오늘은 CISA KEV 신규 등재, KrCERT/KISA 공지, GHSA 신규 High/Critical, CISA 권고가 모두 비어 있어 “새로 확인된 실제 악용"보다는 신규 공개 CVE 쪽이 중심인 하루입니다. 그중에서도 WordPress Rank Math SEO PRO 3.0.123의 특정 시간대 배포본에서 악성코드가 확인된 공급망 침해 건과, Python 이미징 라이브러리 Pillow에서 한꺼번에 공개된 다수(4건)의 9.2점 취약점이 실무 영향이 큰 항목입니다. Apache Camel(camel-hazelcast) 안전하지 않은 역직렬화 10.0점, 노출 시 무인증 원격 코드 실행으로 이어지는 Mercury·Cognition 사례도 함께 살펴볼 필요가 있습니다.
🚨 실제 악용 확인 (CISA KEV)
오늘 KEV 신규 등재 없음
🇰🇷 국내 보안공지 (KrCERT/KISA)
오늘 신규 공지 없음
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음
다만 패키지 유통 경로와 직접 관련된 항목이 NVD 쪽에 있습니다. WordPress 플러그인 Rank Math SEO PRO 3.0.123의 일부 패키지(2026-10-15 20:02 UTC ~ 2026-10-16 07:12 UTC 배포분)에 악성코드가 포함된 공급망 침해(CVE-2026-111862, CVSS 9.8)가 보고되었습니다. 플러그인 저장소·업데이트 서버를 신뢰하는 일반적인 배포 모델 자체가 공격면이 될 수 있음을 보여주는 사례로, 해당 기간에 설치·업데이트한 사이트는 파일 무결성 확인이 필요합니다.
🧩 주요 스택 관련
PostgreSQL / JDBC
- CVE-2026-111440 (7.0, HIGH) — openGauss-connector-jdbc의
LogFactory가 JDBC 연결 파라미터로 전달된 logger 클래스명을 검증 없이Class.forName으로 로드하고,Log구현 여부를 확인하기 전에 인스턴스화합니다. 공격자가 JDBC URL/연결 속성을 제어할 수 있고 클라이언트 classpath에 조건을 만족하는 클래스가 있으면 클라이언트 측에서 부작용이 발생할 수 있습니다. 연결 문자열을 외부 입력에서 조립하는 애플리케이션은 파라미터 화이트리스트 적용을 검토하세요. EPSS 0.2%(12 pct).
Node.js
- CVE-2026-112366 (8.7, HIGH) —
picomatch4.0.7 이하의 ReDoS.+(*),+(*a)같은 단일 분기 반복 extglob 패턴에서 지수적 백트래킹이 발생해 이벤트 루프가 정지합니다. 사용자 입력을 glob 패턴으로 변환하는 빌드 도구·CLI·서버 로직이 대상입니다. - CVE-2026-111755 (8.2, HIGH) —
follow-redirects1.16.0 이상 1.16.1 미만.sensitiveHeaders에^나|같은 정규식 메타문자가 포함된 헤더 이름을 지정하면escapeRegex가 이를 이스케이프하지 못해 교차 출처 리다이렉트 추적 시 민감 헤더가 노출될 수 있습니다. 1.16.1로 업그레이드하세요.
PHP
- CVE-2026-112777 (8.7, HIGH) — Craft CMS 4.x 4.18.8 미만, 5.x 5.11.0 미만. Twig
create()의 클래스명 차단 목록이 대소문자를 구분하지만 PHP 클래스 해석은 구분하지 않아 우회되어, 템플릿 실행 권한 보유자가SplFileObject등을 인스턴스화할 수 있습니다. - CVE-2026-112368 (8.2, HIGH) — MongoDB PHP 드라이버의 BSON 디코딩 로직에서 재귀 제어 미비. 조작된 바이너리 문서를 디코더에 공급할 수 있는 비인증 주체가 프로세스 스택을 고갈시켜 PHP 프로세스를 종료시킬 수 있습니다(서비스 거부).
- CVE-2026-112307 (8.4, HIGH) —
sqlparse0.6.0 이하.OutputPHPFilter가 SQL 텍스트 내 이스케이프되지 않은$를 이중 인용 문자열에 그대로 넣어${expr}/{${expr}}시퀀스로 PHP 표현식이 실행될 수 있습니다. - CVE-2026-107081 / CVE-2026-107082 / CVE-2026-107084 (CVSS 미평가) — SENAYAN Library Management System(SLiMS) Bulian 9.8.0. 관리자 AJAX 엔드포인트의
tableName/tableFields식별자 주입 SQL injection,opac_hide/promoted파라미터 SQL injection,loan_history_maintenance.php의 CSRF(토큰·POST 확인 없이 파괴적 작업 수행)가 보고되었습니다. 인증된 staff 계정 하나로 권한 상승·데이터 훼손이 가능한 조합입니다.
Docker / 컨테이너 빌드
- CVE-2026-112264 (8.5, HIGH) — BentoML 1.4.39 이하. legacy
base.j2템플릿이 렌더링하는docker.env매핑 키에 개행을 삽입해 Dockerfile에 임의 빌드 명령을 추가할 수 있습니다. 신뢰할 수 없는bentofile.yaml또는 외부 bento 아카이브를 빌드하는 CI 파이프라인은 빌더 격리 여부를 확인하세요.
Windows
- CVE-2026-107571 (7.8, HIGH) — hMailServer 6.0.0~6.3.6 Windows 설치 관리자의 기본 권한 설정 문제. 상위 폴더에서 권한을 상속받는 경로에 설치된 경우 로컬 인증 사용자가 메일 서버의 고권한 계정 권한으로 코드를 실행할 수 있습니다. 설치 경로 권한을 점검하세요.
Red Hat
- CVE-2026-103314 (7.4, HIGH) — RHACS Central의 SAML ACS 엔드포인트가 사용된 assertion/response 식별자를 보관하지 않아 재전송(replay)이 가능합니다. 유효하고 만료되지 않은 서명된 SAML 응답을 획득한 공격자가 반복 제출로 인증을 우회할 수 있습니다.
모바일·브라우저 인접
- CVE-2026-103038 (8.6, HIGH) — PingTools Network Utilities 4.64 Watcher ICMP 서비스의 Host 필드 OS 명령 주입(
sh -c로 단일 문자열 실행). - CVE-2026-112308 (8.3, HIGH) —
crewai-tools1.15.28 이하SeleniumScrapingTool의 SSRF. 내부 주소 검증(validate_url)을 적용하지 않아, 프롬프트 인젝션으로 도구 입력을 조종당하면 내부 리소스 접근이 가능합니다.
Critical 중 스택 매칭
- CVE-2026-107083 (9.8, php) — SLiMS Bulian 9.8.0
admin/modules/reporting/customs/dl_detail.php의fileID파라미터 SQL injection. - CVE-2026-111862 (9.8, php) — Rank Math SEO PRO 공급망 침해(위 패키지 섹션 참조).
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-78162 | 10.0 | — | Apache Camel 4.18.5 / 4.22.1 미만, camel-hazelcast가 기본 JavaSerializationFilterConfig를 적용하는 과정의 신뢰할 수 없는 데이터 역직렬화 |
| CVE-2026-111057 | 10.0 | — | Mercury 3.0.0~3.2.4, BLOCKED_PATTERNS의 누락된 쉼표로 /lab·/api/terminals 정규식이 결합되어 익명 엔드포인트 차단 우회 |
| CVE-2026-111862 | 9.8 | — | Rank Math SEO PRO 3.0.123 특정 배포분 공급망 침해 — 악성코드 포함 패키지 |
| CVE-2026-108983 | 9.8 | 0.3% (23 pct) | GeoWebServer.exe 웹 서버 기본 연결 포트 관련 취약점(설명 정보 제한적) |
| CVE-2026-103091 | 9.3 | 0.4% (33 pct) | Google OSS Agent Mesh(SAM) 0.1.0 — MCP 프록시 무단 액세스(CWE-862) 및 OIDC 등록 흐름의 안전하지 않은 기본값(CWE-1188) |
| CVE-2026-112900 | 9.2 | — | Pillow 2.6.0~13.0.0 미만, Ghostscript 호출 시 -f 뒤 파일명이 안전한 절대 경로로 변환되지 않아 인자 주입 |
| CVE-2026-109437 | 9.2 | — | Cognition 0.13.0 미만, 에이전트 샌드박스 기본값이 로컬 실행이고 REST/SSE API 인증이 없어 비인증 RCE |
| CVE-2026-111406 | 9.9 | — | MapSVG 8.16.1 이하, 위험한 형식의 파일 업로드 제한 미비로 웹 셸 업로드 가능 |
같은 날 Pillow에서는 CVE-2026-112393(압축 TIFF 저장 시 힙 버퍼 오버플로/스테일 힙 노출), CVE-2026-112398(FlashPix JPEG 타일 디코더 경계 초과 쓰기), CVE-2026-112403(draft scale 요청 시 버퍼 크기 불일치로 전폭 스캔라인 기록)가 함께 공개되어, 4건 모두 13.0.0에서 수정되었습니다. 이미지 업로드·변환 파이프라인을 운영한다면 우선순위를 높게 잡는 편이 좋습니다. 다만 위 표의 일부 항목은 공개 직후로 설명이 짧고 EPSS가 낮게 산출되어 있어, 실제 악용 가능성은 아직 불확실합니다.
🌐 위협 동향
오늘 CISA 권고/캠페인 분석 자료는 수집되지 않았고, SANS ISC 관측 diary 1건이 확인되었습니다.
- Orphaned VBA Projects Inside DWG Files: YARA Rule — DWG 도면 파일 내부에 남겨진(참조가 끊긴) VBA 프로젝트를 탐지하기 위한 YARA 룰 공유입니다. 도면 파일은 문서형 악성코드 검사 대상에서 빠지기 쉬운 포맷이라, CAD 파일을 주고받는 설계·제조 환경에서는 이러한 룰 기반 탐지가 유효한 보완 계층이 됩니다. 원문
오늘의 체크포인트
- Pillow 13.0.0 미만 사용 여부 확인 — TIFF/FlashPix/JPEG draft/EPS(Ghostscript) 경로에서 메모리 손상 및 인자 주입이 보고되었습니다. 외부 이미지를 처리하는 서비스·배치 작업이 있다면 최우선 업그레이드 대상입니다.
- Rank Math SEO PRO 3.0.123 업데이트 이력 점검 — 2026-10-15 20:02 UTC ~ 2026-10-16 07:12 UTC 사이에 설치/업데이트한 사이트는 플러그인 파일 무결성 확인 및 클린 재설치, 웹 셸·비인가 계정 흔적 점검을 권장합니다.
- Apache Camel 및 camel-hazelcast 버전 확인 — 4.18.5 / 4.22.1 미만이면 역직렬화 경로 노출 여부를 점검하고 패치 버전으로 업그레이드하세요.
- 개발·실험용으로 띄운 Mercury / Cognition 엔드포인트 노출 여부 확인 — 인증 없이 커널 생성·명령 실행 또는 세션 생성이 가능한 상태이므로, 외부에 열려 있다면 즉시 접근 차단 또는 버전 업그레이드가 필요합니다.
마무리
- 오늘의 한 줄 정리: KEV·국내 공지·GHSA 신규는 없었지만, WordPress 플러그인 공급망 침해와 Pillow 4건을 포함한 신규 Critical 24건이 공개된 “패치 우선순위 정리"가 필요한 하루입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.