오늘 위협 지형의 중심은 단연 PHP입니다. CISA가 CVE-2026-109618·CVE-2026-109619(“php2shell”)에 대해 “즉시 패치"를 권고했고, SANS ISC는 PHP의 광범위한 사용성과 패치 전 PoC 유통 정황을 근거로 infoCon을 YELLOW로 상향했습니다. 여기에 Plex Media Server 취약점 4건이 실제 악용 근거로 KEV에 신규 등재되었고, Python 이미지 처리의 사실상 표준인 Pillow에서도 Critical 2건을 포함한 다수 결함이 패치되었습니다. 수집 실패로 누락된 소스는 없습니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-106931 — EG Secure Solutions SiteGuard Server Edition
SiteGuard Server Edition에 OS Command Injection 취약점이 존재하며, 공격자가 영향받는 시스템에서 root 또는 SYSTEM 권한으로 임의 OS 명령을 실행할 수 있습니다. 랜섬웨어 사용 여부는 Unknown, EPSS 1.4%(백분위 72). 네트워크 경계에 노출된 관리 콘솔류는 특히 위험하므로 최신 버전 적용과 관리 인터페이스 접근 제한을 함께 검토해야 합니다. NVD
CVE-2026-96656 — Plex Media Server
파일 이름/경로에 대한 외부 제어 취약점으로, admin 사용자가 로드 시 실행될 수 있는 임의 파일을 쓸 수 있습니다. CVE-2026-96652, CVE-2026-96654, CVE-2026-96655와 체이닝 가능. 랜섬웨어 Unknown, EPSS 0.8%. NVD
CVE-2026-96655 — Plex Media Server
인증된 사용자가 /video/:/transcode/universal 경로 파라미터를 통해 임의의 내부·외부 주소로 요청을 보낼 수 있는 SSRF입니다. 동일 체인의 다른 취약점과 결합 가능. EPSS 0.4%. NVD
CVE-2026-96654 — Plex Media Server
웹 페이지 내 인코딩된 URI 스킴의 부적절한 중화(neutralization) 취약점으로, 공격자가 다른 플러그인의 함수를 호출하고 파라미터를 임의로 공급할 수 있습니다. 체이닝 전제 조건 중 하나. EPSS 0.4%. NVD
CVE-2026-96652 — Plex Media Server
임의의 X-Plex-Token 값을 가진 공격자가 protocol 파라미터에 전체 URL을 넣어 Plex 서버가 공격자가 지정한 목적지로 POST하도록 강제할 수 있는 SSRF입니다. 동일 체인의 나머지 3건과 결합되어 영향력이 커집니다. EPSS 0.4%. NVD
Plex는 CVE-2026-96652/96654/96655/96656 4건이 동시에 KEV에 올랐습니다. 개별 단건이 아니라 하나의 공격 체인으로 묶여 실제 악용된 정황이므로, Plex Media Server를 인터넷에 노출한 환경은 체인 전체가 패치된 버전으로 한 번에 올려야 합니다. KrCERT 공지에는 체인 외 Path Traversal(CVE-2026-96651)도 함께 포함되어 있습니다.
CVE-2026-110936 — Siemens Software Center
Uncontrolled Search Path Element 취약점으로, 인증된 로컬 공격자가 애플리케이션이 탐색하는 디렉터리에 조작된 DLL을 배치해 해당 애플리케이션 권한으로 임의 코드를 실행할 수 있습니다. EPSS 0.3%로 원격 대량 익스플로잇 성격은 낮지만, 엔지니어링 워크스테이션의 로컬 권한 상승 경로로 유효합니다. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
- PHP 제품 보안 업데이트 권고 — Improper Handling of Exceptional Conditions(CVE-2026-109618)와 Use After Free(CVE-2026-109619) 두 건을 해결한 업데이트입니다. 국내 웹 서비스 상당수가 PHP 기반이며, CISA가 별도 경고를 낼 만큼 파급이 큰 이슈입니다. 공지 보기
- Ahsay 제품 보안 업데이트 권고 — AhsayCBS의 Improper Authentication(CVE-2026-105133)과 OS Command Injection(CVE-2026-105134). 백업 솔루션은 전 시스템 자격증명이 집중되는 지점이라 침해 시 파급이 큽니다. 공지 보기
- F5 제품 보안 업데이트 권고 — NGINX Plus, NGINX Open Source에서 발생하는 Heap-based Buffer Overflow(CVE-2026-15176) 등. 리버스 프록시·게이트웨이 계층 전반에 영향이 갈 수 있어 버전 확인이 필요합니다. 공지 보기
- Plex 제품 보안 업데이트 권고 — Path Traversal(CVE-2026-96651), SSRF(CVE-2026-96652) 등 KEV 등재 체인을 포함합니다. 개인용 미디어 서버를 사내망에 둔 경우도 대상입니다. 공지 보기
- Adobe 제품 보안 업데이트 권고 — Acrobat, Acrobat Reader, Acrobat 2024의 Out-of-bounds Write(CVE-2026-81983). 문서 뷰어는 국내 공공·금융 단말에 광범위하게 설치되어 있습니다. 공지 보기
- Vercel 제품 보안 업데이트 권고 — Next.js의 Use After Free(CVE-2026-96889). 국내 프론트엔드/SSR 스택에서 점유율이 높아 배포 파이프라인 단위 확인이 필요합니다. 공지 보기
- 사이버이메지네이션 제품 보안 업데이트 권고 — 국산 제품 D-Bridge에서 외부를 통한 내부 관리자 경로 접근이 가능한 취약점. 영향받는 버전 1.4 미만, 해결 버전 2.5 이상으로 메이저 점프가 필요합니다. 공지 보기
KNVD 국내 취약점 정보(krVuln)는 오늘 신규 항목이 없습니다.
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| virtualenv | pip | high | < 21.14.9 | 21.14.9 |
| Pillow | pip | critical | >= 2.6.0, < 13.0.0 | 13.0.0 |
| Pillow | pip | critical | >= 2.0.0, < 13.0.0 | 13.0.0 |
| Pillow | pip | high | <= 12.3.0 | 13.0.0 |
| Pillow | pip | high | >= 5.1.0, < 13.0.0 | 13.0.0 |
| Pillow | pip | high | >= 8.1.0, < 13.0.0 | 13.0.0 |
| pillow | pip | high | >= 4.1.0, < 13.0.0 | 13.0.0 |
| Pillow | pip | high | >= 5.1.0, < 13.0.0 | 13.0.0 |
| Pillow | pip | high | >= 7.2.0, < 13.0.0 | 13.0.0 |
| Pillow | pip | high | <= 12.3.0 | 13.0.0 |
| pillow | pip | high | >= 12.0.0, < 13.0.0 | 13.0.0 |
| pillow | pip | high | >= 10.0.0, < 13.0.0 | 13.0.0 |
| Pillow | pip | high | <= 12.3.0 | 13.0.0 |
Pillow는 12건이 한꺼번에 공개되었고, 그중 Ghostscript 호출 인자 삽입(CVE-2026-112900)은 RCE로 이어질 수 있는 critical입니다. TIFF 저장 경로 힙 버퍼 오버플로(CVE-2026-112393)도 함께 포함되어 있어, 13.0.0 미만을 쓰는 파이프라인은 폭넓게 노출됩니다. 이미지 업로드를 사용자에게 받는 서비스라면 디코더 계열(MSP/TIFF/APNG) 결함까지 포함해 업그레이드 우선순위를 높게 잡으십시오.
🧩 주요 스택 관련
- Google Chrome (156.0.8078.47 미만) — 오늘 스택 매칭의 대부분을 차지합니다. Browser, CSS, Paint, PDFium, HID, Bluetooth, GPU, Turbolev 등 전 영역에 걸쳐 Use After Free·Memory corruption·Out of bounds read가 다수 보고되었습니다(CVSS 8.8, 다수가 sandbox 내 임의 코드 실행). 원격 공격자가 조작된 HTML 페이지만으로 트리거할 수 있으므로, 브라우저 자동 업데이트 정책과 확장 프로그램 최소화를 함께 점검하십시오. CVE-2026-113011은 Windows 환경(CredentialProvider)에 해당합니다.
- PHP — CVE-2026-109618 / CVE-2026-109619는 국내 공지와 CISA 경고에 동시 등장한 최우선 항목입니다. 세부 영향 버전과 패치 버전은 KrCERT 공지의 영향받는 제품 표를 확인해야 하며, 웹 요청을 처리하는 모든 PHP 설치가 대상이라는 점이 핵심입니다. 상세는 아래 위협 동향을 참고하십시오.
- NGINX / Next.js — NGINX Plus·Open Source의 Heap-based Buffer Overflow(CVE-2026-15176 등), Next.js의 Use After Free(CVE-2026-96889)가 국내 공지로 올라왔습니다. 두 제품 모두 애플리케이션 앞단과 프론트엔드 빌드에 흔히 쓰이므로, 컨테이너 베이스 이미지·lockfile 단위로 버전을 고정해 확인하는 편이 빠릅니다.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-111832 | 10.0 | — | WordPress WP Mailster(1.9.1.0 이하) 위험한 파일 업로드 — 웹쉘 업로드 가능 |
| CVE-2026-105944 | 10.0 | — | Apache Pulsar Manager 웹 콘솔 권한/인증 처리 결함 |
| CVE-2026-111813 | 10.0 | — | Apache Traffic Server magick 플러그인, 비인증 클라이언트가 ImageMagick 인자 제어(기본 설정) |
| CVE-2026-101809 | 10.0 | 0.5% | Oracle E-Business Suite Workflow Notification Mailer, 비인증 네트워크 공격(12.2.3–12.2.15) |
| CVE-2026-91216 | 10.0 | 0.5% | Oracle SOA Suite Fabric Layer, 비인증 T3/IIOP 공격(12.2.1.4.0, 14.1.2.0.0) |
| CVE-2026-87337 | 10.0 | 0.4% | Oracle Access Manager Authentication Engine, 비인증 HTTP 공격 |
| CVE-2026-81212 | 10.0 | 0.3% | IBM DataStage(Cloud Pak for Data 5.4.0.0) 비인증 Redis 임의 쓰기 — 테넌트 캐시 오염 |
| CVE-2026-91299 | 10.0 | 0.4% | Oracle JD Edwards EnterpriseOne Orchestrator, 비인증 HTTP 공격(9.2.0.0–9.2.26.5) |
Oracle 제품군 CVE가 대량 게시되었지만 EPSS는 0.3~0.5% 수준으로 아직 낮고, 패치 공개 직후의 통상적 분포를 보입니다. 다만 인터넷에 직접 노출된 E-Business Suite·SOA Suite·Access Manager는 인증 없이 도달 가능하다는 점을 전제로 노출면을 먼저 줄이는 것이 현실적입니다. 반면 WP Mailster(CVE-2026-111832)는 웹쉘 업로드로 직결되므로 WordPress 운영 사이트라면 플러그인 버전 확인이 급합니다.
🌐 위협 동향
- PHP “php2shell” 긴급 패치 권고 (CISA) — CVE-2026-109618·CVE-2026-109619는 PHP에서 비인증 원격 코드 실행을 허용하며, 웹 요청을 서비스하는 모든 PHP 설치에 영향을 줍니다. CISA가 개별 경고문을 발행할 정도로 광범위한 영향이 예상됩니다. 원문
- SANS ISC infoCon YELLOW 상향 — PHP의 광범위한 사용, 예상 심각도(CVSS 9.4), 그리고 패치 공개 이전 PoC 익스플로잇 유통 정황을 근거로 위협 수준이 상향되었습니다. “패치 전 PoC"라는 점이 실질 위험을 크게 끌어올립니다. 원문
- #StopRansomware: SafePay 랜섬웨어 — 2024년 8월 이후 기업과 핵심 인프라를 겨냥해 활발히 활동 중인 그룹에 대한 합동 권고입니다. 침해 지표와 TTP가 정리되어 있으니 백업 격리·복구 리허설 관점에서 검토할 가치가 있습니다. 원문
- ICS/OT 권고 연속 발행 (Hitachi Energy, Moxa, HMS Networks) — Hitachi Energy MicroSCADA X SYS600·RTU500, Moxa AIG-302 ThingsPro Edge, HMS Networks PEAK-System PCAN Windows 드라이버(Windows 커널 크래시 유발) 관련 권고가 함께 올라왔습니다. 산업 제어·차량 진단 인접 환경을 운영한다면 제조사 조치 지침을 우선 확인하십시오. Hitachi SYS600 · Moxa · HMS Networks
오늘의 체크포인트
- PHP 즉시 패치 — CVE-2026-109618·CVE-2026-109619는 CISA 긴급 권고 + ISC infoCon YELLOW + 패치 전 PoC 정황까지 겹친 오늘의 최우선 항목입니다. KrCERT 공지의 영향 버전 표를 확인하고, 웹 요청을 처리하는 모든 PHP 런타임(컨테이너 이미지 포함)을 최신 버전으로 올리십시오.
- Plex Media Server 체인 4건 패치 — CVE-2026-96652/96654/96655/96656이 실제 악용으로 KEV에 등재되었습니다. 인터넷 노출 여부를 확인하고, 노출되어 있다면 패치 전까지 접근을 차단하는 것을 우선 검토하십시오.
- Pillow 13.0.0 업그레이드 — Critical 2건(Ghostscript 인자 삽입, TIFF 저장 힙 오버플로)을 포함한 12건이 일괄 공개되었습니다. 사용자 업로드 이미지를 처리하는 서비스는 디코더 계열 DoS까지 포함해 함께 반영하십시오.
- Chrome·NGINX·Next.js·Acrobat 업데이트 — 각각 다수의 sandbox 내 코드 실행, 버퍼 오버플로, UAF, OOB write가 확인되었습니다. 브라우저/프록시/프론트엔드/문서 뷰어는 배포 채널이 다르므로 담당별로 나눠 확인하는 편이 누락을 줄입니다.
오늘의 한 줄 정리: PHP 비인증 RCE(php2shell)가 최우선이며, Plex 4건 체인의 KEV 등재와 Pillow 12건 패치가 그 뒤를 잇는 하루입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.