진 인증된 공격자가 방화벽에서 root 권한으로 임의 코드를 실행할 수 있는 코드 인젝션 취약점입니다. 경계 장비 자체가 침해 대상이 되므로 관리 인터페이스 접근 통제와 패치 적용을 함께 점검해야 합니다. 랜섬웨어 Unknown, EPSS 1.1%. NVD

🇰🇷 국내 보안공지 (KrCERT/KISA)

• Cisco 제품 보안 업데이트 권고 — Cisco Secure Email Gateway의 임의 파일 기록 취약점(CVE-2026-76519)을 해결한 업데이트로, 해당 취약점이 실제 공격에 악용되고 있다고 명시하고 있습니다. 메일 보안 장비를 운영하는 공공·금융 환경은 우선순위 패치 대상입니다. 공지 보기
• MS 10월 보안 위협에 따른 정기 보안 업데이트 권고 — 총 14종(긴급 10종, 중요 4종)으로 Windows 11 및 Windows Server 2019/2022/2025 계열의 권한 상승 취약점이 포함됩니다. 사내 Windows 서버 자산이 많은 국내 기업은 월례 패치 주기를 반드시 확인하세요. 공지 보기
• 美 CISA 발표 주요 Exploit 정보공유(Update. 2026-10-15) — CISA KEV에 새로 오른 항목을 국문으로 정리한 공지로, Atlassian Multiple Products(CVE-2026-21589)가 포함돼 있습니다. KEV 등재 = 실제 악용 확인이라는 의미이므로 국내 사용자도 동일하게 대응이 필요합니다. 공지 보기
• GitLab 제품 보안 업데이트 권고 — GitLab CE/EE의 Integer Overflow(CVE-2026-97229), XSS(CVE-2026-92883) 등이 포함된 업데이트입니다. 사내 소스 저장소를 자체 호스팅하는 조직은 자기관리형(self-managed) 인스턴스 버전을 확인해야 합니다. 공지 보기
• Ivanti 제품 보안 업데이트 권고 — Ivanti Connect Secure의 인증 우회(Spoofing, CVE-2026-104935) 취약점에 대한 업데이트입니다. 원격 접속 VPN 장비는 외부 노출도가 높아 과거 사례처럼 대규모 악용으로 이어질 수 있습니다. 공지 보기

📦 패키지 생태계 (GHSA)

오늘 npm/composer/pip 신규 High/Critical 없음.

🧩 주요 스택 관련

Node.js / JavaScript

• Nodemailer — 3.0.0 ~ 10.0.13 미만에서 SMTP _actionEHLO AUTH 메커니즘 정규식 백트래킹으로 인한 ReDoS(CVE-2026-110869, CVSS 8.7), 3.0.0 ~ 10.0.10 미만에서 응답 파서의 이차 복잡도 DoS(CVE-2026-110872, 8.2). 악의적이거나 중간자 위치의 SMTP 서버가 트리거할 수 있으므로 메일 발송 라이브러리 버전을 확인하고 최신으로 올리세요.
• n8n — 2.41.4 미만 및 2.42.x 2.42.1 미만에서 비인증 OAuth authorize 엔드포인트 자원 고갈(CVE-2026-110843, 8.2), MCP 워크플로 검증 도구의 prototype pollution(CVE-2026-110842, 7.7), Git 노드 Log 동작의 코드 실행(CVE-2026-110845, 7.7). 자동화 플랫폼을 내부망에 두고 있어도 인증 계정 하나면 이어질 수 있어 버전 확인이 필요합니다.
• undici — 8.11.0/8.11.1의 실험적 WebSocket 클라이언트가 HTTP/2 핸드셰이크 실패 시 abort가 무효화되어 리소스가 정리되지 않는 문제(CVE-2026-109855, 7.5).
• AdonisJS HTTP Server — 8.2.2 / 9.1.1 미만에서 router.matchers.slug() 정규식의 인접 탐욕 반복으로 ReDoS(CVE-2026-104150, 8.7). 라우터 slug 매처에 사용자 입력이 닿는 구조라면 영향 가능성이 있습니다.

PHP / 웹 프레임워크

• Symfony — HeaderUtils::split()의 lookbehind 패턴 문제(CVE-2026-108082, 8.7), YAML Parser의 maxNestingLevel 미적용(CVE-2026-109413, 8.7), ExpressionLanguage 파서의 깊이 무제한(CVE-2026-109449, 8.7)이 각각 5.4.54 / 6.4.x / 7.4.x / 8.1.x 라인에서 수정됐습니다. Symfony 기반 서비스는 사용 중인 마이너 라인별 패치 버전이 다르므로 composer.lock을 확인하세요.
• pfSense CE — 2.9.0 이하에서 무선 인터페이스명(CVE-2026-111215, 8.6), PPP 편집 필드 crontab 인젝션(CVE-2026-111220, 8.6), Captive Portal HA XMLRPC(CVE-2026-111229, 8.6), config.xml 복원 권한 우회(CVE-2026-111231, 8.6) 등 제한된 권한의 인증 사용자가 root 명령 실행까지 도달할 수 있는 취약점이 다수 보고됐습니다. 방화벽 WebGUI 접근 권한을 최소화하고 업데이트를 검토하세요.
• Tianji — 1.31.29 미만에서 getDateQuery()가 timezone 값을 파라미터 바인딩 없이 원시 SQL로 보간해 SQL Injection(CVE-2026-55239, 8.8).

PostgreSQL 연동

• Eclipse Vert.x vertx-pg-client — 이진 배열 디코더가 서버가 선언한 32비트 차원 수를 상한 없이 배열 할당에 사용(CVE-2026-102463, 8.2), PostgreSQL 메시지 길이 필드 무검증(CVE-2026-103223, 8.2). 악성/중간자 PostgreSQL 서버를 신뢰 경계에 두는 구성이라면 영향받습니다.

Docker

• EnergizeLab station-middleware (NestJS) Docker 이미지 1.6.5~1.8.2 — 임의 파일 읽기(CVE-2026-105037, 9.9), 관리 API 역할 검증 누락으로 AI provider 키 노출(CVE-2026-105039, 9.6). 자체 배포 이미지를 쓰는 경우 태그 버전을 확인해야 합니다.

🔴 신규 Critical 하이라이트

그 외 CVE-2026-105474(SolusVM 2 SSTI, 9.4, root RCE), CVE-2026-110812(Amazon Neptune 역직렬화, 9.4), CVE-2026-109145(User Rights Access Manager 플러그인 관리자 권한 등록, 9.8) 등도 확인이 필요합니다. 참고로 신규 게시분 다수는 EPSS가 아직 낮게 산출되어 있어 “위험도가 낮다"기보다 “평가 데이터가 아직 쌓이지 않았다"로 해석하는 편이 안전합니다.

🌐 위협 동향

• CISA, KEV에 Atlassian 취약점 1건 추가 — CISA가 CVE-2026-21589를 실제 악용 근거에 따라 KEV 카탈로그에 등재했습니다. 파일/디렉터리 노출 유형은 공격자들이 정보 수집 단계에서 즐겨 쓰는 벡터이므로, Data Center 계열 제품의 외부 노출 경로와 권한 설정을 함께 점검하는 것이 좋습니다. 원문
• CISA, KEV에 4건 추가 — PAN-OS(CVE-2026-0322), Cisco Secure Email Gateway(CVE-2026-76519), Ahsay AhsayCBS 2건이 한 번에 등재됐습니다. 백업 솔루션과 경계 장비가 동시에 지목된 만큼, 노출 자산 목록에서 이 두 범주를 우선 정렬해 패치 계획을 세우는 것이 효율적입니다. 원문
• ISC Guest Diary: Panchan’s Mining Island — SANS.edu 인턴 과정의 게스트 다이어리로, Panchan 계열 크립토마이닝 캠페인의 관측 내용을 다룹니다. SSH 접속을 노리는 마이닝 봇 계열은 서버 운영자 입장에서 가장 흔히 마주치는 침해 유형이므로, SSH 노출 서버의 인증 로그와 비정상 프로세스·CPU 사용률을 주기적으로 확인하세요. 원문
• ISC: Orphaned VBA Projects Inside DWG Files — AutoCAD 도면(.dwg) 파일 내부에 남아 있는 VBA 프로젝트를 주제로 한 분석입니다. 문서형 파일에 숨겨진 매크로/스크립트는 이메일 첨부·파일 공유 경로로 유입될 수 있어, CAD 등 설계 파일을 다루는 조직은 첨부 파일 검사 정책과 매크로 실행 차단 설정을 재확인할 필요가 있습니다. 원문

부수적으로 CISA ICS 권고가 다수 게시됐습니다. 자체 호스팅 분석 플랫폼 Malcolm(≤v26.07.1 / ≤v26.08.0, CVSS 8.1)과 의료·산업 장비인 Thermo Fisher Torrent Suite, J4Care dcm4che, Eclipse Milo, EseeCloud IP 카메라 관련 권고가 함께 나왔습니다. 해당 제품군을 운영 중이라면 원문 권고를 직접 확인하세요. — Malcolm, dcm4che, EseeCloud

오늘의 체크포인트

1. KEV 5건 대응 — Atlassian Data Center 계열, Cisco Secure Email Gateway, Palo Alto PAN-OS, Ahsay AhsayCBS(인증 우회 + 명령 인젝션 동시 패치)를 자산 목록과 대조하고 노출 여부부터 확인하세요.
2. 국내 공지 반영 — MS 10월 정기 업데이트(긴급 10종), GitLab CE/EE, Ivanti Connect Secure, Cisco 메일 게이트웨이 업데이트를 사내 패치 캘린더에 반영하세요.
3. Node.js 의존성 점검 — Nodemailer(10.0.13/10.0.10 이상), n8n(2.41.4 / 2.42.1 이상), undici, AdonisJS HTTP Server 버전을 npm ls 수준에서 확인하고 필요 시 올리세요.
4. PHP/인프라 스택 점검 — Symfony 각 마이너 라인별 패치 버전, pfSense CE 2.9.0 이하 여부, Vert.x pg-client 및 OPNsense 26.1.11 미만 여부를 확인하세요.

마무리

• 오늘의 한 줄 정리: KEV에 하루 5건이 등재되며 Data Center·메일 게이트웨이·방화벽·백업 서버가 동시에 지목된 하루 — 경계 장비와 자체 호스팅 협업 도구부터 패치 우선순위를 재정렬해야 합니다.
• 매일 아침 보안 동향을 릿치 블로그에서 만나보세요.