PHP 코어에서 원격 코드 실행(RCE)으로 이어지는 취약점 2건이 CISA KEV에 등재되며 오늘 가장 무거운 뉴스를 만들었습니다. 두 건 모두 인증 없이 악용 가능하고 EPSS가 최상위로 평가되어, PHP 기반 서비스를 운영하는 팀은 버전 확인이 시급합니다. 국내에서는 Google Brotli의 Out-of-bounds Write 취약점에 대한 KrCERT 보안공지가 올라왔고, 신규 Critical 19건 중에는 Kubernetes/CI 인프라와 SaaS형 서비스의 인증 우회가 다수 포함됐습니다. 수집 소스는 모두 정상 응답했으며 별도 오류는 없습니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-109618 — PHP Group / PHP
PHP에서 메모리 손상(out-of-memory corruption)을 유발해 인증 없이 원격 코드 실행이 가능한 취약점입니다. CISA는 별도 PHP 경보(Alert)를 함께 발표하며 즉시 패치를 권고했고, KEV 등재와 동시에 실제 악용이 확인된 상태입니다. 랜섬웨어 캠페인 연계 여부는 Unknown으로 명시되지 않았습니다. EPSS는 100%로 수집되어 사실상 악용 확률 최상위로 분류됩니다. 영향 환경은 PHP 런타임을 노출한 웹 서비스 전반이며, 조치 방향은 벤더 최신 패치 적용과 외부 노출 PHP-FPM/웹 엔드포인트 점검입니다. NVD
CVE-2026-109619 — PHP Group / PHP
PHP의 stale internal request-state(요청 상태 잔존) 문제로, 이 역시 인증 없이 원격 코드 실행으로 이어질 수 있습니다. CVE-2026-109618과 같은 날 KEV에 등재되어 동일 캠페인 또는 연속된 공격 시도의 일부일 가능성이 있습니다. 랜섬웨어 사용 여부는 Unknown, EPSS 100%로 평가됩니다. 요청 간 상태가 오염되는 유형이라 장수명 프로세스(예: 워커, 프리포크 모델) 환경에서 특히 주의가 필요합니다. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
Google 제품 보안 업데이트 권고 — Google Brotli에서 Out-of-bounds Write 취약점(CVE-2026-111497)이 확인되어 최신 버전 업데이트가 권고되었습니다. Brotli는 웹 서버·CDN·프록시 계층에서 압축 라이브러리로 광범위하게 쓰이므로, 국내 공공기관 및 서비스 환경의 리버스 프록시/정적 자산 파이프라인에서도 간접 영향 여부를 확인하는 것이 좋습니다. 영향받는 버전과 해결 버전은 공지 표를 참고하세요. 공지 보기
오늘 KNVD 국내 취약점 정보(krVuln) 신규 항목은 없습니다.
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음
🧩 주요 스택 관련
PHP 런타임 — 위 KEV 2건(CVE-2026-109618, CVE-2026-109619)이 PHP 코어 자체의 문제입니다. 운영자는 사용 중인 PHP 마이너 버전을 확인하고 벤더 패치를 최우선으로 적용하세요. 애플리케이션 레벨 완화는 사실상 제한적입니다.
PHP 애플리케이션 — Dolibarr / Mautic — Dolibarr ERP CRM 24.0.0 이전에서 htdocs/admin/tools/export.php의 OS 명령 주입(CVE-2026-116219, CVSS 8.6)이 allowlist 우회로 이어집니다. Mautic 7에서는 캠페인 가져오기 기능의 무제한 파일 업로드(CVE-2026-115188, CVSS 9.9)와 세그먼트 필터 처리의 PHP 객체 주입(CVE-2026-115190, CVSS 8.0)이 함께 보고됐습니다. Mautic은 공개 미디어 디렉터리로 파일이 복사되는 구조라 업로드 경로를 별도로 점검하는 편이 안전합니다.
Docker 기반 배포 — Mautic(CVE-2026-115188)과 boneIO black_debian_images(CVE-2026-77055, CVSS 9.3)가 docker 그룹/컨테이너 권한과 맞물립니다. boneIO는 boneio 계정에 무암호 sudo와 docker 그룹 권한을 부여해 로컬 권한 상승 경로가 되며 1.6.0에서 수정됐습니다. 컨테이너 호스트에서 docker 그룹 멤버십이 사실상 root 등가라는 점을 다시 확인하세요.
Kubernetes / IaC 인프라 — Consul-k8s 0.42.0 이상에서 네임스페이스 간 ACL 바인딩 우회(CVE-2026-110720, CVSS 9.9)가 2.1.0 / 1.8.18에서 수정됐고, Burrito(Terraform Automation Collaboration Software)는 0.13.0 이전에서 webhookSecret 미설정 시 서명되지 않은 GitHub/GitLab 이벤트를 수락합니다(CVE-2026-102649, CVSS 9.9). GitOps/CI 파이프라인 운영자는 webhook 시크릿 설정 여부를 즉시 확인해야 합니다.
Node.js / npm — systeminformation 5.33.16 이전에서 Windows PowerShell 필터 삽입(CVE-2026-116576, CVSS 7.8), mongosh 2.14.0 이전에서 Node.js 런타임에 포함된 TLS 루트 저장소 문제(CVE-2026-115930, CVSS 7.6)가 보고됐습니다. mongosh는 신뢰 저장소 자체를 교체하는 성격이라 사내 CA 신뢰 정책과 충돌하지 않는지 확인이 필요합니다.
OpenSSL / TLS 스택 — netty-tcnative 2.0.66.Final(OpenSSL 3.x 빌드)에서 세션 티켓 키 로테이션 중 use-after-free(CVE-2026-116540, CVSS 8.2)가 발생합니다. 2.0.84.Final에서 수정됐으며, TLS 핸드셰이크가 몰리는 서비스는 우선순위를 높게 잡으세요.
Linux Kernel — openvswitch IPv6 주소 재작성(CVE-2026-99088), Samsung i2s 런타임 PM(CVE-2026-99089), amdgpu vblank(CVE-2026-99090), Bluetooth MGMT(CVE-2026-99091), riscv BPF-JIT(CVE-2026-99092), 부팅 시 커널 페이지 테이블 해제(CVE-2026-99093) 등 6건이 공개됐습니다. 모두 CVSS 미평가 상태이며, 배포판 커널 업데이트 주기를 따라가는 것이 일반적 대응입니다.
Windows / 엔드포인트 — Esri ArcGIS Server 12.1 이하 SQL 인젝션(CVE-2026-10757, CVSS 9.8), SecureConnector for Windows의 TLS 지문 누락(CVE-2025-13833, CVSS 7.7), Syncplify Server! 8.8.0 이전 경로 탈출(CVE-2026-112344, CVSS 7.6)이 있습니다. ArcGIS는 서비스 접근 설정이 public으로 되어 있으면 익명 접근까지 가능해지므로 접근 제어 설정을 함께 점검하세요.
iOS / WebKit — Safari 27.2, iOS/iPadOS 26.7.2·27.2 등에서 use-after-free·타입 혼동 계열 다수(CVE-2026-112623, -112626, -112637, -112651, -112655, -112659, -112688, CVE-2026-64759)가 패치됐고, 커널 권한 코드 실행(CVE-2026-86916, CVSS 7.8)도 포함됩니다. 관리 대상 단말의 OS 업데이트 정책에 반영하세요.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-115905 | 10.0 | — | Rust zip 라이브러리 9.0.4 이하 — Central Directory와 Local File Header 파일명 불일치로 경로 검증 우회 |
| CVE-2026-115188 | 9.9 | — | Mautic 7 캠페인 가져오기 — 파일명·형식 제한 없이 공개 미디어 디렉터리로 복사되는 무제한 업로드 |
| CVE-2026-102649 | 9.9 | — | Burrito 0.13.0 이전 — webhookSecret 미설정 시 서명 없는 GitHub/GitLab 이벤트 수락 |
| CVE-2026-110720 | 9.9 | — | Consul-k8s 0.42.0+ — 컴포넌트 ACL 바인딩 규칙의 네임스페이스 간 권한 우회 (2.1.0/1.8.18 수정) |
| CVE-2026-107656 | 9.8 | — | Fortinet FortiSandbox 5.0.0–5.0.6 등 — 대체 경로를 이용한 인증 우회 |
| CVE-2026-10757 | 9.8 | — | Esri ArcGIS Server 12.1 이하(Windows/Linux) — SQL 인젝션, public 설정 시 익명 접근 가능 |
| CVE-2026-116485 | 9.3 | — | danmu_api 1.21.7 이전 — 기본 TOKEN 사용 + ADMIN_TOKEN 미설정 시 환경 설정 무단 변경 |
| CVE-2026-116747 | 9.2 | — | Kener 4.1.10 이전 — 하드코딩된 DUMMY_SECRET 폴백으로 세션 토큰 위조 |
EPSS는 KEV 항목에 대해서만 수집되어, 위 신규 Critical은 값을 표기하지 않았습니다(—). 대부분 게시 직후로 EPSS·실악용 여부는 아직 확정되지 않은 상태입니다.
🌐 위협 동향
CISA, KEV 2건 추가 및 PHP 긴급 패치 경보 — CISA가 PHP의 두 RCE 취약점(CVE-2026-109618, CVE-2026-109619)을 KEV에 등재하고 “Critical Vulnerabilities in PHP Require Immediate Patching” 경보를 함께 발표했습니다. 단순 카탈로그 등재를 넘어 별도 경보가 붙었다는 점은 실제 공격 관측이 있었다는 신호로 읽는 것이 일반적입니다. PHP를 쓰는 서비스는 패치 일정이 아니라 즉시 조치 대상으로 분류하세요. 원문
ISC Guest Diary — 언어 식별(Language) 분석 — SANS.edu BACS 프로그램 인턴의 게스트 다이어리로, 공격 트래픽에서 언어/로케일 특성을 식별하는 관측 방법론을 다룹니다. 스캔 소스 추정이나 페이로드 계열 분류에 참고할 만한 관측 관점을 제공합니다. 원문
YARA-X 1.22.0 릴리스 — YARA-X 1.22.0이 개선 11건, 버그 수정 9건과 함께 공개됐습니다. 시그니처 기반 탐지를 운영하는 팀이라면 룰 호환성과 성능 변화를 확인하고 스테이징에서 먼저 검증하는 편이 좋습니다. 원문
오늘의 체크포인트
- PHP 런타임 버전 확인 및 즉시 패치 — CVE-2026-109618 / CVE-2026-109619는 인증 없이 악용 가능한 RCE이며 KEV 등재 + CISA 경보가 동시에 발생했습니다. 외부에 노출된 PHP 서비스부터 최우선으로 업데이트하세요.
- GitOps/CI 시크릿 설정 점검 — Burrito
webhookSecret미설정, Consul-k8s ACL 바인딩 우회는 파이프라인 권한 상승으로 직결됩니다. webhook 시크릿 존재 여부와 consul-k8s 버전(2.1.0 / 1.8.18 이상)을 확인하세요. - 공개 접근 설정 재확인 — Esri ArcGIS Server의
public접근 설정, Mautic의 공개 미디어 디렉터리는 각각 SQL 인젝션·무제한 업로드와 결합해 위험이 커집니다. 기본값이 아닌 접근 구성이 되어 있는지 점검하세요. - Google Brotli 업데이트 검토 — KrCERT 공지(CVE-2026-111497)에 따라 Brotli를 사용하는 프록시/CDN/서버 계층의 버전을 확인하고 해결 버전으로 반영하세요.
마무리
- 오늘의 한 줄 정리: PHP 코어 RCE 2건이 KEV에 오르며 “즉시 패치” 대상이 됐고, CI·K8s·SaaS 계층의 인증 우회 Critical이 동시에 쏟아진 하루입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.