2026-11-01 Security Daily

오늘은 Ivanti Connect Secure 취약점 2건이 CISA KEV에 등재되며 실제 악용 근거가 확인됐고, NVD에는 WordPress 플러그인 RCE·인증 우회를 포함한 CVSS 9점대 취약점이 16건 쏟아졌습니다. 국내에서는 다우기술 DaouOffice, Sophos UTM, Linux Kernel, Cisco ASA/FTD 등 8건의 보안 업데이트 권고가 게시됐습니다. 모든 수집 소스가 정상 응답했으며(errors 없음), GHSA 신규 npm/composer/pip High·Critical 항목은 없었습니다.

🚨 실제 악용 확인 (CISA KEV)

CVE-2026-118527 — Ivanti Connect Secure

예측 가능한 번호/식별자 생성 취약점으로, 원격 인증된 공격자가 알려진 디스크 경로에 공격자 제어 콘텐츠를 업로드할 수 있습니다. 설명상 CVE-2026-104935, CVE-2026-111357과 연계(chain) 가능성이 명시되어 있어 단독보다 조합 공격 시나리오를 염두에 둬야 합니다. 랜섬웨어 사용 여부는 Unknown, EPSS는 데이터에 제공되지 않았습니다. 인터넷에 노출된 VPN/SSL VPN 게이트웨이는 최우선 점검 대상입니다. NVD

CVE-2026-111357 — Ivanti Connect Secure

핵심 기능에 대한 인증 누락(Missing Authentication for Critical Function)으로, 로컬 인증 공격자가 권한을 상승(privilege escalation)시킬 수 있습니다. EPSS 0.5(상위 45%)로 KEV 등재 항목 중 상대적으로 높은 편이며, 같은 제품의 다른 두 CVE와 연계됩니다. 랜섬웨어 사용 여부는 Unknown. 어플라이언스 자체가 침해됐을 가능성을 가정하고 패치 적용 전후 로그·계정 점검을 병행하는 것이 안전합니다. NVD

🇰🇷 국내 보안공지 (KrCERT/KISA)

• 다우기술 DaouOffice 보안 업데이트 권고 — DaouOffice 3.6.8.5에서 접근통제 미흡 취약점이 확인됐습니다. 국내 다수 조직이 그룹웨어·오피스 포털로 사용하는 제품인 만큼, 제조사 지원에 따라 순차 배포되는 패치를 적용해야 합니다. 공지 보기
• Sophos 제품 보안 업데이트 권고 — Sophos UTM에서 Path Traversal 취약점(CVE-2026-118633)이 보고됐습니다. 경계 장비에서 임의 파일 접근이 가능한 유형이므로 최신 버전 업데이트가 필요합니다. 공지 보기
• Atlassian 제품 보안 업데이트 권고 — Bitbucket/Confluence/Jira Service Management/Jira Software/Bamboo/Crowd Data Center, Crucible, Fisheye에 걸친 다수 취약점이 해결됐습니다. 사내 협업·형상관리 서버를 운영 중이라면 영향 버전 여부를 먼저 확인하세요. 공지 보기
• Oracle 제품 보안 업데이트 권고 — Oracle Application Object Library의 인증 누락(CVE-2026-101767), Oracle Payments의 부적절한 권한 관리 등이 포함됩니다. 공공·금융권 Oracle E-Business Suite 계열 운영 환경은 영향도가 큽니다. 공지 보기
• VMware 제품 보안 업데이트 권고 — VMware Telco Cloud Platform, Cloud Foundation, ESX, vSphere Foundation에서 불충분한 로깅(Insufficient Logging) 취약점(CVE-2026-41709)이 보고됐습니다. 가상화 기반 인프라 운영자는 로그 수집·감사 체계와 함께 패치 여부를 확인해야 합니다. 공지 보기
• Linux 제품 보안 업데이트 권고 — Linux Kernel의 Expired Pointer Dereference 취약점(CVE-2026-98432)이 해결됐습니다. 배포판 커널 패키지 업데이트 주기에 맞춰 반영 여부를 추적하세요. 공지 보기
• Cisco 제품 보안 업데이트 권고 — Cisco Secure Firewall ASA 및 Secure Firewall FTD에서 Unchecked Return Value to NULL Pointer Dereference 취약점(CVE-2026-76418)이 확인됐습니다. 경계 방화벽의 가용성에 영향을 줄 수 있어 우선순위를 높게 잡는 것이 좋습니다. 공지 보기
• Synology 제품 보안 업데이트 권고 — Synology DSM에서 불충분한 엔트로피(CVE-2026-13639) 및 출력 인코딩/이스케이프 부적절 등이 보고됐습니다. NAS를 사내 백업·파일 서버로 쓰는 환경에서는 DSM 업데이트를 서두르세요. 공지 보기

📦 패키지 생태계 (GHSA)

오늘 npm/composer/pip 신규 High/Critical 없음.

🧩 주요 스택 관련

WordPress / PHP — 9점대 RCE·인증 우회가 대거 게시됐습니다. SimpleForm(CVE-2026-118235, 9.8)은 3.10.2 이하에서 서버 측 파일 키 허용목록 부재로 임의 파일 업로드가 가능하고, Project Manager(CVE-2026-116512, 9.8)는 4.1.1 이하에서 id 파라미터 미검증으로 RCE, PDF Invoice for WooCommerce(CVE-2026-109220, 9.8)는 7.1.1 이하 customer_note를 통한 PHP Object Injection, Acadlix LMS(CVE-2026-103882, 9.1)는 1.1.9 이하 임의 파일 삭제입니다. 이 외 WP Social Login(≤3.2.2) 인증 우회(CVE-2026-103898, 8.1), Shield Security(≤22.3.2) Stored XSS(CVE-2026-118057, 7.2)도 함께 확인됩니다. 플러그인을 쓰는 사이트는 해당 버전 이하 여부를 즉시 확인하고, 패치가 나오지 않은 항목은 비활성화를 검토하세요.

Node.js — Aedes MQTT broker 1.1.1 미만에서 PUBLISH/SUBSCRIBE 또는 등록된 Will 메시지의 topic 깊이·구조 복잡도가 제한되지 않아 mqemitter → qlobber 경로에서 자원 고갈이 발생할 수 있습니다(CVE-2026-63341, 7.5). MQTT 브로커를 외부에 노출한 IoT/메시징 환경은 1.1.1 이상으로 업데이트하거나 브로커 앞단에서 토픽 길이를 제한하세요.

Docker — TAKO AI Agent for Okta 3.0.1-beta 미만에서 POST /api/auth/setup이 인증 없이 최초 관리자 계정을 생성할 수 있습니다(CVE-2026-63377, 9.8). Okta 관리 자동화 도구를 컨테이너로 띄운 경우 초기 구동 시점에 노출되지 않도록 네트워크 접근을 제한해야 합니다. ShowDoc 2.8.14~3.9.6 미만(CVE-2026-120203, 8.7)은 Mock 기능의 mockjs 템플릿이 eval()로 평가되어 인증 사용자가 셸 명령을 실행할 수 있습니다.

PHP (Laravel) — Shopper — 2.10.0 미만에서 Variants Livewire 컴포넌트의 DeleteAction에 서버 측 인가가 없어 edit_products 권한만으로 상품 변형을 삭제할 수 있고(CVE-2026-62989, 8.1), 2.10.1 미만(3.0.0 beta.1/beta.2 포함)에서는 콘텐츠 업로드 권한을 가진 백오피스 직원이 관리자 오리진에 실행 가능한 미디어를 저장할 수 있습니다(CVE-2026-62990, 8.7).

Windows / .NET — Metalama — 2025.1.18, 2026.0.25, 2026.1.19 미만에서 예측 가능한 임시 디렉터리의 컴파일 타임 어셈블리·보조 도구를 로드/실행하며(CVE-2026-62847, 8.2), 2023.0.101-rc 이후 버전에서는 Visual Studio 통합이 로컬 명명 파이프 메시지를 CLR 타입 제한 없이 역직렬화합니다(CVE-2026-62848, 7.3). 빌드 서버와 개발자 워크스테이션 모두 해당 버전 확인이 필요합니다.

🔴 신규 Critical 하이라이트

참고로 Jpom 2.10.0~2.11.12의 인증 우회(CVE-2026-120201, 9.3, JPOM-USER-TOKEN 헤더에 is not null 주입)와 MINA 3.0 codec의 무필터 역직렬화(CVE-2026-118636, 9.8, 코드 브랜치 비활성으로 미패치)도 함께 게시됐습니다. CVSS는 평가됐지만 실제 악용 정황은 아직 확인되지 않았으므로 노출도 기준으로 우선순위를 정하세요.

🌐 위협 동향

• CISA, Ivanti Connect Secure 2건 KEV 등재 — CISA가 실제 악용 근거를 바탕으로 CVE-2026-111357, CVE-2026-118527을 KEV 카탈로그에 추가했습니다. 두 취약점은 서로 그리고 CVE-2026-104935와 연계 가능성이 명시되어 있어, 단일 패치가 아닌 어플라이언스 전체 버전 정합성 점검이 필요합니다. 원문
• Wireshark 5.0.0rc1 공개 (ISC) — Wireshark 5.0.0 릴리스 후보가 배포되며 메이저 버전 업그레이드가 임박했습니다. 분석 도구를 파이프라인에 넣어 쓰는 팀은 새 버전의 플러그인·디시ector 호환성을 미리 검증해 두는 것이 좋습니다. 원문
• YARA-X 1.22.1 / 1.22.0 릴리스 (ISC) — 1.22.0에서 11개 개선·9개 버그픽스, 1.22.1에서 버그픽스 2건이 반영됐습니다. 탐지 룰 운영 환경이라면 시그니처 동작 변화 여부를 테스트 후 반영하세요. 1.22.1 · 1.22.0
• ISC Stormcast (10/30) — SANS ISC의 일일 위협 요약 팟캐스트입니다. 오늘 ISC 다이어리는 공격 캠페인 분석보다 도구 릴리스 소식 비중이 높았습니다. 원문

오늘의 체크포인트

1. Ivanti Connect Secure 즉시 패치·점검 — KEV 등재 + 연계 취약점 존재. 인터넷 노출 여부를 확인하고, 패치 후 관리자 계정·업로드 경로에 대한 이상 흔적을 감사하세요.
2. WordPress 플러그인 버전 일괄 확인 — SimpleForm, Project Manager, PDF Invoice for WooCommerce, Acadlix LMS, Uncanny Toolkit for LearnDash, WP Social Login, Shield Security. 9점대 RCE·인증 우회가 다수이므로 미사용 플러그인은 제거, 사용 중이면 버전 확인 후 갱신 또는 비활성화.
3. 국내 공지 8건 영향도 매핑 — 특히 DaouOffice(국내 그룹웨어)와 Cisco ASA/FTD, Sophos UTM, Synology DSM은 경계·인프라 장비로 가용성 영향이 큽니다. 패치 창(window)을 오늘 중 확보하세요.
4. MQTT·IoT 브로커와 관리 도구 노출 점검 — Aedes MQTT broker, TAKO AI Agent for Okta, ShowDoc, Jpom, AJ-Report처럼 인증 없이 또는 낮은 권한으로 접근 가능한 관리·메시징 서비스가 외부에 열려 있지 않은지 확인하세요.

마무리

오늘의 한 줄: Ivanti Connect Secure 2건이 KEV에 오르며 VPN 게이트웨이가 다시 1순위이고, WordPress 플러그인 9점대 취약점이 대량 게시돼 CMS 자산 인벤토리 점검이 시급한 하루입니다.

매일 아침 보안 동향을 릿치 블로그에서 만나보세요.