오늘은 원격 접속·네트워크 장비·협업 플랫폼에서 실제 악용이 확인된 취약점 3건이 KEV에 이름을 올렸습니다. 특히 Atlassian Data Center 제품군의 파일/디렉터리 노출 취약점은 EPSS 12.7%(백분위 96)로 이번 배치에서 가장 높은 악용 확률을 보이며, BeyondTrust Remote Support 인증 우회는 CISA가 별도 권고까지 발표했습니다. 국내에서는 KrCERT가 Palo Alto Networks PAN-OS, Cisco Secure Email Gateway, MS 10월 정기 업데이트를 연이어 공지했습니다. 오늘 수집 과정에서 실패한 소스는 없습니다.

🚨 실제 악용 확인 (CISA KEV)

CVE-2026-21589 — Atlassian Multiple Products (파일/디렉터리 외부 접근)

Bitbucket Data Center, Confluence Data Center, Jira Software/Service Management Data Center, Bamboo, Crowd, Crucible/Fisheye 등 Data Center 라인업 전반에 걸친 파일·디렉터리 노출 취약점입니다. EPSS 12.7%(백분위 96)로 이번 KEV 등재분 중 악용 확률이 가장 높아, 외부에 노출된 사내 협업 서버라면 우선순위를 최상위로 두는 것이 좋습니다. 랜섬웨어 캠페인 연계는 아직 Unknown으로 표기되어 있습니다. Data Center 제품군은 리버스 프록시 뒤에 두는 구성이 일반적이지만, 프록시 설정만으로 노출 경로가 완전히 차단된다고 가정하지 말고 벤더 패치를 적용하세요. NVD

CVE-2026-102764 — BeyondTrust Remote Support (스푸핑 기반 인증 우회)

어플라이언스에 대해 원격 공격자가 파일 조작(읽기/쓰기)을 수행할 수 있는 인증 우회 취약점입니다. CISA는 26.2.3 및 이전 버전이 영향을 받는다고 명시했고, 지원 버전(24.3.1 이상)에는 패치가 제공되지만 그보다 오래된 버전은 먼저 업그레이드를 거쳐야 합니다. EPSS 0.6%(백분위 48)로 수치는 낮지만, 원격 지원 솔루션은 통상 인터넷에 노출되는 자산이라 침해 시 파급이 큽니다. 랜섬웨어 사용 여부는 Unknown입니다. NVD

CVE-2025-61624 — Fortinet Multiple Products (경로 순회)

FortiOS, FortiPAM, FortiProxy, FortiSwitchManager에서 admin 프로필과 최소 read-write 권한을 가진 인증된 공격자가 CLI 명령을 통해 임의 파일을 쓰거나 삭제할 수 있는 경로 순회 취약점입니다. 인증이 필요한 취약점이지만, 탈취된 관리자 계정이나 내부자 시나리오에서 설정 파일 변조로 이어질 수 있어 관리 평면(management plane) 보호가 핵심입니다. EPSS 0.6%(백분위 47), 랜섬웨어 연계는 Unknown이며, KrCERT도 같은 취약점을 CISA Exploit 정보공유로 안내했습니다. NVD

🇰🇷 국내 보안공지 (KrCERT/KISA)

  • Palo Alto Networks 제품 보안 업데이트 권고 — PAN-OS에서 발생하는 Code Injection 취약점(CVE-2026-0322)에 대한 업데이트 안내입니다. 방화벽/차세대 보안 장비가 국내 망 경계에 폭넓게 배치된 만큼 영향 버전 사용 여부를 먼저 확인해야 합니다. 공지 보기

  • 美 CISA 발표 주요 Exploit 정보공유 (Update. 2026-10-16) — CISA가 실제 악용 중인 취약점 목록을 갱신했으며, Fortinet Multiple Products 경로 순회(CVE-2025-61624) 등이 포함됩니다. 국내 공지로 한 번 더 필터링된 목록이므로 자산 대장과 대조해 보는 용도로 활용하세요. 공지 보기

  • Cisco 제품 보안 업데이트 권고 — Cisco Secure Email Gateway의 임의 파일 기록(Arbitrary File Write) 취약점(CVE-2026-76519)으로, 공지에서 “실제 공격에 악용되고 있다"고 명시한 건입니다. 메일 게이트웨이는 대부분의 조직에서 인터넷 경계에 위치하므로 패치 우선순위를 높게 잡으십시오. 공지 보기

  • MS 10월 보안 위협에 따른 정기 보안 업데이트 권고 — 2026.10.13 발표 기준 총 14종(긴급 10종, 중요 4종)이며 Windows 11, Windows Server 2025/2022/2019 등 서버 제품군이 권한 상승 항목에 포함됩니다. 공공기관·기업 서버의 월간 패치 사이클에 맞춰 검증 후 배포 일정을 확정하세요. 공지 보기

📦 패키지 생태계 (GHSA)

패키지생태계심각도취약 범위패치 버전
lmcachepipcritical>= 0.3.9, < 0.5.60.5.6
claude-agent-sdkpipcritical< 0.2.1210.2.121

두 건 모두 AI/LLM 추론·에이전트 스택과 직결된 pip 패키지라는 점이 특징입니다. LMCache는 멀티프로세스 전송 모드에서 안전하지 않은 역직렬화로 원격 코드 실행(CVE-2026-105192)이 가능하고, Claude Agent SDK는 resume 옵션을 통한 인자 주입으로 임의 명령 실행(CVE-2026-96620)이 가능합니다. 모델 서빙 노드나 에이전트 실행 환경에서 이들 패키지를 쓰고 있다면 단순 라이브러리 업데이트가 아니라 실행 권한 격리까지 함께 점검하는 편이 좋습니다.

🧩 주요 스택 관련

WordPress / PHP 플러그인 (가장 많이 몰린 영역) — 이번 수집분의 상당수가 WordPress 플러그인 취약점입니다. 인증 없이 악용 가능한 축부터 보면 My Calendar 권한 상승(CVE-2026-104798, 9.8), Sunshine Photo Cart PHP Object Injection(CVE-2026-104730, 9.8), Mang Board 임의 파일 업로드(CVE-2026-109219, 9.8)가 있습니다. 이어 YaySMTP 임의 파일 업로드(CVE-2026-92553, 8.8, nginx), DoubleScale CRM 파일 업로드(CVE-2026-111311, 8.8), Vulnity Security 인증 우회(CVE-2026-75903, 8.1, nginx), Groundhogg 임의 파일 삭제(CVE-2026-109221, 8.1), Search Regex PHP Object Injection(CVE-2026-104932, 8.0), 10Web Booster 경로 순회(CVE-2026-103896, 7.5), Nexter Extension 권한 상승(CVE-2026-111114, 7.5), Mang Board Stored XSS(CVE-2026-109998, 7.2), FilePress SQL Injection(CVE-2026-111619, 7.1) 등이 이어집니다. 플러그인은 버전 범위가 “n/a through X” 형태로 표기되므로, 설치된 버전이 명시 상한 이하인지 먼저 확인하고 사용하지 않는 플러그인은 비활성화·삭제하는 것이 가장 확실한 완화책입니다.

ZoneMinder (PHP) — CVE-2026-102607(1.38.3 미만)과 CVE-2026-30971(1.39.2 / 1.38.2 / 1.36.40 미만)은 각각 exportFile 파라미터와 monitor Device 필드를 셸 명령에 그대로 넣는 명령 주입(8.8)입니다. CCTV 서버는 내부망에 있어도 웹 UI가 노출되는 경우가 많으니 최신 버전으로 올리고 인증된 사용자 권한을 최소화하세요.

Docker / 컨테이너 관리 도구 — Arcane은 위임된 users:update 권한으로 임의 계정 비밀번호를 바꿀 수 있고(8.8, 2.6.0 미만), 레지스트리 토큰 재사용 문제(CVE-2026-96626, 8.5, 2.5.0 미만)도 있습니다. Mailu는 도메인 관리자가 통제하지 않는 도메인에 스푸핑을 설정할 수 있고(8.2), 권한 상승형 비밀번호 재설정(CVE-2026-86008, 7.2)도 함께 보고됐습니다. Dockhand는 컨테이너 exec WebSocket 업그레이드 요청에 인증을 걸지 않아(9.6) 네트워크 도달만으로 컨테이너 셸을 얻을 수 있습니다. EnergizeLab station-middleware(NestJS) Docker 이미지 1.6.5~1.8.2는 임의 파일 읽기(9.9)와 관리 API 권한 미검사(9.6) 두 건이 동시에 확인됐습니다. 공통적으로 컨테이너 관리 UI/에이전트는 관리자 전용 네트워크에 두고, 가능하면 인증 프록시를 앞단에 두십시오.

Google Chrome — 155.0.8059.84 미만에서 V8 use-after-free, Compositing use-after-free, Prerender, DOM/Workers 메모리 손상 등 다수가 패치됐습니다. 그중 CVE-2026-110916(9.6)은 샌드박스 외부에서 임의 코드 실행이 가능한 항목으로 기술되어 있습니다. CVE-2026-110913, CVE-2026-110914, CVE-2026-110915, CVE-2026-110919, CVE-2026-110920, CVE-2026-110921, CVE-2026-110922도 같은 버전에서 함께 수정됐습니다. 사용자 단말과 자동화 브라우저 이미지 모두 155.0.8059.84 이상으로 맞추세요.

Node.js / 데스크톱 클라이언트 — Countly 서버(CVE-2026-42270, 7.5)는 공개 이미지·스크린샷 라우트가 로컬 fs 스트림을 그대로 파이프해 파일이 노출될 수 있습니다(24.05.50 / 25.03.44 미만). FreeRDP(CVE-2026-111380, 8.7)는 Apple 오디오 백엔드의 정수 오버플로로 악성 RDP 서버가 클라이언트를 공격할 수 있고, EnergizeLab Windows 앱(CVE-2026-105036, 7.5)은 펌웨어를 평문 HTTP로 내려받아 무결성을 검증하지 않습니다.

DB 참고 — MariaDB에서 ST_AsText 버퍼 초과 기록(CVE-2026-85746, 9.9), SYS_REFCURSOR 스테일 참조(CVE-2026-85748, 9.9), #mysql50# 접두사 우회(CVE-2026-92262, 9.9)가 공개됐습니다. 10.6.28 / 10.11.19 / 11.4.13 / 11.8.9 / 12.3.3 / 13.0.2 등 수정 버전으로의 업그레이드가 필요합니다.

🔴 신규 Critical 하이라이트

CVECVSSEPSS요약
CVE-2026-9416910.01.0%Theme-one The Grid ≤2.8.1 코드 주입 → 명령 실행
CVE-2026-9518210.0미평가DeepSeek Harness(dsh) untrusted search path로 임의 코드 실행
CVE-2026-857469.9미평가MariaDB ST_AsText 중첩 GeometryCollection 변환 시 버퍼 초과 기록
CVE-2026-1047989.80.9%WordPress My Calendar ≤3.8.7 권한 상승(비인증)
CVE-2026-1114449.80.3%Wheels ≤4.1.2, NO_BACKSLASH_ESCAPES 미설정 MySQL/MariaDB에서 SQL Injection
CVE-2026-1092199.80.7%WordPress Mang Board ≤2.4.4 임의 파일 업로드
CVE-2026-1109169.60.2%Chrome 155.0.8059.84 미만, 샌드박스 외부 임의 코드 실행
CVE-2026-1113229.30.7%Archon 0.2.13~0.11.1, 인증 없는 /api/* 제어 API(0.0.0.0 바인딩)로 AI 에이전트 명령 실행
CVE-2026-1112819.30.6%Jooan JA-A12 IP 카메라, 하드코딩 자격증명으로 root 명령 실행

대부분 신규 게시분이라 EPSS가 아직 낮게 형성되어 있습니다. 다만 Archon·JuggleIM·EnergizeLab처럼 “기본 자격증명/무인증 제어 API” 유형은 공격자가 별도 기법 없이 바로 접근할 수 있어, 인터넷 노출 여부만 확인해도 위험도 판단이 빠르게 됩니다.

🌐 위협 동향

CISA, BeyondTrust Remote Support 패치 촉구 — CISA는 CVE-2026-102764를 KEV에 등재하고 별도 권고를 발표했습니다. 26.2.3 이전 버전이 영향 대상이며, 지원 버전(24.3.1 이상)에는 패치가 제공되지만 구버전은 업그레이드를 먼저 거쳐야 한다는 점이 실무에서 가장 걸리는 부분입니다. 원격 지원 어플라이언스는 벤더 지원 계약·버전 정책과 묶여 있어 패치가 미뤄지기 쉬운 자산이므로, 이번 기회에 버전 관리 주기를 점검하십시오. 원문

SANS ISC: “Small Agents, Smaller Blast Radius” — AI 에이전트 권한 최소화 — AI 보안을 모델 자체의 안전성 문제로 접근하는 관행에 의문을 제기하고, 에이전트가 실제로 할 수 있는 행동 범위(blast radius)를 줄이는 설계가 더 효과적이라는 주장입니다. 오늘 GHSA에서 나온 LMCache·Claude Agent SDK 사례, 그리고 Archon의 무인증 제어 API 사례를 함께 보면 “에이전트 실행 권한과 네트워크 도달 범위를 좁히는 것"이 곧 사고 규모를 결정한다는 메시지가 잘 맞아떨어집니다. 원문

SANS ISC Guest Diary: Panchan’s Mining Island — 암호화폐 채굴형 봇넷 Panchan에 대한 관측 일기입니다. 채굴 봇넷은 침해 자체보다 SSH 자격증명 재사용과 지속성 확보 경로를 통해 확산하는 경우가 많아, 공개키 인증 전환과 아웃바운드 채굴 풀 트래픽 차단이 여전히 유효한 대응입니다. 원문

CISA/FBI: 2026 미 중간선거 대비 피싱·스미싱 경고 — 선거·캠페인 관계자를 대상으로 자격증명 탈취를 노린 피싱·스미싱이 예상된다는 공동 PSA입니다. 특정 캠페인 기법 자체는 새롭지 않지만, 조직 관점에서는 고위험 직군에 대한 피싱 저항성 훈련과 MFA 강제가 여전히 핵심 통제라는 점을 시사합니다. 같은 날 CISA/NIST/NSA SISC가 AI 학습·평가 환경의 사고 대비·대응 권고를 함께 발표한 것도 참고할 만합니다. 원문

오늘의 체크포인트

  1. BeyondTrust Remote Support 버전 확인 및 업그레이드 — 26.2.3 이하이면 즉시 조치 대상입니다. 24.3.1 미만 구버전은 지원 버전으로의 단계적 업그레이드가 선행되어야 하므로 담당자 일정을 오늘 확정하십시오.
  2. Atlassian Data Center 제품군 노출 점검 — EPSS 12.7%(백분위 96)로 악용 확률이 가장 높습니다. Bitbucket/Confluence/Jira/Bamboo/Crowd/Crucible·Fisheye 인스턴스의 패치 상태와 외부 노출 경로를 함께 확인하세요.
  3. Fortinet 관리 평면과 Cisco Secure Email Gateway — FortiOS/FortiProxy/FortiPAM/FortiSwitchManager의 관리자 계정 권한을 최소화하고, CVE-2026-76519는 실제 악용이 언급된 만큼 Secure Email Gateway 패치를 우선 배포하세요. PAN-OS CVE-2026-0322도 같은 맥락에서 확인이 필요합니다.
  4. 단말·개발 환경 일괄 업데이트 — Chrome 155.0.8059.84 이상, pip 패키지 lmcache 0.5.6 및 claude-agent-sdk 0.2.121 이상으로 맞추고, WordPress는 사용 중인 플러그인 버전을 오늘 목록과 대조하십시오.

마무리

  • 오늘의 한 줄 정리: 원격 접속·협업 플랫폼·네트워크 장비의 “실제 악용” 3건이 겹친 날이며, 동시에 AI/LLM 파이프라인 패키지에서 원격 코드 실행급 pip 취약점 2건이 나왔습니다.

매일 아침 보안 동향을 릿치 블로그에서 만나보세요.