도입부
오늘의 최대 화두는 PHP 세션 처리 과정의 원격 코드 실행 취약점(CVE-2026-115560, 일명 “php2shell”)입니다. 패치가 아직 배포되지 않은 상태로 KrCERT가 임시 조치를 권고했고, SANS ISC는 Infocon을 Alert로 올렸다가 하루 만에 Green으로 되돌릴 만큼 광범위한 관심을 받았습니다. 동시에 CISA KEV에 Arista VeloCloud Orchestrator와 Collabora Online CODE Server 2건이 신규 등재되어, 관리 평면(on-prem orchestrator)과 자체 호스팅 문서 서버가 실제 공격 표적이 되고 있습니다. 수집 실패한 소스는 없습니다(errors 없음).
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-114625 — Arista VeloCloud Orchestrator
on-premises VeloCloud Orchestrator(VCO)에 존재하는 SQL Injection 취약점으로, 원격 공격자가 내부 권한 기능에 접근해 VCO 호스트에 영향을 줄 수 있습니다. 성공 시 orchestrator와 데이터 관리 평면의 기밀성·무결성·가용성이 모두 훼손될 수 있어, SD-WAN 관리 인프라 운영자에게 특히 위험합니다. 랜섬웨어 캠페인 사용 여부는 Unknown, EPSS 0.8%(백분위 57). 노출된 VCO 관리 인터페이스의 접근 통제를 우선 점검하고 벤더 완화/패치 지침을 적용하세요. NVD
CVE-2026-110447 — Collabora Online – Built-in CODE Server
Nextcloud 플랫폼과 함께 사용되는 Collabora Online의 Built-in CODE Server에서 OS 명령 주입 취약점이 확인되었습니다. CODE server가 실행 중이 아닌 상태에서 원격 코드 실행으로 이어질 수 있다는 점이 특징입니다. 랜섬웨어 사용 여부는 Unknown, EPSS 2.3%(백분위 83)로 오늘 KEV 2건 중 상대적으로 높은 편입니다. 자체 호스팅 Nextcloud + Collabora 조합을 운영 중이라면 CODE Server 버전과 컨테이너 노출 범위를 확인하세요. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
- PHP 신규 취약점(CVE-2026-115560) 임시 조치 권고 — PHP 세션 처리 과정에서 발생하는 원격 코드 실행 취약점으로, 보안 업데이트가 아직 배포되지 않아 영향받는 설정 사용자는 해결 방안에 따른 임시 조치가 필요합니다. 국내 웹 서비스 상당수가 PHP 기반이므로 우선순위가 가장 높습니다. 공지 보기
- Node.js 제품 보안 업데이트 권고 — Improper Neutralization of Null Byte(CVE-2026-105482), 인증서 host mismatch 검증 취약점 등이 해결된 최신 버전 업데이트를 권고합니다. Node.js 런타임을 쓰는 서버·CI 환경은 버전 확인이 필요합니다. 공지 보기
- Laravel 제품 보안 업데이트 권고 — Laravel Framework의 Improper Authentication 취약점(CVE-2026-114509)을 해결한 보안 업데이트가 발표되었습니다. 국내 SI/스타트업에서 널리 쓰이는 프레임워크로, 인증 우회 가능성이 있어 신속한 업데이트가 권장됩니다. 공지 보기
- Oracle 제품 보안 업데이트 권고 — Oracle Java SE, GraalVM for JDK/Enterprise Edition에서 eMudhra 중간 CA 인증서 신뢰 취약점(CVE-2026-91403)이 해결되었습니다. 공공기관·금융권 Java 기반 서버 애플리케이션은 JDK 패치 적용 여부를 확인하세요. 공지 보기
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| virtualenv | pip | High | < 21.14.9 | 21.14.9 |
| virtualenv | pip | High | < 21.14.9 | 21.14.9 |
| @azure/msal-node | npm | High | >= 5.0.0-beta.0, < 7.1.0 | 7.1.0 |
| undici | npm | High | >= 6.23.0, < 6.29.1 | 6.29.1 |
| multer | npm | High | >= 2.0.0, < 2.5.0 | 2.5.0 |
| happy-dom | npm | High | >= 17.0.0, <= 21.0.3 | 21.0.4 |
특히 주목할 것은 undici(Node.js 내장 fetch 계열 HTTP 클라이언트로 광범위하게 사용)의 과도한 content-encodings 처리 시 DoS, 그리고 multer(Express 파일 업로드 미들웨어)의 요청 teardown 후 비동기 fileFilter 잔존으로 인한 DoS입니다. 두 패키지 모두 요청 처리 경로에 깊숙이 들어가 있어, 외부 입력을 받는 Node.js 서비스라면 패치 버전 적용을 서두르는 편이 좋습니다. @azure/msal-node는 authorization code flow에서 파라미터가 공격자 제어 엔드포인트로 노출될 수 있어 인증 관련 코드를 쓰는 경우 확인이 필요합니다.
🧩 주요 스택 관련
- PHP — Prime Mover(WordPress 플러그인) PHP Object Injection (CVE-2026-115806, CVSS 9.8): 2.2.1 이하 버전의 마이그레이션 search-and-replace 루틴(recursiveUnserializeReplace())에서 신뢰할 수 없는 입력 역직렬화로 객체 주입이 가능하며, 비인증 공격자가 악용할 수 있습니다. WordPress 사이트 운영자는 즉시 플러그인 버전을 확인하고 제거 또는 업데이트하세요.
- PHP — Craft CMS element-search sandbox 우회 (CVE-2026-115938, CVSS 8.7): 인증된 컨트롤 패널 사용자가 element selector를 sandboxed Twig 템플릿으로 평가받게 할 수 있고, allowed column filter가 Yii ArrayHelper로 속성 조회를 위임해 Twig SecurityPolicy를 우회합니다. Craft CMS 관리자 계정 권한을 최소화하고 최신 패치 버전을 적용하세요.
- PHP — GeoDirectory(WordPress) 코드 생성 경로 RCE (CVE-2026-113673, CVSS 7.2): 2.8.194 미만에서 관리자 정의 텍스트가 생성 PHP 파일로 이스케이프 없이 기록되어, 멀티사이트의 subsite 관리자 권한으로 원격 코드 실행이 가능합니다. 멀티사이트 운영 환경은 특히 주의하세요.
- Node.js — GraphQL Scalars ReDoS (CVE-2026-115887, CVSS 7.5): 1.24.1부터 2.0.1 미만에서 GraphQLPhoneNumber가 중첩 수량자로 인해 지수적 백트래킹을 유발합니다. 전화번호 검증 스칼라를 GraphQL 스키마에 노출한 서비스는 2.0.1로 업데이트하세요.
- Node.js — Happy DOM import alias 코드 실행 (CVE-2026-115895, CVSS 8.8): 17.0.0~21.0.3에서 ESM named import alias 검증 누락으로 호스트 코드 실행이 가능하며, CVE-2026-33943의 불완전 패치 건입니다. 21.0.4로 업데이트하세요.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-115893 | 9.9 | 0.8% | Wasmtime Cranelift(aarch64)의 br_table 조건 분기 대상 오계산 — 36.0.19/48.0.7/49.0.4 미만 |
| CVE-2026-115889 | 9.9 | 0.7% | Wasmtime Cranelift SSA 인덱스 비트패킹 오버플로 — 36.0.19/43.0.0 미만 |
| CVE-2026-115806 | 9.8 | 0.8% | Prime Mover(WordPress) 비인증 PHP Object Injection — 2.2.1 이하 |
| CVE-2026-115931 | 9.9 | 0.6% | Postiz 내부 helper 함수 무제한 호출로 권한 경계 붕괴 |
| CVE-2026-115932 | 9.6 | 미평가 | Postiz 게시물 media path 검증 누락 — 업로드 디렉터리 외 파일 접근 |
| CVE-2026-110956 | 9.8 | 0.2% | asVereinbase(WordPress) 인증 우회 — 빈 저장값을 일치로 처리해 관리자 로그인 가능 |
| CVE-2026-114820 | 9.1 | 미평가 | Oracle Java SE/GraalVM JSSE — JDK 8u511, 11.0.33, 17.0.21, 21.0.13 등 다수 버전 영향 |
| CVE-2026-115557 | 9.4 | 미평가 | Python ssl 모듈 compromised certificate denylist 추가 관련 결함 |
WordPress 플러그인 계열(Prime Mover, asVereinbase)은 CVSS는 높지만 EPSS가 0.2~0.8%로 아직 낮은 편이며, 관리자 인증 우회·객체 주입 특성상 대규모 스캔이 시작되면 급등할 수 있어 선제 대응이 유리합니다.
🌐 위협 동향
- CISA, Collabora CODE Server 취약점 KEV 등재 — CISA는 실제 악용 증거를 근거로 CVE-2026-110447을 KEV 카탈로그에 추가했습니다. OS 명령 주입은 공격자들이 즐겨 쓰는 벡터로, 자체 호스팅 협업 서버가 노출형 서비스라는 점이 위험 요인입니다. 원문
- CISA, Arista VeloCloud Orchestrator SQL Injection KEV 등재 — CVE-2026-114625가 동일자로 KEV에 추가되었습니다. SQL Injection은 여전히 빈번한 공격 벡터이며 관리 평면(orchestrator) 침해는 네트워크 전체 장악으로 이어질 수 있습니다. 원문
- ISC — php2shell exploitability 분석 — SANS ISC는 PHP 취약점의 실제 악용 가능성(exploitability)을 집중 분석했습니다. 공개 직후 보안 커뮤니티 전체가 대응에 나섰을 만큼 파급이 컸던 사안으로, PoC 신뢰도와 조건부 악용 가능성을 구분해 볼 필요가 있습니다. 원문
- ISC — PHP 취약점 대응 마무리(Infocon Green 복귀) — ISC는 상황 종료 후 Infocon을 Green으로 되돌리며, 이제는 “business as usual"로 돌아가되 패치 적용은 계속 챙길 것을 권고했습니다. 임시 조치만 적용한 환경은 정식 패치 공개 시점을 추적해야 합니다. 원문
오늘의 체크포인트
- PHP(CVE-2026-115560) 임시 조치 적용 여부 확인 — 정식 업데이트가 없으므로 KrCERT 권고의 완화 설정을 적용하고, 세션 처리 경로가 외부에 노출된 서비스부터 점검하세요.
- 자체 호스팅 Nextcloud + Collabora CODE Server 점검 — KEV 등재 취약점(CVE-2026-110447)으로 실제 악용이 확인된 만큼 관리 인터페이스 노출 범위를 최소화하세요.
- on-prem VeloCloud Orchestrator(SD-WAN) 접근 통제 검토 — CVE-2026-114625는 관리 평면 대상이며 KEV 등재 상태입니다. 외부 노출 여부와 권한 분리를 재확인하세요.
- Node.js 서비스 의존성 업데이트 — undici 6.29.1, multer 2.5.0, @azure/msal-node 7.1.0, happy-dom 21.0.4로 올리고 Node.js 런타임 자체도 KrCERT 권고 버전으로 맞추세요.
마무리
- 오늘의 한 줄 정리: 아직 패치가 없는 PHP RCE(php2shell)가 최대 이슈이고, KEV에는 관리 평면과 셀프호스팅 협업 서버 취약점 2건이 새로 올라 실공격 표적이 뚜렷해졌습니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.