오늘은 Ivanti Connect Secure 체인(2건)과 GitLab CE/EE, Cisco Secure Firewall ASA/FTD가 CISA KEV에 새로 올라온 것이 가장 큰 뉴스입니다. 특히 GitLab 정수 오버플로우(CVE-2026-97229)는 EPSS 26.6%(상위 98%)로 이번 주 수집분 중 악용 확률이 가장 높게 평가됐고, Ivanti 두 건은 서로 체이닝되어 원격 인증 공격자에서 로컬 권한 상승까지 이어지는 시나리오가 확인됐습니다. 국내에서는 다우기술 DaouOffice, Synology DSM, Linux Kernel 등을 포함해 KrCERT 권고 8건이 한꺼번에 게시됐고, 패키지 생태계는 pip(pypdf·pyasn1·Authlib)와 npm(node-forge·@sigstore/oci) 양쪽에서 High 등급이 쏟아졌습니다. 수집 실패한 소스는 없습니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-97229 — GitLab Community Edition / Enterprise Edition
CI/CD 설정에 포함된 정규식 처리 과정의 정수 오버플로우로, 인증되지 않은 사용자가 GitLab 서버에서 임의 코드를 실행할 수 있습니다. EPSS 26.6%(상위 98%)로 오늘 수집분 중 악용 가능성이 가장 높게 산정됐으며, CISA는 실제 악용 정황을 근거로 KEV에 등재했습니다. GitLab을 셀프호스팅하는 조직은 노출된 인스턴스가 없는지, CI/CD 파이프라인 권한이 과도하게 열려 있지 않은지 우선 확인하고 벤더 패치를 즉시 적용해야 합니다. 랜섬웨어 캠페인 사용 여부는 Unknown입니다. NVD
CVE-2026-118527 · CVE-2026-111357 — Ivanti Connect Secure
두 취약점은 상호 체이닝되며 CVE-2026-104935와도 연계해 악용될 수 있습니다. CVE-2026-118527는 예측 가능한 식별자 생성 문제로 원격 인증 공격자가 공격자가 제어하는 파일을 알려진 경로에 업로드할 수 있게 하고, CVE-2026-111357은 핵심 기능 인증 누락으로 로컬 인증 공격자의 권한 상승을 허용합니다. 하나만 패치하면 다른 하나로 우회될 수 있으므로 반드시 함께 적용해야 합니다. CVE-2026-111357의 EPSS는 0.3%(상위 25%)입니다. VPN 게이트웨이는 외부 노출 면이 크므로 우선순위를 높게 잡으십시오. 랜섬웨어 사용 여부는 Unknown입니다. NVD · NVD
CVE-2026-76418 — Cisco Secure Firewall ASA / Secure FTD
반환값 미검사로 인한 NULL 포인터 역참조 취약점이며, 인증되지 않은 원격 공격자가 장비를 예기치 않게 재부팅시켜 DoS를 유발할 수 있습니다. EPSS 0.9%(상위 60%). 방화벽 자체가 다운되면 내부 네트워크 전체의 가용성이 흔들리므로, 외부 인터페이스 노출 장비부터 패치 여부를 확인하십시오. 랜섬웨어 사용 여부는 Unknown입니다. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
- 다우기술 DaouOffice 보안 업데이트 권고 — DaouOffice에서 접근통제 미흡 취약점이 확인됐으며, 영향받는 버전은 3.6.8.5입니다. 국산 그룹웨어는 공공기관·중소기업에서 널리 쓰이므로 사내망 계정 탈취로 이어질 수 있습니다. 제조사 지원에 따라 패치를 적용하세요. 공지 보기
- Synology DSM 보안 업데이트 권고 — DiskStation Manager에서 Insufficient Entropy(CVE-2026-13639)와 출력 인코딩/이스케이프 미흡 취약점이 보고됐습니다. NAS는 백업·파일 공유의 중심이라 한 번 침해되면 파급이 큽니다. DSM 최신 버전으로 업데이트하십시오. 공지 보기
- Linux Kernel 보안 업데이트 권고 — Expired Pointer Dereference 취약점(CVE-2026-98432)이 해결됐습니다. 배포판 커널 패키지로 반영되므로 각 배포판의 릴리스 노트를 따라 적용 시점을 정하세요. 공지 보기
- Cisco 제품 보안 업데이트 권고 — 위 KEV의 CVE-2026-76418(ASA/FTD NULL 포인터 역참조)에 대한 국내 권고입니다. KEV 등재와 함께 보면 실제 악용 정황까지 감안해야 합니다. 공지 보기
- Sophos 제품 보안 업데이트 권고 — Sophos UTM의 Path Traversal 취약점(CVE-2026-118633)입니다. 엣지 보안 장비가 침해되면 내부 트래픽 통제가 무력화될 수 있습니다. 공지 보기
- Atlassian 제품 보안 업데이트 권고 — Bitbucket/Confluence/Jira/Bamboo/Crowd Data Center, Crucible, Fisheye 등 협업 제품군 전반에 걸친 업데이트입니다. 사내 코드 저장소·위키가 대상이라 개발 조직은 배포 일정을 조기에 잡는 편이 좋습니다. 공지 보기
- Oracle 제품 보안 업데이트 권고 — Oracle Application Object Library의 Missing Authentication(CVE-2026-101767), Oracle Payments의 Improper Privilege Management 등이 포함됐습니다. ERP/결제 모듈과 직결되면 우선순위를 높이십시오. 공지 보기
- VMware 제품 보안 업데이트 권고 — VMware Telco Cloud Platform, Cloud Foundation, ESX, vSphere Foundation의 Insufficient Logging 취약점(CVE-2026-41709)입니다. 로깅 부족은 침해 사고 탐지·포렌식에 직접 영향을 줍니다. 공지 보기
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| Authlib | pip | high | >= 0.15, <= 1.9.0 | 1.9.1 |
| pypdf | pip | high | < 6.21.3 | 6.21.3 |
| pypdf | pip | high | < 6.21.3 | 6.21.3 |
| pypdf | pip | high | < 6.21.3 | 6.21.3 |
| pypdf | pip | high | < 6.21.3 | 6.21.3 |
| pyasn1 | pip | high | <= 0.6.4 | 0.6.5 |
| pyasn1 | pip | high | <= 0.6.4 | 0.6.5 |
| pyasn1 | pip | high | <= 0.6.4 | 0.6.5 |
| pyasn1 | pip | high | >= 0.3.3, < 0.6.5 | 0.6.5 |
| node-forge | npm | high | <= 1.4.0 | 1.4.1 |
| node-forge | npm | high | <= 1.4.0 | 1.4.1 |
| node-forge | npm | high | <= 1.4.0 | 1.4.1 |
| node-forge | npm | high | <= 1.4.0 | 1.4.1 |
| node-forge | npm | high | <= 1.4.0 | 1.4.1 |
| @sigstore/oci | npm | high | <= 0.7.1 | 0.7.2 |
node-forge는 5건이 한꺼번에 올라왔고 내용이 단순 DoS를 넘어 **X.509 체인 검증 우회(basicConstraints 우회)**와 PKCS#12 MAC 위조까지 포함합니다. TLS·인증서 검증 경로에서 쓰이는 라이브러리인 만큼 1.4.1로 올리는 것을 최우선으로 권합니다. pypdf는 악성/비정상 PDF 파싱 시 장시간 실행·대용량 메모리 사용(사실상 DoS) 계열 4건이며, pyasn1은 quadratic 복잡도 DoS 4건입니다. PDF·ASN.1을 신뢰할 수 없는 입력으로 다루는 서비스는 반드시 패치하십시오.
🧩 주요 스택 관련
- nginx (Cloud Controller 라우팅) — CVE-2026-59387(CVSS 8.8).
/internal/v4/,/internal/v5/에는 비인증 차단 규칙이 있으나/internal/v3/에 동일한 deny 규칙이 누락되어, staging 콜백 엔드포인트가 외부에서 접근 가능해졌습니다. Cloud Foundry 계열을 운영한다면 nginx 설정에서/internal/v3/차단 여부를 직접 확인하고, 해당 경로를 외부에 노출시키지 마십시오. NVD - n8n — CVE-2026-119408(CVSS 8.7). deprecated Function / Function Item / LangChain Code 노드가 task runner 격리 밖에서 실행되면서 RCE로 이어질 수 있습니다. 2.42.6, 2.43.3, 3.0.1 미만 버전이 영향을 받으며, 워크플로우를 생성·수정·임포트할 수 있는 인증 사용자가 트리거가 될 수 있습니다. 자동화 파이프라인에 n8n을 쓰는 조직은 버전을 즉시 올리고 위 노드 사용 이력을 점검하세요. NVD
- PHP (WordPress 플러그인 계열 Object Injection 다발) — Gravity Forms CVE-2026-103039(CVSS 9.8, <= 3.1.2), FunnelKit Automations CVE-2026-39738(9.8), LeadSnap CVE-2026-90888(9.8) 등이 오늘 한꺼번에 게시됐습니다. 대부분
maybe_unserialize()경유 PHP Object Injection이고, 일부는 비인증으로 트리거됩니다. WordPress를 운영한다면 플러그인 인벤토리를 뽑아 이 세 개의 패치 버전 반영 여부를 최우선 확인하십시오. - Chrome (156.0.8078.79 미만 전체) — Skia 정수/입력 검증(CVE-2026-119261, 9.6) 및 다수의 use-after-free·memory corruption이 샌드박스 밖 코드 실행까지 가능한 것으로 평가됐습니다. 개별 CVE를 하나씩 추적하기보다 브라우저 버전을 156.0.8078.79 이상으로 일괄 갱신하는 것이 실무적으로 맞습니다.
- Google Cloud Identity Platform / Firebase Auth (iOS) — CVE-2026-85268(CVSS 8.7). 악성 iOS 번들 ID를 이용한 XSS로 비인증 원격 공격자가 임의 JavaScript를 실행할 수 있습니다. 모바일 앱 인증을 Firebase에 위임한 서비스는 SDK 버전을 확인하세요.
- DedeCMS — CVE-2010-20125(CVSS 8.7). 오래된 이슈지만
plus/carbuyaction.php의 파일 인클루전으로 비인증 경로 조작이 가능합니다. 레거시 CMS를 아직 운영 중이라면 노출 여부부터 점검하십시오.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-103039 | 9.8 | 0.5% | Gravity Forms(WordPress) PHP Object Injection, 3.1.2 이하 전 버전 |
| CVE-2026-112816 | 10.0 | — | Canonical LXD HTTPS 리스너 인증서 검증 미흡 — 조작된 인증서로 임의 클라이언트 인증, 클러스터·VM 전체 장악 |
| CVE-2026-116366 | 9.5 | — | ClickHouse Server, 네트워크 접근만으로 비인증 임의 코드 실행 |
| CVE-2026-61738 | 10.0 | — | SOCFortress CoPilot 0.1.77 미만, GCP 리포트 생성 엔드포인트 권한 검증 결함 |
| CVE-2026-62853 | 9.9 | — | ThingLinks 1.4.0 미만, /groovyScriptTest/registerScript가 샌드박스 없는 Groovy 실행 |
| CVE-2026-116241 | 9.4 | — | pgAdmin 4 Import/Export 도구, 큰따옴표 식별자 내 백슬래시 미검사로 \copy 래퍼 탈출 |
| CVE-2026-119261 | 9.6 | 0.2% | Chrome 156.0.8078.79 미만 Skia 입력 검증 결함 — 샌드박스 밖 코드 실행 |
| CVE-2026-62863 | 9.6 | — | MoLing MCP 서버 0.5.0 미만, /sse·/message 무인증 + CORS *로 브라우저 경유 공격 가능 |
참고로 LXD(10.0), ClickHouse(9.5), pgAdmin(9.4)은 모두 인프라 운영 도구라 평소 외부에 직접 노출되지 않는다는 전제로 방심하기 쉬운 지점입니다. 관리망 접근 권한이 있는 내부자·측면 이동 공격자에게는 그대로 유효한 경로가 됩니다.
🌐 위협 동향
- CISA, Ivanti Connect Secure 2건 KEV 등재 — CISA가 실제 악용 증거를 근거로 CVE-2026-111357과 CVE-2026-118527을 KEV에 추가했습니다. 두 취약점은 CVE-2026-104935와 함께 체이닝 가능하다고 명시돼 있어, 단일 취약점 대응이 아니라 “체인 전체"를 닫아야 하는 상황입니다. VPN 장비를 운영하는 조직은 KEV 마감 시한을 기준으로 패치 캘린더를 재조정하십시오. 원문
- CISA, GitLab / Cisco 2건 KEV 등재(10/29) — 전날 등재된 CVE-2026-97229(GitLab CE/EE)와 CVE-2026-76418(Cisco ASA/FTD)입니다. 이틀에 걸쳐 KEV가 연속 추가된 만큼, CI/CD 서버와 엣지 방화벽이라는 “개발·경계” 양쪽 인프라가 동시에 공격 표면에 올라 있습니다. 원문
- Siemens Mendix SAML 모듈 인증 우회 (ICS 권고) — IdP-initiated 인증 흐름에서 유효한 SAML assertion을 재전송(replay)해 비인증 원격 공격자가 접근 권한을 얻을 수 있습니다. SAML 기반 SSO를 쓰는 ICS/엔터프라이즈 환경에서 특히 위험하며, “정상 서명된 assertion"이라는 점 때문에 탐지가 어렵습니다. Siemens가 영향 제품의 신규 버전을 배포했습니다. 원문
- 또 하나의 ClickFix 캠페인 (SANS ISC) — ISC가 ClickFix 계열 캠페인 관측을 다시 공유했습니다. 사용자가 “붙여넣기"를 하도록 유도하는 사회공학 패턴이 계속 재활용되고 있다는 뜻이며, 기술적 취약점이 아니라 사용자 행동을 노린다는 점에서 엔드포인트 통제·교육과 함께 브라우저 단 실행 차단 정책을 병행하는 편이 효과적입니다. 원문
오늘의 체크포인트
- GitLab CE/EE 패치 최우선 — CVE-2026-97229는 KEV 등재 + EPSS 상위 98%입니다. 셀프호스팅 인스턴스 버전을 확인하고 즉시 업그레이드하세요. CI/CD 러너 권한도 함께 재점검하십시오.
- Ivanti Connect Secure 두 건 동시 패치 — CVE-2026-118527과 CVE-2026-111357은 체이닝 관계입니다. 하나만 적용하면 우회 가능성이 남습니다.
- 패키지 의존성 갱신 —
node-forge1.4.1(특히 X.509 체인 검증 우회),pypdf6.21.3,pyasn10.6.5,Authlib1.9.1,@sigstore/oci0.7.2. CI 파이프라인의 lockfile까지 확인하십시오. - 내부 도구 노출면 점검 — LXD, ClickHouse, pgAdmin, n8n은 관리 인터페이스가 외부에 열려 있지 않은지, 그리고 이번 주 KEV/국내 권고에 포함된 방화벽·VPN·그룹웨어(DaouOffice)·NAS(Synology DSM)·커널(CVE-2026-98432)이 배포 캘린더에 들어와 있는지 확인하세요.
오늘의 한 줄: KEV가 이틀 연속 추가되며 GitLab·Ivanti·Cisco가 동시에 노출됐고, 패키지 생태계는 node-forge 인증서 검증 우회가 가장 실질적인 위험입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.