도입부

오늘은 CISA KEV 신규 등재가 없고, GHSA·KrCERT·CISA 권고도 비어 있어 “새로 확인된 실제 악용"보다는 신규 공개된 Critical CVE와 Linux 커널 패치 묶음이 중심인 하루입니다. 눈에 띄는 것은 WordPress 플러그인 3종(OttoKit, Conversational Forms for ChatBot, Booktics)이 각각 권한 상승·PHP Object Injection·SQL Injection으로 CVSS 9.3~9.8을 받은 점과, Vanus 클러스터 관리 도구의 하드코딩 admin 토큰(cluster-admin 탈취) 및 WhoDB의 경로 traversal(9.2)입니다. 수집 실패로 인한 누락은 없었으며(errors 없음), 스택 매칭 437건 중 대부분은 Linux 커널 upstream 수정 커밋에 대응하는 미평가 CVE입니다.

🚨 실제 악용 확인 (CISA KEV)

오늘 KEV 신규 등재 없음.

🇰🇷 국내 보안공지 (KrCERT/KISA)

오늘 신규 공지 없음.

📦 패키지 생태계 (GHSA)

오늘 npm/composer/pip 신규 High/Critical 없음.

🧩 주요 스택 관련

CVE-2026-112051 — Xinference (Windows) 경로 traversal

Xinference 4.0.1 이하에서 Windows 환경에 한해 model_name에 백슬래시 시퀀스를 넣어 임의 .json 파일을 쓰거나 삭제할 수 있는 경로 traversal입니다. 인증 없이 POST /v1/model_registrations/{model_type}로 악성 커스텀 모델을 등록하는 방식이 언급되어 있습니다. CVSS 8.3으로 평가되었으며, Windows에서 Xinference를 서비스로 노출해 운영 중이라면 외부 접근 차단과 함께 최신 버전으로의 업그레이드를 우선 검토하세요. NVD

Linux 커널 다수 (미평가)

스택 매칭의 대부분은 Linux 커널 upstream 수정 커밋에 대응하는 CVE로, NVD CVSS가 아직 미평가 상태입니다. 개별 심각도를 단정할 수는 없지만 다음과 같은 유형이 포함됩니다.

  • KVM: PPC Book3S HV에서 uv_page_in() 실패 시 secure device page가 해제되지 않는 누수 (CVE-2026-98433)
  • sysctl의 proc_dointvec_ms_jiffies_minmax 범위 검사 누락 복구 (CVE-2026-98434)
  • XFS 다수: iunlink 버킷 복구 시 커서/포인터 처리(잠재 UAF), dquot flush lock 미해제, ondisk rtrefcount btree root 포맷 시 과도한 memcpy, orphanage inode 참조 누수 등 (CVE-2026-98443 ~ CVE-2026-98448)
  • SMB client 다수: compound 요청 실패/대기 오류 시 MID·CREATE 정리 미흡, create context 파싱 경계 미검증으로 인한 out-of-bounds read (CVE-2026-98449 ~ CVE-2026-98454)
  • Bluetooth RFCOMM RFCOMM_CONNINFO의 dlc->session NULL 역참조, mgmt read_unconf_index_list() race (CVE-2026-98455, CVE-2026-98456)
  • net/sched act_ct 확장 영역 realloc으로 인한 helper UAF 및 공유 unconfirmed ct entry 수정 (CVE-2026-98441, CVE-2026-98442)

운영자 관점에서는 각 배포판의 커널 보안 업데이트가 나오는 대로 반영하는 것이 정석이며, KVM/XFS/SMB를 쓰는 가상화·파일서버 환경이라면 해당 서브시스템 수정이 포함된 버전인지 릴리스 노트로 확인하는 편이 좋습니다. 개별 CVE 링크는 NVD Linux kernel 검색 형태로 확인할 수 있습니다.

🔴 신규 Critical 하이라이트

CVECVSSEPSS요약
CVE-2026-1103729.8—Brainstorm Force OttoKit 1.1.40 이하 — 잘못된 권한 할당으로 권한 상승
CVE-2026-1108869.8—QuantumCloud Conversational Forms for ChatBot 1.5.1 이하 — 신뢰할 수 없는 데이터 역직렬화로 Object Injection
CVE-2026-1098949.3—Arraytics Booktics 1.0.29 이하 — SQL Injection
CVE-2026-1119989.3—Vanus 0.8.0~0.9.0 — 하드코딩된 admin 토큰으로 인증 없이 cluster-admin 획득
CVE-2026-1120059.2—WhoDB 0.104.0 ~ 0.135.0 미만 — DuckDB 파일시스템 함수를 통한 경로 traversal(임의 호스트 파일 읽기/쓰기)

EPSS 수치는 이번 수집 데이터에 포함되지 않아 표기하지 않았습니다. 상위 3건은 모두 WordPress 플러그인 계열로, OttoKit과 Conversational Forms for ChatBot은 인증 없이 악용 가능한 유형(권한 상승, Object Injection)이며 Booktics는 SQL Injection입니다. Vanus와 WhoDB는 셀프호스팅 인프라 도구로, 인터넷에 직접 노출되어 있다면 노출면 축소가 먼저입니다.

🌐 위협 동향

DWG 파일 내 Orphaned VBA 프로젝트 탐지 YARA 룰 (SANS ISC)

SANS ISC 다이어리에서 DWG(CAD 도면) 파일 안에 남겨진 “orphaned” VBA 프로젝트를 탐지하는 YARA 룰이 공개되었습니다. 도면 파일은 설계·건설·제조 조직에서 신뢰 기반으로 유통되는 대표적 문서 포맷이라, 매크로/VBA 흔적이 남은 파일이 그대로 내부로 들어오기 쉽습니다. 메일·파일 첨부 검사 파이프라인에 해당 룰을 얹어 두면 CAD 파일 기반 초기 침투 시도를 조기에 걸러낼 수 있습니다. 원문

오늘의 체크포인트

  • WordPress 사용 중이라면 OttoKit(≤1.1.40), Conversational Forms for ChatBot(≤1.5.1), Booktics(≤1.0.29) 세 플러그인을 최신 버전으로 즉시 업데이트하세요. 모두 인증 없이 악용 가능한 유형입니다.
  • Vanus 0.8.0~0.9.0을 운영 중이라면 하드코딩 admin 토큰이 사용된 이력이 있는지 감사 로그를 확인하고, gateway gRPC 프록시 포트를 외부에 노출하지 마세요.
  • WhoDB를 0.135.0 미만으로 운영 중이면 업데이트하고, 쿼리 에디터 접근 권한과 호스트 파일시스템 노출 범위를 점검하세요.
  • Xinference를 Windows에서 외부 노출 상태로 운영 중이라면 접근 제어를 우선 적용하고, Linux 커널은 배포판 보안 업데이트가 나오는 대로 반영하세요.

마무리

  • 오늘의 한 줄 정리: 실제 악용 등재는 없었지만, WordPress 플러그인 3종(9.3~9.8)과 Vanus 하드코딩 토큰·WhoDB 경로 traversal이 신규 공개되어 자산 목록 대조가 필요한 날입니다.

매일 아침 보안 동향을 릿치 블로그에서 만나보세요.