도입부
오늘 가장 무거운 소식은 Plex Media Server 관련 취약점 4건이 한꺼번에 CISA KEV에 등재된 것입니다. 서로 체이닝 가능한 SSRF·경로 조작·URI 스킴 미정제 조합으로, 홈랩부터 사내 미디어 서버까지 노출 범위가 넓습니다. 함께 등재된 EG Secure Solutions SiteGuard와 Siemens Software Center 취약점, 그리고 Oracle Critical Patch Update로 보이는 9.9~10.0점 대량 게시(총 119건)까지 겹쳐 오늘은 “패치 우선순위 재조정"이 필요한 날입니다. 수집 실패한 소스는 없습니다(GHSA는 신규 High/Critical 없음).
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-106931 — EG Secure Solutions / SiteGuard Server Edition
SiteGuard Server Edition에 OS 명령 주입 취약점이 존재하며, 성공 시 해당 제품이 실행되는 시스템에서 root 또는 SYSTEM 권한으로 임의 OS 명령 실행이 가능합니다. 웹 서버 앞단 보안 어플라이언스 성격의 제품이라 침해 시 후방 서비스 전체가 노출될 수 있습니다. 랜섬웨어 사용 여부는 Unknown, EPSS 0.7%(51 백분위). 영향 버전 사용 중이면 즉시 벤더 패치 적용 및 관리 인터페이스 접근 제어를 확인하세요. NVD
CVE-2026-96656 — Plex / Media Server
파일 이름·경로의 외부 제어 취약점으로, admin 사용자가 로드 시 실행될 수 있는 임의 파일을 쓸 수 있습니다. CVE-2026-96652, CVE-2026-96654, CVE-2026-96655와 체이닝 가능하다고 명시되어 있어 단독보다 연계 악용 위험이 큽니다. 랜섬웨어 Unknown, EPSS 0.4%(32 백분위). NVD
CVE-2026-96655 — Plex / Media Server
/video/:/transcode/universal 경로 파라미터를 통해 인증된 사용자가 임의의 내부·외부 주소로 요청을 보낼 수 있는 SSRF입니다. 내부망 서비스 스캔·메타데이터 엔드포인트 접근 경로로 악용될 수 있습니다. 랜섬웨어 Unknown, EPSS 0.2%(12 백분위). NVD
CVE-2026-96654 — Plex / Media Server
웹 페이지 내 인코딩된 URI 스킴 미정제 취약점으로, 공격자가 다른 플러그인의 함수를 호출하고 파라미터를 임의로 공급할 수 있습니다. 위 체인에서 초기 진입 벡터 역할을 할 수 있습니다. 랜섬웨어 Unknown, EPSS 0.2%(13 백분위). NVD
CVE-2026-96652 — Plex / Media Server
protocol 파라미터에 전체 URL을 넣어 임의의 X-Plex-Token 값으로 Plex 서버가 공격자가 지정한 목적지로 POST하도록 강제하는 SSRF입니다. 토큰 검증이 사실상 우회 가능하다는 점이 핵심입니다. 랜섬웨어 Unknown, EPSS 0.2%(12 백분위). NVD
CVE-2026-110936 — Siemens / Software Center
제어되지 않은 검색 경로 요소 취약점으로, 인증된 로컬 공격자가 애플리케이션이 탐색하는 디렉터리에 조작된 DLL을 배치해 해당 애플리케이션 권한으로 임의 코드를 실행할 수 있습니다. 로컬 접근이 전제지만 산업 현장 워크스테이션에서는 실질 위험이 큽니다. 랜섬웨어 Unknown, EPSS 0.1%(3 백분위). NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
- F5 제품 보안 업데이트 권고 — NGINX Plus / NGINX Open Source의 Heap-based Buffer Overflow(CVE-2026-15176) 등 다수 취약점에 대한 업데이트입니다. 리버스 프록시·로드밸런서로 NGINX를 쓰는 국내 인프라 비중이 높아 노출면이 넓습니다. 공지 보기
- Plex 제품 보안 업데이트 권고 — Plex Media Server의 Path Traversal(CVE-2026-96651), SSRF(CVE-2026-96652) 등이 포함됩니다. 오늘 KEV 등재분과 직접 겹치는 항목으로, 국내에서도 개인·소규모 미디어 서버 운영자가 많아 우선 확인이 필요합니다. 공지 보기
- Adobe 제품 보안 업데이트 권고 — Acrobat / Acrobat Reader / Acrobat 2024의 Out-of-bounds Write 취약점(CVE-2026-81983)입니다. 문서 뷰어는 공공기관·금융권 단말에 광범위하게 설치되어 있어 사용자 단말 패치 배포 채널 확인이 필요합니다. 공지 보기
- Vercel 제품 보안 업데이트 권고 — Next.js의 Use After Free 취약점(CVE-2026-96889)입니다. Next.js는 국내 프론트엔드·풀스택 프로젝트에서 매우 흔히 쓰이므로, 배포 파이프라인의 의존성 버전을 함께 점검하세요. 공지 보기
- 사이버이메지네이션 제품 보안 업데이트 권고 — 국산 제품 D-Bridge에서 외부를 통한 내부 관리자 경로 접근이 가능한 취약점입니다. 영향 버전 1.4 미만, 해결 버전 2.5 이상으로 안내되어 있어 국내 구축형 환경에서는 버전 확인이 우선입니다. 공지 보기
- 美 CISA 발표 주요 Exploit 정보공유(Update. 2026-10-20) — CISA KEV에 새로 오른 항목(Siemens Software Center 등)을 국문으로 정리한 공지입니다. KEV 원문을 매일 추적하기 어려운 조직이라면 이 공지를 체크리스트로 활용할 수 있습니다. 공지 보기
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음.
🧩 주요 스택 관련
- PHP / WordPress 계열 플러그인·테마 경로 순회 다수 — TinyMCE Thumbnail Gallery(CVE-2012-20002), NativeChurch(CVE-2014-125133), ChurcHope(CVE-2014-125134), Aspose 계열(CVE-2015-20123~20125), Memphis Documents Library(CVE-2016-20100), Cherry(CVE-2016-20103), EyeLock nano NXT(CVE-2016-20104) 등이 8.7점으로 게시되었습니다. 모두
wp-config.php등 민감 파일을 무인증으로 읽어갈 수 있는 유형이지만, 오래된 CVE가 뒤늦게 NVD에 정리된 성격이 강합니다. 운영자는 “최신 WordPress라서 안전"이 아니라 설치된 플러그인/테마의 실제 버전을 기준으로 점검해야 합니다. - follow-redirects (Node.js, CVE-2026-111756, CVSS 8.2) — 1.16.0 이상 1.16.1 미만에서 리다이렉트 추적 시 Authorization, Proxy-Authorization, Cookie 및 사용자 선언 sensitiveHeaders를 제거하는 로직에 결함이 있습니다. 외부 API 호출에 인증 헤더를 붙이는 Node 서비스라면 리다이렉트 대상으로 자격증명이 유출될 수 있으니 1.16.1 이상으로 올리세요.
- launch-editor / launch-editor-middleware (CVE-2026-112942, CVSS 7.5) — 2.14.2 미만에서 Windows 파일 인자에 상위 디렉터리 성분이 섞일 때 경로 검증이 우회됩니다. Vite 등 개발 서버 미들웨어로 자주 딸려오는 패키지이므로 devDependency 트리까지 확인하는 편이 안전합니다.
- ApostropheCMS (Node.js, CVE-2026-113658 / 113711 / 113666, CVSS 7.5~7.1) — 4.33.0 미만에서 무인증 Rich Text CSV 변환 라우트가 확장자 검증 전에 임시 디렉터리에 업로드를 써 두고, import 라우트가 초기 authorize 콜백 없이 bigUploadMiddleware를 호출합니다. 113666은 PostgreSQL을 쓰는 환경에서 프로토타입 체인을 통한 projection 우회로, view-draft 권한 계정만 있어도 정보 노출이 가능합니다. CMS를 운영 중이라면 4.33.0 이상으로 업데이트하세요.
- DokuWiki (CVE-2026-113356, CVSS 7.7) — 2026-07-14c 미만에서
Draft::getDraftText()가 초안 파일 내용을 allowed classes 제한 없이unserialize()에 넘깁니다. 편집 권한이 있는 계정으로 동시 초안 재작성을 경쟁시켜 PHP 객체 주입이 가능합니다. 사내 위키로 DokuWiki를 쓰는 조직은 인증 사용자도 신뢰 경계 밖으로 두고 패치해야 합니다. - Ghostscript (RHEL 8 패키지, CVE-2026-112177, CVSS 7.3) — 9.25 → 9.27 리베이스 과정에서 CVE-2019-14869 수정이 누락되어
.charkeys프로시저의.forceput보호가 불충분합니다. 조작된 PostScript 처리 시 권한 상승으로 이어질 수 있으므로 Red Hat errata 적용 여부를 확인하세요. - Apple 플랫폼 (iOS/iPadOS/macOS, CVE-2026-86919 외) — iOS 26.7/27, macOS Tahoe 26.7 등에서 수정된 다수 이슈가 함께 게시되었습니다. 페어링된 Bluetooth 기기로 임의 코드 실행이 가능한 8.8점 항목(CVE-2026-86919)과 Safari 웹 콘텐츠 처리 관련 type confusion(CVE-2026-86922, 8.8)이 눈에 띕니다. 단말 관리(MDM) 환경에서는 최신 릴리스 반영 상태를 확인하세요.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-101809 | 10.0 | 미제공 | Oracle E-Business Suite Workflow(Notification Mailer), 12.2.3~12.2.15. 무인증 HTTP 공격 가능 |
| CVE-2026-81212 | 10.0 | 미제공 | IBM DataStage on Cloud Pak for Data 5.4.0.0. 무인증 사용자가 임의 테넌트 Redis 키에 쓰기 가능, 자격증명 암호화 경계 붕괴 |
| CVE-2026-87337 | 10.0 | 미제공 | Oracle Access Manager 인증 엔진, 12.2.1.4.0 / 14.1.2.1.0. 무인증 HTTP 익스플로잇 |
| CVE-2026-91216 | 10.0 | 미제공 | Oracle SOA Suite Fabric Layer, T3/IIOP 경유 무인증 침해 |
| CVE-2026-105312 | 9.9 | 미제공 | Kubernetes Console CR 생성 권한 테넌트가 임의 이미지를 배포, ClusterRoleBinding된 SA로 클러스터 전역 get/list/watch 획득 |
| CVE-2026-113672 | 9.9 | 미제공 | Argo CD repo-server의 jsonnet importer가 import/importstr/importbin을 저장소 루트로 제한하지 않음 (0.9.0~3.3.15/3.4.10/3.5.4/3.6.0-rc2 미만) |
| CVE-2026-113708 | 9.9 | 미제공 | Argo CD Kustomize가 원격 URL의 ref/version을 end-of-options 구분자 없이 git fetch에 전달 (2.7.0~) |
| CVE-2026-113620 | 9.8 | 미제공 | Eclipse ioFog Controller 3.8.0~3.9.1. exec/log WebSocket 업그레이드에서 bearer JWT 미검증, 자체 발급 토큰으로 admin RBAC 획득 |
Oracle 제품군이 10.0/9.9점으로 대거 게시된 것은 분기 Critical Patch Update 공개에 따른 것으로 보이며, 개별 항목의 실제 악용 가능성은 아직 평가되지 않았습니다. 반면 Argo CD 3건과 Kubernetes Console 1건은 GitOps/클러스터 운영자에게 직접적인 권한 상승 경로이므로 패치 버전(3.3.15, 3.4.10, 3.5.4, 3.6.0-rc2 이상)을 우선 확인할 가치가 있습니다.
🌐 위협 동향
- SafePay 랜섬웨어 캠페인 분석 (CISA #StopRansomware) — 2024년 8월 이후 기업 및 핵심 인프라를 겨냥해 지속적으로 활동해 온 SafePay 그룹의 최근 TTP를 정리한 권고입니다. 단순 IOC 나열이 아니라 초기 침투·횡적 이동·암호화 단계의 패턴을 다루므로, 백업 격리와 자격증명 위생 점검 항목으로 바로 옮겨 쓸 수 있습니다. 원문
- Hitachi Energy RTU500 / MicroSCADA X SYS600 ICS 권고 — 발전·변전 자동화에 쓰이는 RTU 및 SCADA 제품의 다중 취약점으로, 기밀성·무결성·가용성 모두에 영향이 있습니다. IT와 달리 즉시 패치가 어려운 OT 환경 특성상 네트워크 분리와 접근 통제가 우선 완화책이 됩니다. RTU500 · MicroSCADA X SYS600
- Moxa AIG-302 ThingsPro Edge / HMS Networks PCAN 드라이버 권고 — Moxa 산업용 게이트웨이는 민감 정보 노출, PEAK-System PCAN Windows 드라이버(5.1.2.1151 이하)는 커널 크래시로 이어질 수 있습니다. 산업용 엣지 장비와 진단 노트북이 함께 관리 대상에 들어가야 한다는 점이 포인트입니다. Moxa · PCAN
- SANS ISC Stormcast (10/20) — 오늘은 팟캐스트 에피소드만 수집되었고 상세 관측 내용은 포함되지 않았습니다. 스캔 트래픽 기반 분석은 원문에서 확인하세요. 원문
오늘의 체크포인트
- Plex Media Server 즉시 업데이트 — KEV 4건 + KrCERT 권고가 동시에 걸린 항목입니다. 인터넷에 직접 노출된 Plex 인스턴스가 있다면 원격 접근 설정부터 확인하고 최신 버전으로 올리세요. 더 이상 쓰지 않는 인스턴스는 종료하는 것이 가장 확실합니다.
- Argo CD 및 Kubernetes Console 점검 — Argo CD 3.3.15/3.4.10/3.5.4/3.6.0-rc2 이상 여부, Console CR 생성 권한을 가진 테넌트 존재 여부를 확인하세요. GitOps 저장소에 대한 쓰기 권한이 곧 클러스터 권한으로 이어지는 구조를 재점검할 시점입니다.
- NGINX / Next.js / Adobe 패치 사이클 반영 — KrCERT 권고 3건이 모두 실무 인프라와 직결됩니다. 특히 NGINX는 리버스 프록시 계층이라 우회 경로가 넓습니다.
- Node.js 의존성 버전 확인 — follow-redirects 1.16.1, launch-editor 2.14.2, ApostropheCMS 4.33.0을 기준으로 lock 파일을 검사하고, 인증 헤더를 실어 외부로 나가는 서비스가 있다면 리다이렉트 처리 로직을 별도로 검토하세요.
마무리
오늘은 Plex 체이닝 취약점과 Oracle 대량 패치가 겹친 하루였고, 실무적으로는 Argo CD·Kubernetes 권한 상승 경로가 가장 손에 잡히는 위험입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.