도입부
오늘 가장 무거운 소식은 PHP 코어의 원격 코드 실행 취약점 두 건(CVE-2026-109618, CVE-2026-109619)이 CISA KEV에 등재되고 EPSS가 100%로 측정됐다는 점입니다. 웹 서버 운영자라면 사실상 “오늘 안에 패치” 대상입니다. 여기에 더해 Google Brotli(CVE-2026-111497)와 Adobe Commerce/Magento(CVE-2026-48356)도 실제 악용 근거와 함께 KEV에 신규 등재됐고, 국내 KrCERT도 같은 내용을 공지로 재확인했습니다. 오늘 수집된 소스는 모두 정상 수집되었습니다(errors 없음).
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-109618 — PHP Group / PHP
메모리 손상으로 비인증 원격 코드 실행이 가능한 취약점입니다. EPSS 100%(백분위 100)로, 사실상 악용 확률이 최상위 구간에 있다고 측정된 상태입니다. 랜섬웨어 사용 여부는 Unknown. PHP-FPM/Apache 모듈 등 외부 노출 인터페이스를 운영하는 환경은 버전 확인 후 즉시 최신 패치 적용이 필요합니다. NVD
CVE-2026-109619 — PHP Group / PHP
internal request-state가 요청 간에 남아(stale) 비인증 원격 코드 실행으로 이어지는 유형입니다. 마찬가지로 EPSS 100%. 109618과 함께 PHP Alert로 묶여 공지된 만큼, 한쪽만 패치하지 말고 동일 릴리스로 함께 올리는 것이 안전합니다. 랜섬웨어 Unknown. NVD
CVE-2026-111497 — Google / Brotli
Brotli 압축 스트림을 처리할 때 반환값 검증이 누락되어, 원격 비인증 공격자가 디코더 인접 메모리를 오염시켜 정보 노출·DoS·잠재적 코드 실행까지 가능한 취약점입니다. EPSS 55.5%(백분위 99)로 매우 높습니다. 압축 해제가 일어나는 지점(프록시, CDN, 언어 런타임의 brotli 모듈, 라이브러리 임베딩)을 모두 인벤토리화해야 합니다. KrCERT도 별도 공지로 업데이트를 권고했습니다. NVD
CVE-2026-48356 — Adobe / Commerce and Magento
위험한 파일 타입의 업로드 제한이 없어, 업로드된 파일을 통해 현재 사용자 컨텍스트에서 임의 코드 실행 및 세션/계정 장악으로 이어질 수 있는 취약점입니다. EPSS 30.6%(백분위 98). 랜섬웨어 Unknown. 전자상거래 프런트가 외부에 열려 있는 만큼 업로드 엔드포인트에 대한 WAF 규칙과 패치 적용을 병행하는 것이 좋습니다. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
美 CISA 발표 주요 Exploit 정보공유 (Update. 2026-10-27) — CISA가 실제 악용 중인 취약점 목록을 갱신했으며, 국내 사용자에게도 영향 버전 사용 시 최신 버전 업데이트를 권고합니다. 표에 Google Brotli(CVE-2026-111497) 등이 명시되어 있습니다. 해외 권고를 국내 환경 기준으로 다시 확인할 수 있다는 점에서, 공공기관/금융권처럼 해외 벤더 제품을 함께 쓰는 조직은 이 공지를 근거로 내부 패치 계획을 세우기 좋습니다. 공지 보기
Google 제품 보안 업데이트 권고 — Google Brotli의 Out-of-bounds Write 취약점(CVE-2026-111497)에 대한 영향 버전 및 해결 버전이 표로 제시되었습니다. 국내에서 Brotli는 웹 서버 압축, 프록시, 각종 언어 런타임에 폭넓게 임베딩되어 있어 “직접 설치한 기억이 없는” 의존성일 수 있습니다. 패키지 매니저 기준으로 역추적해 확인하세요. 공지 보기
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| mlflow | pip | high | >= 3.10.0, < 3.17.0 | 3.17.0 |
| mlflow | pip | critical | >= 3.12.0rc0, < 3.17.0 | 3.17.0 |
| dd-trace | npm | high | >= 2.0.0, < 5.131.1 | 5.131.1 |
| tinymce | npm | high | >= 8.5.1, < 8.9.3 | 8.9.3 |
| ckeditor5 | npm | high | >= 45.0.0, < 47.7.4 | 47.7.4 |
| undici | npm | high | >= 7.0.0, < 7.30.1 | 7.30.1 |
| undici | npm | high | >= 4.0.0, < 6.29.1 | 6.29.1 |
| undici | npm | high | >= 4.2.1, < 6.29.1 | 6.29.1 |
| @modelcontextprotocol/sdk | npm | high | >= 1.10.0, < 1.30.1 | 1.30.1 |
| symfony/symfony | composer | high | >= 2.0.0, < 5.4.54 | 5.4.54 |
| symfony/http-foundation | composer | high | >= 6.0.1, < 6.4.46 | 6.4.46 |
특히 눈에 띄는 것은 undici입니다. Node.js 생태계에서 fetch/HTTP 클라이언트의 사실상 표준 구현이라, 직접 의존하지 않아도 전이 의존성으로 깊숙이 들어와 있는 경우가 흔합니다. 이번 주에 TLS 인증서 검증 우회(2m5v), 캐시 포이즈닝/교차 사용자 정보 노출(4w7w), TLS 재협상 DoS(qrxm) 세 건이 동시에 나왔으니, 메이저 버전별 패치 버전(6.29.1 / 7.30.1)을 구분해 적용해야 합니다. mlflow는 critical 등급 RCE(26p8)가 포함되어 있고, @modelcontextprotocol/sdk는 HTTP 트랜스포트의 요청 본문/JSON-RPC 배치 길이 제한 부재로 자원 고갈이 가능합니다.
🧩 주요 스택 관련
- PHP: KEV 2건(CVE-2026-109618, CVE-2026-109619)이 PHP 코어 RCE입니다. 더해 WordPress 플러그인 계열(Kirki CVE-2026-75891 PHP Object Injection 권한 상승, 최대 6.2.5), Semantic MediaWiki(CVE-2026-116872, CVE-2026-116878 — 3.0.0
7.3.1 미만 이차 복잡도 CPU 고갈), svg-sanitizer(CVE-2026-117540, 0.5.31.1.0 미만), Joomla 확장(CVE-2026-102800), Nextcloud 3D Viewer(CVE-2026-104189, 1.7.9~3.3.1)가 동시에 올라왔습니다. PHP 런타임 패치와 함께 애플리케이션 레이어 버전도 같이 점검할 시점입니다. - Node.js: dd-trace(CVE-2026-116693, 2.0.0~5.131.1 미만)의
DD_TRACE_OBFUSCATION_QUERY_STRING_REGEXP기본값이 공격자 제어 URL 쿼리에서 과도한 백트래킹을 일으킵니다. APM 에이전트가 동기적으로 URL 메타데이터를 기록하는 경로라 ReDoS가 곧 지연으로 직결됩니다. systeminformation(CVE-2026-116576, 5.33.16 미만)은 Windows에서 PowerShellGet-CimInstance필터 삽입 문제입니다. - PostgreSQL: Asterisk의
cel_pgsql/cel_tds백엔드에서 임의 SQL 실행 가능(CVE-2026-57190, 20.20.1/21.12.3/22.10.1/23.4.1 및 cert 릴리스 미만). 통화 이벤트 로그를 DB로 적재하는 구성이라면 CDR 테이블 권한을 최소화하는 것도 완화책이 됩니다. - Windows: TeamViewer 계열 다수(CVE-2026-92376, 92377, 111582, 111583, 111584)가 IPC 브로커 사칭·설치 디렉터리 경쟁 조건으로 권한 상승을 유발합니다. 원격 지원 도구는 로컬 저권한 사용자만 있어도 악용 가능하므로 우선순위를 높게 잡으세요. SecureConnector for Windows(CVE-2025-13833)는 신뢰 서버 항목이 3개를 넘고 지문이 누락된 경우 TLS 검증 없이 세션이 수립될 수 있습니다.
- iOS/macOS: Apple이 Safari 27.2, iOS/iPadOS 26.7.2·27.2, macOS Golden Gate 27.2 등으로 use-after-free·type confusion·integer overflow를 일괄 수정했습니다(CVE-2026-112623, 112626, 112637, 112651, 112655, 112659, 112688, 64759, 86916 등). 모두 “악성 웹 콘텐츠/이미지 처리 시 임의 코드 실행” 계열이라 관리 단말·테스트 기기 모두 업데이트 대상입니다.
- Android: DroidMind 0.4.0 이하(CVE-2026-117559)가
$(...)·백틱 치환으로 셸 명령 allowlist를 우회합니다. 프롬프트 인젝션된 에이전트가 경로가 될 수 있다는 점이 특징적입니다.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-65145 | 10.0 | 미평가 | NVIDIA NeMo Agent Toolkit 인증 누락 — 코드 실행·권한 상승·DoS·정보 노출 |
| CVE-2026-105781 | 10.0 | 미평가 | Adobe Campaign Classic SQL Injection → 임의 코드 실행 |
| CVE-2026-104351 | 9.9 | 미평가 | Adobe Campaign Classic 코드 인젝션 — 저권한 공격자도 악용 가능 |
| CVE-2026-105489 | 9.9 | 미평가 | Adobe Campaign Classic SQL Injection (추가 건) |
| CVE-2026-82119 | 9.8 | 1.8 | HiRDB OS Command Injection — 10-12-01 미만 / 09-66-22 이하 영향 |
| CVE-2026-76938 | 9.8 | 0.6 | JP1/Automatic Job Management System 3 Manager 인증 우회 (13-50-31 미만) |
| CVE-2026-18450 | 9.8 | 0.4 | BMC가 IPMI 명령의 무결성·암호화 요구사항을 강제하지 않아 활성 세션에서 임의 명령 실행 |
| CVE-2026-116692 | 9.8 | 미평가 | MLflow 서드파티 scorer 역직렬화로 비인증 서버 RCE (3.17.0에서 수정) |
HiRDB와 JP1은 일계 벤더 제품군으로, 국내에서도 엔터프라이즈 배치/잡 관리 구간에 들어가는 경우가 있습니다. CVSS 9.8이지만 EPSS는 아직 1% 미만으로 측정되어 실제 악용 신호는 약합니다. 다만 인증 우회·OS 명령 주입 계열은 노출만 되면 즉시 위험해지므로 경계 내부에 있다는 이유로 미루지 않는 편이 좋습니다.
🌐 위협 동향
CISA, KEV 2건 추가 및 PHP 긴급 패치 경고 — CISA가 10/27 Adobe Commerce/Magento와 Google Brotli를 KEV에 추가했고, 10/26에는 PHP 취약점 2건을 “즉시 패치 필요” 항목으로 별도 강조했습니다. KEV 등재는 벤더 패치 공지와 달리 “실제 악용 근거가 있다"는 뜻이므로, 내부 패치 SLA에서 최우선 등급으로 승격해야 합니다. 원문
Mitsubishi Electric GENESIS/GENESIS64/ICONICS 계열 ICS 권고 — 인증 우회(CVE-2026-16436, CVE-2026-16437)와 임의 조작(CVE-2026-16438), 그리고 libwebp 계열로 알려진 CVE-2023-4863이 함께 언급되었습니다. HMI/SCADA 구간은 패치 창 확보가 어려우므로 네트워크 분리와 함께 어떤 경로로 노출되어 있는지부터 확인하는 것이 현실적입니다. 원문
EPICS Base ICS 권고 — 7.0.10 이하 버전에서 DoS, 메모리 손상, 정보 노출, 잠재적 코드 실행이 가능하다고 안내됩니다. 연구소·산업 제어 환경에서 널리 쓰이는 오픈소스 기반이라, 실험/제어망 자산 목록과 버전을 대조해 두어야 합니다. 원문
Apple 10월 패치 — 304개 취약점 — ISC는 이번 Apple 업데이트 규모가 304건으로, 직전 업데이트 이후 약 한 달 만이며 통상적인 규모 범위에 있다고 평가했습니다. 개수보다 중요한 것은 브라우저·이미지 파서 계열의 코드 실행 취약점이 다수 포함됐다는 점으로, 사용자 단말의 자동 업데이트 정책이 실제로 동작하는지 확인할 가치가 있습니다. 원문
오늘의 체크포인트
- PHP 런타임 즉시 패치 — CVE-2026-109618 / CVE-2026-109619 (EPSS 100). 외부 노출 웹 애플리케이션의 PHP 버전을 확인하고, 두 건을 함께 해결하는 릴리스로 업그레이드하세요.
- Brotli 의존성 역추적 — CVE-2026-111497. nginx/CDN 설정만 보지 말고 언어 런타임·프록시·애플리케이션에 임베딩된 brotli 라이브러리까지 확인. 패치 전 임시 완화로 압축 처리 경로의 입력 크기 제한을 검토할 수 있습니다.
- Node.js 의존성 스캔 —
undici(6.29.1 / 7.30.1),dd-trace(5.131.1),@modelcontextprotocol/sdk(1.30.1)를 lockfile 기준으로 확인. 특히 undici는 전이 의존성으로 숨어 있을 가능성이 큽니다. - 노출된 관리·원격지원 도구 점검 — Adobe Commerce/Magento 업로드 경로(CVE-2026-48356), TeamViewer for Windows 다수 건, MLflow 비인증 서버(3.17.0 미만)가 외부에서 접근 가능한지 확인하세요.
마무리
오늘은 “이미 악용되고 있고, 흔한 컴포넌트이며, EPSS가 최상위"라는 세 조건을 동시에 만족하는 PHP와 Brotli가 핵심입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.