오늘은 PHP 세션 처리 원격 코드 실행 이슈(PHP2Shell 계열)가 국내외에서 동시에 조치 권고로 올라온 하루입니다. KrCERT는 PHP 신규 취약점(CVE-2026-115560)에 대해 아직 보안 업데이트가 없는 상태의 임시 조치를 권고했고, SANS ISC는 php2shell 악용 가능성을 다룬 diary를 연이어 게시하며 Infocon 경보를 띄웠다가 정상으로 복귀했습니다. CISA KEV에는 Arista VeloCloud Orchestrator(SQL Injection)와 Collabora Online CODE Server(OS Command Injection) 2건이 신규 등재됐습니다. 수집 오류(errors)는 없었습니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-114625 — Arista VeloCloud Orchestrator SQL Injection
온프레미스로 운영하는 Arista VeloCloud Orchestrator(VCO)에서 발생하는 SQL Injection으로, 원격 공격자가 내부 권한 기능에 접근해 orchestrator 호스트와 데이터 관리 계층의 기밀성·무결성·가용성에 영향을 줄 수 있습니다. 랜섬웨어 캠페인 사용 여부는 Unknown으로 확인되지 않았고, EPSS 0.6%(46 백분위)입니다. SD-WAN 제어 평면(orchestrator)이 노출 대상이므로, 온프레미스 VCO를 운영 중이라면 관리 인터페이스 노출 제한과 벤더 패치 적용 상태를 우선 확인해야 합니다. NVD
CVE-2026-110447 — Collabora Online – Built-in CODE Server OS Command Injection
NextCloud 플랫폼에서 Collabora Online 내장 CODE Server를 사용할 때, CODE 서버가 실행 중이 아닌 상태에서 원격 코드 실행으로 이어질 수 있는 OS 명령 주입 취약점입니다. 랜섬웨어 사용 여부는 Unknown, EPSS 1.2%(69 백분위)로 오늘 KEV 항목 중 상대적으로 악용 확률이 높게 산정됐습니다. 문서 협업 서버는 사내·기관에서 널리 쓰이므로, NextCloud + Collabora 조합 운영자는 CODE Server 버전과 배포 형태를 점검하고 패치를 적용하세요. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
- PHP 신규 취약점(CVE-2026-115560) 임시 조치 권고 — PHP 개발팀이 세션 처리 과정의 원격 코드 실행 취약점에 대해 보안 업데이트가 아직 배포되지 않은 상태에서 임시 조치 방안을 발표했습니다. 영향 버전·패치 정보는 추후 공지 시 갱신 예정이므로, PHP 기반 서비스 운영자는 해결 방안(임시 설정)을 지금 적용해야 합니다. 공지 보기
- PHP 보안취약점(PHP2Shell) 관련 기업 보안 대응 수칙 — 로그인 없이 외부에서 서버 명령을 실행할 수 있는 치명적 취약점(CVE-2026-109618, CVE-2026-109619, CVSS 9.2)으로, 패치 배포 전 정보가 유출돼 해외 보안업체 중심으로 공격 시도가 보고되고 있습니다. 성공 시 웹셸 설치·고객정보 유출·홈페이지 변조·내부망 침투로 이어질 수 있어, PHP 사용 기관은 대응 수칙에 따른 즉시 조치가 필요합니다. 공지 보기
- Node.js 제품 보안 업데이트 권고 — OpenJS 재단이 NUL 바이트 관련 취약점(CVE-2026-105482)과 인증서 호스트 불일치 검증 취약점(CVE-2026-105483 등)을 해결한 업데이트를 발표했습니다. Node.js 런타임은 국내 백엔드 서비스에 광범위하게 쓰이므로 최신 버전 적용을 권고합니다. 공지 보기
- Laravel 제품 보안 업데이트 권고 — Laravel Framework의 Improper Authentication 취약점(CVE-2026-114509)에 대한 업데이트가 배포됐습니다. 국내 PHP 진영에서 점유율이 높은 프레임워크인 만큼 신속한 버전 확인이 필요합니다. 공지 보기
- GitLab 제품 보안 업데이트 권고 — GitLab CE/EE에서 Integer Overflow or Wraparound 취약점(CVE-2026-110264, CVE-2026-93577)이 해결됐습니다. 사내 형상관리 서버로 GitLab을 운영하는 조직은 다수이므로 업데이트 대상입니다. 공지 보기
- Fortinet 제품 보안 업데이트 권고 — FortiSIEM에서 Path Traversal 취약점(CVE-2026-106173)이 해결됐습니다. 보안 장비 자체가 공격 대상이 될 수 있어 관리 인터페이스 노출 여부와 함께 점검할 것을 권합니다. 공지 보기
- Oracle 제품 보안 업데이트 권고 — Oracle Java SE, GraalVM for JDK, GraalVM Enterprise Edition에서 eMudhra 중간 CA 인증서 신뢰 취약점(CVE-2026-91403)이 해결됐습니다. Java 기반 서버 애플리케이션은 신뢰 체계 문제이므로 JDK 업데이트를 검토하세요. 공지 보기
- 美 CISA 발표 주요 Exploit 정보공유(Update. 2026-10-23) — CISA가 실제 악용 중인 취약점 목록을 갱신하며 Collabora Online CODE Server(CVE-2026-110447) 등을 포함했습니다. 국내에서도 협업 서버·SD-WAN 장비 운영자는 동일 항목 해당 여부를 확인해야 합니다. 공지 보기
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| virtualenv | pip | high | < 21.14.9 | 21.14.9 |
| virtualenv | pip | high | < 21.14.9 | 21.14.9 |
| @azure/msal-node | npm | high | >= 5.0.0-beta.0, < 7.1.0 | 7.1.0 |
| undici | npm | high | >= 6.23.0, < 6.29.1 | 6.29.1 |
| multer | npm | high | >= 2.0.0, < 2.5.0 | 2.5.0 |
| happy-dom | npm | high | >= 17.0.0, <= 21.0.3 | 21.0.4 |
| filelock | pip | high | >= 3.20.4, <= 4.2.0 | 4.2.1 |
| pillow | pip | critical | <= 12.3.0 | 13.0.0 |
| postal-mime | npm | high | >= 3.0.0, < 4.0.8 | 4.0.8 |
| laravel/framework | composer | critical | >= 13.0.0, < 13.29.0 | 13.29.0 |
| vllm | pip | high | >= 0.7.3, < 0.31.0 | 0.31.0 |
| pypdf | pip | high | < 6.21.2 | 6.21.2 |
| pypdf | pip | high | < 6.21.2 | 6.21.2 |
| pypdf | pip | high | < 6.21.2 | 6.21.2 |
| electron | npm | high | >= 45.0.0-alpha.1, < 45.0.0-beta.6 | 45.0.0-beta.6 |
오늘 표에서 가장 눈에 띄는 것은 Pillow(critical, FlashPix JPEG 디코딩 힙 버퍼 오버플로 → 코드 실행) 와 laravel/framework(critical, Tokenguard 인증 우회) 입니다. 이미지 업로드 경로가 있는 서비스는 Pillow 13.0.0, Laravel 13.29.0으로의 업데이트 우선순위를 높이세요. undici·multer·@azure/msal-node는 Node.js 서버 스택에서 흔히 쓰이는 의존성이므로 lockfile 기준 일괄 점검을 권합니다.
🧩 주요 스택 관련
Node.js 런타임 (HIGH 다수) — dns.resolve*()/dns.reverse()에서 NUL 바이트로 호스트명이 잘리는 문제(CVE-2026-105482, CVE-2026-48930의 불완전 수정), 전각/비정규 IPv4 리터럴 사용 시 tls.checkServerIdentity()가 다른 IP를 검증하는 문제(CVE-2026-105483, CVE-2026-106069)가 함께 공개됐습니다. TLS 검증 우회 계열이므로 Node.js 런타임을 최신 패치 버전으로 올리고, 사용자 입력 호스트명을 그대로 DNS/TLS 검증에 넘기는 코드 경로를 재점검하세요.
Linux kernel (미평가 다수) — ksmbd teardown 시 stale channel 제거, crypto: ccp SEV 초기화 실패 경로 deadlock, freevxfs의 BUG() 유발, nf_conntrack_expect 할당 시 zeroing 누락(ctnetlink을 통한 커널 정보 유출 가능성), iwlwifi WoWLAN WARN, nouveau GSP SEC2 테이블 누락, host1x teardown null check 등이 게시됐습니다. 이들은 CVSS 미평가 상태이므로 점수보다 배포판(커널 stable/배포판 백포트) 업데이트 여부로 판단하는 편이 안전합니다. 특히 netfilter zeroing 누락은 정보 노출 측면에서 커널 업데이트 대상입니다.
PHP 애플리케이션 (HIGH) — Craft CMS(CVE-2026-115938)에서 인증된 CP 사용자가 Twig 샌드박스를 우회해 프로퍼티 조회를 반복 수행할 수 있고, baserCMS는 권한 파일 부재 시 와일드카드 허용 규칙이 기록되는 문제(CVE-2026-115481)와 BcThemeFile 경로 검증·rawurldecode 우회(CVE-2026-114622, CVE-2026-114624)가 함께 나왔습니다. baserCMS는 5.3.2 / 5.4.2 이상으로, Craft CMS는 벤더 패치 적용을 확인하세요.
PostgreSQL 백업 도구 (HIGH) — pghoard 2.7.2 이전 버전에서 경로 탈출 불완전 수정으로, 백업 오브젝트 스토리지(S3/GCS/Azure)에 쓰기 권한이 있는 공격자가 임의 파일 쓰기·삭제를 수행할 수 있습니다(CVE-2026-63120). 백업 버킷 접근 권한을 최소화하고 2.7.2 이상으로 올리세요.
Docker / 컨테이너 도구 — @rog0x/mcp-docker-tools 1.0.1의 handleImageList를 통한 임의 코드 실행(CVE-2026-106765), PraisonAI의 파일 연산 shell 문자열 조합(CVE-2026-57117, CVE-2026-57116)이 보고됐습니다. 에이전트/MCP 도구는 권한이 큰 만큼 신뢰 경계 안에서만 실행하세요.
Part-DB (docker, php) — 첨부 업로드 시 클라이언트 제공 확장자를 그대로 사용하고 차단 목록에 phar가 없어 2.12.1 이전에서 코드 실행이 가능한 경로가 존재합니다(CVE-2026-54630). 컨테이너로 운영 중이라면 즉시 2.12.1 이상으로 업데이트하세요.
Android / DJI CrystalSky ZS600C — 펌웨어 v0.3.9.7~v0.6.6.9 구간에서 root 권한 daemon의 미인가 바인더 호출(CVE-2026-114354, CVE-2026-114356), hardware_monitor logcat 명령 주입(CVE-2026-114355), dji26656... 매직 스트링 백도어(CVE-2026-114353)가 확인됐습니다. 물리적 접근 또는 로컬 앱을 통한 권한 상승 경로이므로, 해당 장비는 신뢰할 수 없는 앱 설치를 금지하고 펌웨어 정책을 확인하세요.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-110063 | 10.0 | 0.9% | Azure Virtual Machines VM Inspector의 link following — 네트워크 경유 권한 상승 |
| CVE-2026-83938 | 10.0 | 0.7% | Azure Kubernetes Configuration Service의 치명 기능 인증 누락 — 권한 상승 |
| CVE-2026-97785 | 10.0 | 0.6% | AAD App Proxy 부적절 인증 — 네트워크 경유 권한 상승 |
| CVE-2026-53942 | 9.9 | — | conda update.yml GitHub Actions Pwn Request — issue_comment 트리거 악용 |
| CVE-2026-115889 | 9.9 | — | Wasmtime Cranelift SSA 인덱스 오버플로(36.0.19/43.0.0 미만) |
| CVE-2026-115893 | 9.9 | — | Wasmtime aarch64 br_table 잘못된 분기 대상(36.0.19/48.0.7/49.0.4 미만) |
| CVE-2026-54630 | 9.6 | 0.2% | Part-DB 첨부 업로드 phar 확장자 미차단 — 코드 실행(docker/php) |
| CVE-2026-112862 | 9.8 | 0.3% | WordPress Participants Database(≤2.7.8.5) 역직렬화 Object Injection |
참고로 ThemeREX/axiomthemes 계열 WordPress 테마 다수(Save Life, ZenSoul, Hostme v2, HotLock, Hallelujah 등)에서 동일 유형의 역직렬화 Object Injection이 9.8로 대량 게시됐습니다. CVSS는 높지만 EPSS는 낮은 편이므로, 해당 테마를 실제 사용 중인 사이트가 있는지 자산 목록으로 확인하는 접근이 효율적입니다. 위 10.0점 Azure 항목들은 CVSS만 보면 최상위지만 EPSS가 1% 미만이고 벤더 클라우드 서비스 측 완화가 선행될 수 있어, 온프레미스 자체 구성 요소가 아니면 실질 노출은 제한적일 수 있습니다.
🌐 위협 동향
- php2shell 악용 가능성 분석 (SANS ISC) — ISC는 php2shell 취약점의 실제 악용 가능성을 다룬 diary를 게시하며, 전일 보안 커뮤니티가 일제히 대응에 나섰던 상황을 정리했습니다. 단순 PoC 수준인지 실공격으로 이어지는지가 핵심 쟁점이며, PHP를 노출한 서비스는 Infocon 경보가 내려간 뒤에도 노출면 축소와 임시 조치를 유지할 것을 권합니다. 원문
- PHP 취약점 정리 및 Infocon 복귀 (SANS ISC) — ISC는 PHP 이슈로 상향했던 Infocon을 Green으로 되돌리며 “일상 업무로 복귀"를 선언했습니다. 경보 해제는 위협 소멸이 아니라 관측 종료에 가깝기 때문에, 자체 패치·완화 적용 여부를 이 시점에 다시 확인하는 것이 좋습니다. 원문
- CISA, Collabora/Arista KEV 등재 — CISA는 Collabora Online CODE Server OS 명령 주입(CVE-2026-110447)을 실제 악용 근거와 함께 KEV에 추가했습니다. 온프레미스 협업 서버와 SD-WAN orchestrator는 경계 장비에 준해 관리 접근을 제한하고 패치 일정을 앞당기세요. Collabora 공지 · Arista 공지
- Siemens ICS 권고 다수 게시 (CISA) — RUGGEDCOM CROSSBOW는 SQL 명령 실행·관리자 자격 증명 탈취·권한 상승으로 이어질 수 있는 다수 취약점이, SIMATIC S7-1500 CPU 1518 MFP는 GNU/Linux 서브시스템 취약점이 보고돼 일부 제품은 패치가 준비 중입니다. OT 환경은 즉시 패치가 어려운 경우가 많으므로 네트워크 분리와 접근 통제를 우선 적용하세요. 원문
오늘의 체크포인트
- PHP 서비스 임시 조치 적용 여부 확인 — CVE-2026-115560은 보안 업데이트가 아직 없습니다. KrCERT 권고의 임시 조치를 적용하고, PHP2Shell(CVE-2026-109618/109619) 대응 수칙에 따라 노출면 축소·웹셸 흔적 점검을 병행하세요.
- KEV 2건 대응 — Arista VeloCloud Orchestrator(온프레미스)와 Collabora Online CODE Server(NextCloud 연동) 사용 여부를 자산 목록에서 확인하고, 관리 인터페이스 노출 제한 + 패치 일정을 확정하세요.
- 패키지 의존성 일괄 업데이트 — Pillow 13.0.0, Laravel 13.29.0, undici 6.29.1, multer 2.5.0, @azure/msal-node 7.1.0, pypdf 6.21.2, filelock 4.2.1로 올리고 lockfile을 재생성하세요.
- Node.js / 커널 런타임 패치 — Node.js는 TLS 호스트명 검증 우회 계열(CVE-2026-105482/105483/106069)이 포함된 최신 버전으로, Linux 서버는 배포판 커널 업데이트 적용 여부를 확인하세요.
마무리
- 오늘의 한 줄 정리: 패치가 아직 없는 PHP 원격 코드 실행 이슈가 국내 권고와 해외 경보를 동시에 울린 하루 — 임시 조치와 노출면 축소가 최우선입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.