도입부
오늘은 CISA KEV 신규 등재가 없었고, 대신 인증 우회 계열의 Critical 취약점 3건이 NVD에 게시되었습니다. Snipe-IT(자산관리)와 Parse Server(백엔드 BaaS)의 인증 우회는 자체 호스팅 비중이 높은 소프트웨어라 노출된 인스턴스가 있다면 우선순위로 확인할 필요가 있습니다. 국내 KrCERT/KISA 공지와 GHSA 패키지 권고는 신규 건이 없었으며, CISA 캠페인 권고도 없어 관측 동향은 SANS ISC의 YARA-X 릴리스 노트 1건뿐입니다.
🚨 실제 악용 확인 (CISA KEV)
오늘 KEV 신규 등재 없음.
🇰🇷 국내 보안공지 (KrCERT/KISA)
오늘 신규 공지 없음.
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음.
🧩 주요 스택 관련
CVE-2026-115251 — Duplicator (WordPress 플러그인)
5.0.0 이전 버전에서 one-click upgrade 루틴이 설치 권한 보유자로 제한되지 않고, 인증 없이도 해당 루틴에 접근할 수 있습니다. 멀티사이트 환경에서 네트워크 관리자가 아닌 하위 사이트 관리자가 이를 악용할 수 있는 구조로, WordPress 멀티사이트를 운영한다면 플러그인을 5.0.0 이상으로 올리고 하위 사이트 관리자 계정 권한을 재점검하세요. CVSS는 아직 미평가(EPSS 0.2%, 백분위 7)입니다. NVD
CVE-2026-116171 — SiYuan (Windows)
3.5.4 이상 3.8.7 미만의 Windows 빌드에서 IsSensitivePath의 민감 경로 차단 목록이 우회됩니다. Windows 확장 길이 접두사(\\?\)가 filepath.Clean을 통과하면서 금지 접두사 어디에도 매칭되지 않아, 인증된 API 호출자가 /api/import/importStdMd의 localPath에 접두사를 붙여 민감 파일을 복사할 수 있습니다. Windows에서 SiYuan을 노출된 환경에 두고 쓰는 경우 3.8.7로 업데이트하고, 신뢰할 수 없는 사용자에게 API 접근을 허용하지 마세요. NVD
CVE-2026-116204 — YesWiki
4.7.0 이전 버전의 despam 액션(tools/security/actions/despam.php)에 CSRF 취약점이 있어, 공격자가 위키 페이지에 자동 제출 HTML 폼을 심어두면 관리자 세션을 통해 인증 없이 페이지를 삭제하거나 복원할 수 있습니다. PHP 기반 위키를 운영 중이라면 4.7.0으로 업데이트하고, 관리자 계정으로 외부 페이지를 열람하는 상황을 피하세요. NVD
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-115995 | 9.4 | 1.4% (백분위 72) | Unitree Go2 1.1.11.4 이하 — chat_go 컴포넌트의 gpt_thread.py set_volume 인자 조작으로 원격 OS command injection |
| CVE-2026-116199 | 9.2 | — | Snipe-IT 8.6.3 이전 — GoogleAuthController::handleGoogleCallback에서 activated 플래그 미검증, 비활성 사용자가 Google 계정으로 로그인 가능 |
| CVE-2026-116163 | 9.1 | — | Parse Server 8.6.102 미만 / 9.0.0~9.10.5-alpha.2 — 커스텀 AuthAdapter 서브클래스의 validate* 메서드가 호출되지 않아 임의 authData 수용 |
세 건 모두 인증 경계와 직접 관련된 유형입니다. 특히 Snipe-IT과 Parse Server는 인증 우회만으로 내부 데이터에 접근할 수 있어, 외부에 공개된 인스턴스라면 패치 전까지 접근 제어(WAF/리버스 프록시 인증)를 겹쳐 두는 편이 안전합니다.
🌐 위협 동향
YARA-X 1.22.0 릴리스 (SANS ISC)
SANS ISC는 YARA-X 1.22.0 릴리스 소식을 전했습니다. 개선 11건과 버그 수정 9건이 포함된 정기 릴리스로, 탐지 룰 엔진을 운영 파이프라인에 넣어 쓰는 팀이라면 룰 컴파일 동작 변화 여부를 확인할 만합니다. 보안 이벤트 자체는 아니지만 룰셋 회귀 테스트를 돌려볼 좋은 시점입니다. 원문
CISA 신규 권고/캠페인 분석 자료는 오늘 수집분에 없습니다.
오늘의 체크포인트
- Snipe-IT: 8.6.3 미만 사용 여부 확인 후 업그레이드. Google 로그인을 쓰는 환경이라면 비활성(deactivated) 계정 중 이메일 형태 username을 가진 계정의 로그인 이력을 함께 점검하세요.
- Parse Server: 8.6.102 이상 또는 9.10.5-alpha.2 이상으로 패치. 커스텀
AuthAdapter서브클래스를 직접 구현해 쓰고 있다면 validate 계열 메서드가 실제로 호출되는지 코드 레벨에서 확인이 필요합니다. - WordPress + Duplicator: 5.0.0 미만이면 즉시 업데이트. 멀티사이트에서 하위 사이트 관리자 권한을 가진 계정 목록을 확인하세요.
- Unitree Go2 / SiYuan(Windows): 관리 콘솔·API가 인터넷에 직접 노출되어 있지 않은지 확인하고, 노출되어 있다면 패치 적용 전까지 네트워크 접근을 제한하세요.
마무리
- 오늘의 한 줄 정리: KEV 신규는 없지만 인증 우회 Critical 3건이 몰려 나온 날 — 자체 호스팅 자산관리·BaaS·CMS부터 버전을 확인하세요.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.