도입부
오늘은 CISA KEV에 4건이 새로 이름을 올렸고, 그중 Google Brotli(CVE-2026-111497, EPSS 88%)와 Adobe Commerce/Magento(CVE-2026-48356, EPSS 59.1%)는 악용 확률 지표가 매우 높아 즉시 패치가 필요한 상태입니다. 동시에 Linux Kernel(CVE-2026-46300)이 실제 악용 목록에 오르며 국내 Linux 서버 운영자에게도 직접적인 영향이 예상되고, KrCERT도 이를 포함한 CISA Exploit 정보공유 공지를 게시했습니다. 수집 오류는 없었으며, NVD 24시간 내 874건 게시 중 CVSS 9.0 이상 Critical이 47건으로 대량 쏟아졌습니다(다수는 Google Chrome 156.0.8078.73 관련 일괄 수정).
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-111497 — Google Brotli
Brotli 압축 해제 과정에서 반환값 검증이 누락되어, 원격 비인증 공격자가 조작된 Brotli 스트림으로 디코더 상태 메모리를 손상시키거나 민감 메모리 노출, DoS, 나아가 임의 코드 실행까지 가능합니다. EPSS 88%(상위 100 백분위)로 오늘 KEV 중 악용 확률이 가장 높습니다. Brotli는 HTTP 압축·정적 자산 서빙 등 광범위한 경로에 들어가므로, 라이브러리를 내장한 서버/프록시·애플리케이션 스택 전반을 점검해야 합니다. 랜섬웨어 연계: Unknown. NVD
CVE-2026-48356 — Adobe Commerce and Magento
위험한 형식의 파일 업로드가 제한되지 않아 임의 코드 실행으로 이어질 수 있고, 그 결과 세션/계정 탈취나 권한 상승이 가능합니다. EPSS 59.1%(상위 99 백분위)로 실무 영향이 큰 편입니다. 전자상거래 프런트가 외부에 노출된 경우가 많아 업로드 검증 우회 여부를 우선 확인하고 최신 보안 패치를 적용하세요. 랜섬웨어 연계: Unknown. NVD
CVE-2026-46300 — Linux Kernel
변수 초기화 누락 취약점으로, socket buffer 병합 시 shared-fragment 마커를 보존하지 못해 page-cache 기반 데이터가 의도치 않게 수정되고 ESP 입력 처리에서 공유 프래그먼트가 in-place로 복호화될 수 있습니다. EPSS 10.2%(상위 96 백분위)로 실제 악용 정황이 확인된 상태이며, stackHits에 linux kernel과 php가 걸려 있습니다. 커널 패치 적용과 재부팅이 필요한 유형이므로 배포판별 업데이트를 확인하세요. 랜섬웨어 연계: Unknown. NVD
CVE-2026-41709 — Broadcom VMware ESX
로깅 불충분 취약점으로, admin 권한을 가진 악의적 행위자가 특정 작업을 로그 흔적 없이 수행할 수 있습니다. EPSS는 0.3%(22 백분위)로 낮지만 가상화 인프라 특성상 감사·포렌식 신뢰성에 직접 영향을 줍니다. 하이퍼바이저 관리 접근 통제를 재점검하고 벤더 패치를 적용하세요. 랜섬웨어 연계: Unknown. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
美 CISA 발표 주요 Exploit 정보공유(Update. 2026-10-28) — 미국 CISA가 실제 악용 중인 취약점 목록을 갱신 발표했고, 국내 공지에는 Linux Kernel(CVE-2026-46300) 등 영향 제품과 조치사항이 표로 정리되어 있습니다. 국내 공공기관·기업의 Linux 서버 운영자는 배포판 패치 적용 여부를 이 공지를 기준으로 확인하는 것이 좋습니다. 공지 보기
KNVD 국내 취약점 정보(krVuln)는 오늘 신규 항목이 없습니다.
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| systeminformation | npm | High | < 5.33.16 | 5.33.16 |
| electrum | pip | Critical | < 4.8.3 | 4.8.3 |
| seroval | npm | High | <= 1.6.7 | 1.6.8 |
| seroval | npm | High | >= 1.4.1, <= 1.6.7 | 1.6.8 |
| seroval | npm | High | <= 1.6.7 | 1.6.8 |
| vllm | pip | High | < 0.32.0 | 0.32.0 |
| vllm | pip | High | < 0.32.0 | 0.32.0 |
| graphql-scalars | npm | High | <= 2.0.0 | 2.0.1 |
| re2js | npm | High | >= 2.2.0, < 2.8.7 | 2.8.7 |
| langgraph-api | pip | High | >= 0.1.2, < 0.15.0 | 0.15.0 |
| happy-dom | npm | High | <= 20.14.6 | 21.0.0 |
| vue-i18n | npm | High | = 9.14.5 | 벤더 패치 버전 미제공 |
| @graphql-tools/executor-legacy-ws | npm | High | <= 1.1.35 | 1.1.36 |
seroval은 1.6.7 이하 전 구간에서 역직렬화 DoS·공격자 지정 콜러블 호출이 보고되어 3건이 동시에 올라왔습니다. 1.6.8로 한 번에 올리는 것이 안전합니다. happy-dom은 신뢰할 수 없는 HTML 파싱 시 iframe·스타일시트를 통한 SSRF가 가능하고, vue-i18n은 9.14.5 단일 버전에 XSS가 보고되었지만 패치 버전이 아직 명시되지 않아 9.14.5 고정 사용자는 사용처를 재확인해야 합니다.
🧩 주요 스택 관련
- Google Chrome 156.0.8078.73 미만 (chrome / windows / android) — 오늘 stack 매칭 206건의 대부분이 Chrome 단일 업데이트에 몰려 있습니다. Critical 9.6 등급 다수(Turbolev, FileSystem, SVG, V8, Layout, Skia 등)와 High 8.8 등급 다수가 동일 버전에서 수정되었습니다. 데스크톱·Android·Windows 전 플랫폼이 영향 범위이므로 브라우저 자동 업데이트 정책과 Headless/서버사이드 렌더링용 Chromium 이미지까지 버전을 맞춰야 합니다.
- Linux Kernel (CVE-2026-46300, linux kernel / php) — KEV 등재 항목으로 위 항목 참조. 컨테이너 호스트 커널까지 포함해 노드 단위 재부팅 계획을 세우는 것이 좋습니다.
- WordPress 계열 PHP 플러그인 (php) — Contact Manager 9.1.2 이하(CVE-2026-109218), Pie Register Premium 3.8.4.0 이하(CVE-2026-84999), Checkout Files Upload for WooCommerce 2.4.0 미만(CVE-2026-103688), Jupiter X Core 4.61.0 이하(CVE-2026-106013)가 모두 업로드 검증 우회·인증 우회 계열입니다. 파일 업로드 경로는 웹루트 밖으로 분리하고, 플러그인은 벤더 최신 버전으로 즉시 갱신하세요.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-61564 | 10.0 | 미평가 | AVideo 8.1.0 미만, 인증 불필요 installer 엔드포인트가 요청 파라미터를 이스케이프 없이 configuration.php에 보간 |
| CVE-2026-61567 | 10.0 | 미평가 | AVideo 8.1.0 미만, 라이브 스트리밍 엔드포인트가 반환 JSON을 세션 상태로 신뢰해 인증 우회 |
| CVE-2026-110879 | 9.8 | 1.2% | jackson-databind, 제네릭 인자 내 공격자 선택 클래스 허용으로 CVE-2026-54512 검증 우회 |
| CVE-2026-103406 | 9.8 | 미평가 | Juniper Session Smart Conductor, 조작된 salt minion ID로 root 임의 명령 실행 |
| CVE-2026-103409 | 9.8 | 미평가 | Juniper Session Smart Router, 비인증 공격자가 취약 엔드포인트로 관리자 권한 획득 |
| CVE-2026-114278 | 9.8 | 미평가 | che-machine-exec, username/namespace를 sh -c 문자열에 이스케이프 없이 연결해 명령 주입 |
| CVE-2026-109218 | 9.8 | 0.6% | WordPress Contact Manager 9.1.2 이하, 확장자 블랙리스트 우회로 임의 파일 업로드 |
| CVE-2026-118305 | 9.6 | 0.2% | Google Chrome 156.0.8078.73 미만, Turbolev 메모리 손상으로 샌드박스 외부 코드 실행 |
Chrome 9.6 등급 항목은 CVE-2026-118306118321 등 다수가 같은 버전에서 함께 수정되었으며, EPSS는 전부 0.2% 수준으로 아직 낮지만 공격 표면이 넓습니다. Dell PowerProtect Data Domain(Feature 7.7.1.08.8, LTS2024/2025/2026 각 라인)은 하드코딩 키·인증 우회·스택 버퍼 오버플로 등 9.8 등급이 여러 건 보고되었으니 백업 인프라 담당자는 별도로 확인이 필요합니다.
🌐 위협 동향
- CISA KEV 2건 추가(10/28) — VMware ESX, Linux Kernel — CISA가 실제 악용 증거를 근거로 CVE-2026-41709와 CVE-2026-46300을 KEV에 등재했습니다. 전자는 감사 로깅 회피, 후자는 커널 메모리 무결성 문제로 성격이 다르며, 둘 다 “패치가 곧 통제"인 유형입니다. 원문
- CISA KEV 2건 추가(10/27) — Adobe Commerce/Magento, Google Brotli — 파일 업로드 기반 RCE와 압축 라이브러리 메모리 손상이 나란히 등재되었습니다. 전자상거래와 CDN/프록시 계층을 함께 운영하는 조직은 두 항목을 동시에 점검해야 합니다. 원문
- Mitsubishi Electric GENESIS/GENESIS64/ICONICS Suite 등 ICS 권고 — 인증 우회(CVE-2026-16436, CVE-2026-16437)와 임의 조작(CVE-2026-16438), 그리고 널리 알려진 CVE-2023-4863까지 포함된 ICS 환경 권고입니다. 산업제어망은 외부 노출 최소화와 함께 벤더 권고 버전 적용을 우선하세요. 원문
- ISC: 또 다른 ClickFix 캠페인 관측(10/28) — 사용자에게 “붙여넣기"를 유도해 악성 명령을 실행시키는 ClickFix 계열 캠페인이 다시 관측되었습니다. 브라우저·터미널에 붙여넣기 유도 문구가 뜨는 사회공학 패턴 자체를 사용자 교육과 프록시/EDR 탐지 룰로 커버하는 것이 효과적입니다. 원문
참고로 ISC는 Apple이 10월 패치에서 304개 취약점을 수정했다고 전했습니다. 원문
오늘의 체크포인트
- Brotli 라이브러리 업데이트(EPSS 88%) — 서버·프록시·앱에 내장된 Brotli 구현 버전을 확인하고 최신으로 교체하세요. 압축 해제 경로는 인증 없이 도달 가능한 경우가 많습니다.
- Adobe Commerce / Magento 패치(EPSS 59.1%) — 업로드 기능 차단 규칙을 임시 적용하고 벤더 보안 패치를 최우선으로 배포하세요.
- Linux Kernel 패치 및 재부팅 계획 — KEV 등재 항목이며 국내 공지에도 포함되었습니다. 컨테이너 호스트 커널까지 포함해 배포판별 업데이트를 확인하세요.
- Chrome 156.0.8078.73 미만 전 플랫폼 갱신 — 데스크톱, Android, Windows, 그리고 서버사이드 Headless Chromium 이미지까지 버전을 통일하세요. WordPress 운영 사이트는 파일 업로드 플러그인(Contact Manager, Pie Register, WooCommerce Checkout Files Upload, Jupiter X Core)을 함께 점검하세요.
마무리
- 오늘의 한 줄 정리: KEV 4건 중 Brotli·Magento는 악용 확률이 90%대에 근접한 즉시 패치 대상이고, Linux Kernel은 국내 공지까지 겹쳐 서버 운영자의 우선순위가 명확한 하루입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.