오늘은 CISA KEV에 GitLab·Cisco Secure Firewall·VMware ESX·Linux Kernel 4건이 신규 등재되며 실제 악용 정황이 확인된 하루입니다. 특히 GitLab CI/CD 설정을 통한 무인증 RCE(CVE-2026-97229, EPSS 18.4%)와 Linux Kernel 소켓 버퍼 처리 결함(CVE-2026-46300, EPSS 15.7%)은 EPSS 백분위 97위권으로 위험도가 높습니다. 국내에서는 KrCERT가 Palo Alto Networks, Synology, Samba, Juniper, Linux, Adobe, JFrog, Splunk 등 8건의 보안 업데이트 권고를 한꺼번에 발표했고, GHSA 신규 High/Critical 항목은 없었습니다. 모든 소스가 정상 수집되었습니다(errors 없음).
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-97229 — GitLab Community/Enterprise Edition
GitLab CE/EE에서 특수하게 조작된 정규식(CI/CD 설정 내)으로 integer overflow가 발생해 무인증 공격자가 GitLab 서버에서 임의 코드를 실행할 수 있는 취약점입니다. CISA는 실제 악용 증거를 근거로 KEV에 등재했으며, 랜섬웨어 사용 여부는 Unknown입니다. EPSS 18.4%(백분위 97)로 오늘 KEV 중 가장 높습니다. GitLab은 CI/CD 파이프라인과 소스 저장소·시크릿이 집중된 자산이므로, 노출된 GitLab 인스턴스는 즉시 최신 보안 릴리스로 업그레이드하고 외부 접근 제어를 재점검해야 합니다. NVD
CVE-2026-76418 — Cisco Secure Firewall ASA / Secure FTD Software
Cisco ASA 및 FTD 소프트웨어에서 반환값 미검사로 인한 NULL 포인터 역참조가 발생, 무인증 원격 공격자가 장치를 예기치 않게 재부팅시켜 DoS를 유발할 수 있습니다. 랜섬웨어 사용 여부는 Unknown, EPSS는 0.6%(백분위 47)로 낮지만 경계 장비 대상이므로 파급이 큽니다. 방화벽·VPN 게이트웨이로 운영 중인 조직은 벤더 권고 버전으로 업데이트하고, 관리 인터페이스 노출 여부를 확인하십시오. NVD
CVE-2026-41709 — Broadcom VMware ESX
VMware ESX의 로깅 부족(insufficient logging) 취약점으로, admin 권한을 가진 악의적 행위자가 로그에 남지 않고 특정 작업을 수행할 수 있습니다. 랜섬웨어 사용 여부는 Unknown, EPSS 0.8%(백분위 55)입니다. 원격 무인증 RCE는 아니지만, 감사 추적을 무력화해 사후 포렌식을 방해하는 유형이므로 가상화 인프라 운영자는 ESX/ESXi 하이퍼바이저 패치 적용과 함께 로그 무결성·중앙 수집 체계를 점검하는 것이 좋습니다. NVD
CVE-2026-46300 — Linux Kernel
Linux Kernel에서 변수 초기화 누락 결함이 확인되었습니다. 소켓 버퍼 병합(coalescing) 과정에서 공유 프래그먼트 마커를 보존하지 못해 page-cache 기반 데이터가 의도치 않게 수정될 수 있고, ESP 입력 처리에서 공유 프래그먼트가 제자리 복호화되는 문제로 이어질 수 있습니다. 커널 단에서 메모리 무결성에 영향을 주는 유형으로, KEV 등재와 함께 KrCERT/Linux 재단 권고에서도 Out-of-bounds Write로 분류되어 패치가 배포되었습니다. EPSS 15.7%(백분위 97). 커널 패치 후 재부팅이 필요한 경우가 많으므로 유지보수 창을 계획하십시오. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
- Palo Alto Networks 제품 보안 업데이트 권고 — PAN-OS에 포함된 PHP에서 Improper Handling of Exceptional Conditions(CVE-2026-109618) 및 Use After Free 계열 취약점이 확인되었습니다. 국내에서 경계 방화벽·VPN으로 널리 쓰이는 제품이라 공공/금융 환경 영향이 큽니다. 공지 보기
- Synology 제품 보안 업데이트 권고 — Synology Calendar, Mail Station, PHP에서 Use After Free 취약점(CVE-2026-109618, CVE-2026-109619)이 다수 보고되었습니다. 중소 조직과 개인 사용자 NAS 환경에서 노출 위험이 있어 우선순위를 두고 업데이트하십시오. 공지 보기
- Samba 제품 보안 업데이트 권고 — Samba에서 Improper Handling of Case Sensitivity 취약점(CVE-2026-109411)이 해결되었습니다. 파일 공유 서버(특히 AD 연동 환경)에서 흔히 쓰이므로 영향받는 버전과 해결 버전을 대조해야 합니다. 공지 보기
- Juniper Networks 제품 보안 업데이트 권고 — Session Smart Router·Session Smart Conductor에서 Link Following 취약점(CVE-2026-103401) 등이 확인되었습니다. 통신·ISP 및 SD-WAN 구간 장비가 대상이므로 네트워크 운영자는 벤더 권고를 확인하십시오. 공지 보기
- Linux 제품 보안 업데이트 권고 — Linux Kernel의 Out-of-bounds Write 취약점(CVE-2026-46300)이 해결되었습니다. 오늘 KEV에 오른 동일 CVE로, 국내 리눅스 서버 운영자는 배포판별 커널 패치 적용 여부를 반드시 확인해야 합니다. 공지 보기
- Adobe 제품 보안 업데이트 권고 — Adobe Commerce, Commerce B2B, Magento Open Source, Commerce Events에서 위험한 파일 업로드(Unrestricted Upload of File with Dangerous Type, CVE-2026-48356) 취약점이 해결되었습니다. 커머스 플랫폼을 운영하는 국내 쇼핑몰·유통사는 우선 패치 대상입니다. 공지 보기
- JFrog 제품 보안 업데이트 권고 — JFrog Artifactory에서 Improper Authentication 취약점(CVE-2026-82329)이 해결되었습니다. 사내 아티팩트 저장소는 빌드 파이프라인의 신뢰 기반이므로, 인증 우회는 공급망 전체로 확산될 수 있어 신속한 업데이트가 필요합니다. 공지 보기
- Splunk 제품 보안 업데이트 권고 — Cisco Talos Intelligence for Enterprise Security Cloud의 SSRF(CVE-2026-76389)와 Splunk AI Toolkit의 Incorrect Authorization(CVE-2026-76391) 등이 해결되었습니다. SIEM/로그 분석 인프라가 대상이므로 보안 운영 담당자는 버전을 확인하십시오. 공지 보기
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음.
다만 NVD 게시분 중 Node.js 스택에는 decode-uri-component(0.5.1에서 수정, CVE-2026-118664)와 flat(CVE-2026-119051) 관련 High 취약점이 올라와 있어, 의존성 트리에 포함된 경우 별도 확인이 필요합니다. 아래 스택 섹션을 참고하십시오.
🧩 주요 스택 관련
- Linux Kernel — CVE-2026-46300 (KEV) — 위 KEV 항목과 동일한 커널 메모리 초기화 결함입니다. 배포판 커널 패치(krVuln/KrCERT Linux 권고 참조)를 적용하고 재부팅 여부를 확인하십시오. 컨테이너 노드라면 호스트 커널이 공유된다는 점도 함께 고려해야 합니다. NVD
- Docker — Crawl4AI CVE-2026-119119 / CVE-2026-119120 — 0.9.5 이전 버전의 Docker API 서버에서
_clamp_untrusted()가 delay 관련 필드를 상한 처리하지 못해 무인증 DoS가 가능하고, 0.9.0~0.9.5 구간에서는 인증된 클라이언트가CosineStrategy.model_name을 임의 지정해 악성 HuggingFace 모델(pickle weights)을 로드시켜 Python 코드를 실행할 수 있습니다. Crawl4AI를 컨테이너로 운영 중이라면 즉시 0.9.5 이상으로 올리고, 외부 노출된 Docker API 엔드포인트가 없는지 확인하십시오. - Node.js — decode-uri-component CVE-2026-118664 — 0.5.1 이전 버전에서 네이티브 디코딩 실패 시 폴백 로직이 전체 문자열 정규식을 수행하며 성능 저하/DoS로 이어질 수 있습니다. 프론트엔드 빌드 체인·번들러 의존성에 흔히 포함되므로 lockfile에서 버전을 확인하십시오.
- Node.js — flat CVE-2026-119051 — 6.0.1까지
unflatten()에서a.4294967294같은 무제한 숫자 키로 거대한 sparse 배열을 생성해forEach/JSON.stringify가 블록되는 자원 고갈 취약점입니다. 사용자 입력을 unflatten하는 경로가 있다면 입력 검증을 추가하십시오. - PHP/WordPress — 다수 Object Injection 계열 — 오늘 게시분에는 RexCoin, Quirky, Printy 등 테마·플러그인의 Unauthenticated PHP Object Injection(9.8)과 다수 Contributor/Subscriber PHP Object Injection(8.8)이 대량 포함되어 있습니다. WordPress 운영자는 사용 중인 테마·플러그인 목록을 대조하고 미사용 항목은 제거하는 것이 가장 확실한 완화책입니다.
- Windows — Progress WS_FTP Server (CVE-2026-84295, CVE-2026-90868, CVE-2026-90867, CVE-2026-84294) — 2024.0.6/2025.0.3 이전 버전에서 무인증 관리자 자격증명 노출, 2024.0.7/2025.0.4 이전 버전에서 OS 명령 주입 및 Web Admin 접근 제어 미비가 확인되었습니다. 파일 전송 서버는 외부에 노출되는 경우가 많으므로 최신 버전(2024.0.7 / 2025.0.4 이상)으로 업데이트하십시오.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-61564 | 10.0 | 0.5% | AVideo 8.1.0 이전, 무인증 설치 엔드포인트에서 파라미터 보간으로 설정 파일 조작 → 코드 실행 |
| CVE-2026-61567 | 10.0 | 0.5% | AVideo 8.1.0 이전 라이브 스트리밍 엔드포인트, 세션 상태 위조로 무인증 접근 |
| CVE-2026-61991 | 10.0 | — | AjaxLoadMore Cache 3.1.1 이하, 무인증 원격 코드 실행(RCE) |
| CVE-2026-84295 | 10.0 | — | Progress WS_FTP Server(Windows), 인증 미비로 무인증 원격 공격자가 관리자 자격증명 등 민감정보 접근 |
| CVE-2026-109516 | 9.8 | 0.6% | WooCommerce용 Bot for Telegram 플러그인, REST 권한 콜백 미비로 인증 우회 → 계정 탈취 |
| CVE-2026-42922 | 9.8 | 0.5% | FUXA 1.3.2-2809 /nodered 인가 우회, 무인증 HTTP 요청으로 임의 코드 실행 |
| CVE-2026-113617 | 9.9 | 0.2% | Automated Import Products to Cart(WP), 최소 권한 사용자가 임의 파일 읽기·삭제 |
| CVE-2026-90868 | 9.9 | — | Progress WS_FTP Server(Windows), 특정 구성에서 OS 명령 주입 |
AVideo 관련 10.0 두 건과 WS_FTP Server 계열은 서비스가 외부에 노출된 경우 파급이 크므로 우선 확인 대상입니다. 반면 WordPress 플러그인 계열은 CVSS가 높아도 EPSS가 0.1~0.6%로 낮게 측정되어 있어, 실제 악용 확률 자체는 아직 제한적임을 감안해 판단하십시오.
🌐 위협 동향
- CISA, GitLab·Cisco 취약점 KEV 등재 (10/29) — CISA가 실제 악용 증거를 근거로 CVE-2026-97229(GitLab)와 CVE-2026-76418(Cisco Secure Firewall)를 KEV 카탈로그에 추가했습니다. KEV 등재는 연방기관 패치 기한이 부과된다는 의미이므로, 민간 조직도 동일한 긴급도를 적용할 근거가 됩니다. 원문
- CISA, VMware ESX·Linux Kernel KEV 등재 (10/28) — CVE-2026-41709(VMware ESX 로깅 부족)와 CVE-2026-46300(Linux Kernel 변수 초기화 누락)이 하루 앞서 KEV에 등재되었습니다. 전자는 감사 추적 무력화, 후자는 메모리 무결성 침해라는 서로 다른 위협 요소를 가집니다. 원문
- Siemens Mendix SAML 모듈 인증 우회 (ICSA-26-302-01) — Mendix SAML 모듈에서 IdP-initiated 인증 플로우의 유효한 SAML assertion을 재사용(replay)해 무인증 원격 공격자가 인가되지 않은 접근을 얻을 수 있는 인증 우회 취약점입니다. Siemens가 신규 버전을 배포했으므로, SAML 기반 SSO로 Mendix 앱을 운영하는 조직은 연동 신뢰 구성을 재검토하십시오. 원문
- ISC: 또 다른 ClickFix 캠페인 관측(10/28) — SANS ISC가 ClickFix 계열 캠페인이 다시 관측되었다고 공유했습니다. ClickFix는 사용자에게 “붙여넣기"를 유도해 실행 명령을 트리거하는 사회공학 기법으로, 브라우저 기반 안내·검증 페이지를 위장하는 패턴이 반복되고 있습니다. 사용자 대상으로 “웹페이지가 시키는 명령 붙여넣기 금지” 교육을 상기시킬 시점입니다. 원문
- ISC: 악성코드 분석 랩용 로컬 Ghidra 서버 구축(10/29) — 분석가들이 격리 환경에서 Ghidra 서버를 로컬로 운영해 리버싱 워크플로를 개선하는 방법을 다룹니다. 공격 캠페인 자체는 아니지만, 사내 분석 역량을 갖추려는 팀에 실무적으로 참고할 만합니다. 원문
오늘의 체크포인트
- GitLab 인스턴스 즉시 점검 — CVE-2026-97229는 KEV 등재 + EPSS 18.4%로 오늘 최우선입니다. 노출된 GitLab CE/EE의 버전을 확인하고 최신 보안 릴리스로 업그레이드하십시오. 업그레이드 전까지 CI/CD 러너 및 외부 접근 경로를 제한하는 것도 고려할 수 있습니다.
- Linux 커널 패치 및 재부팅 계획 — CVE-2026-46300이 KEV + KrCERT Linux 권고에 모두 포함되었습니다. 서버·컨테이너 노드 호스트 커널의 패치 적용 여부와 재부팅 필요성을 확인하십시오.
- 경계 및 파일전송 장비 업데이트 — Cisco ASA/FTD(DoS), Progress WS_FTP Server(자격증명 노출·명령 주입), Palo Alto PAN-OS, Juniper Session Smart 계열을 운영 중이면 각 벤더 권고 버전으로 업데이트하십시오.
- WordPress 플러그인/테마 인벤토리 정리 — 오늘 다수 PHP Object Injection 및 인증 우회 CVE가 플러그인·테마에 집중되었습니다. 사용 중인 목록과 대조하고 미사용 항목은 삭제하는 것이 가장 확실한 완화입니다.
마무리
오늘은 GitLab과 Linux Kernel이라는 개발·운영 핵심 인프라의 KEV 등재가 겹친, 패치 우선순위가 명확한 하루였습니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.