도입부
오늘은 KEV 신규 등재와 국내·패키지 생태계 공지가 모두 비어 있는 가운데, NVD에 CVSS 9.0 이상 Critical 9건이 게시되었습니다. 가장 눈에 띄는 것은 Apache MINA 3.0 codec 모듈의 Java 역직렬화 RCE(CVE-2026-118636, 9.8)로, 해당 3.0.0 브랜치는 유지보수가 중단되어 공식 패치가 계획되어 있지 않다는 점이 위험합니다. 또한 셀프호스팅 샌드박스 플랫폼 Beta9에서 격리 우회·경로 조작 계열 취약점 3건이 동시에 공개되었고, WAVLINK·D-Link 등 IoT 공유기/라우터의 원격 명령 주입·버퍼 오버플로우가 다수 포함되었습니다. 수집 실패로 인한 누락은 없었습니다(errors 없음).
🚨 실제 악용 확인 (CISA KEV)
오늘 KEV 신규 등재 없음.
🇰🇷 국내 보안공지 (KrCERT/KISA)
오늘 신규 공지 없음.
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음.
🧩 주요 스택 관련
스택 키워드 매칭 신규 CVE는 없으나, Critical 항목 중 컨테이너 스택 키워드가 감지된 건이 1건 있습니다.
- CVE-2026-120306 — Beta9 빌드 워커의 Buildah 격리 미적용 (9.9): Beta9는 테넌트 이미지 정의의 각 shell 명령을 Dockerfile RUN 라인으로 변환해 빌드 워커에서 Buildah로 실행하는데, 워커 이미지가
BUILDAH_ISOLATION=chroot로 설정되어 있고 개별buildah호출에--isolation을 넘기지 않아 파일시스템 루트만 바뀔 뿐 워커 pod의 권한·네임스페이스 경계가 유지됩니다. 스택 매칭에서runc키워드가 감지된 항목으로, 컨테이너 빌드 격리를 신뢰 경계로 사용하는 셀프호스팅 빌드/샌드박스 플랫폼 운영자는 테넌트 간 격리 가정이 실제로 성립하는지 점검해야 합니다. 해당 취약점 자체는 Beta9 제품 코드 문제이며,runc자체의 결함으로 단정할 수는 없습니다.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-120338 | 10.0 | 미평가 | Prefab UI의 Generative UI 샌드박스가 Deno를 --allow-all(제한 없음)로 기동해, 신뢰할 수 없는 Python(LLM 생성 UI 포함)이 격리를 우회 가능 (0.14.0~0.20.2) |
| CVE-2026-120306 | 9.9 | 미평가 | Beta9 빌드 워커가 Buildah chroot 격리만 적용해 테넌트 명령이 워커 경계를 넘어설 수 있음 |
| CVE-2026-120307 | 9.9 | 미평가 | Beta9 워커의 샌드박스 파일 API에서 컨테이너 경로→워커 경로 변환 시 경로 조작으로 마운트 밖 접근 가능 |
| CVE-2026-120308 | 9.9 | 미평가 | Beta9 테넌트가 볼륨 식별자 검증 부재로 다른 워크스페이스 볼륨에 접근 가능 |
| CVE-2026-118636 | 9.8 | 0.6% | Apache MINA 3.0 codec 모듈의 JavaNativeMessageDecoder가 class filter 없이 ObjectInputStream.readObject() 호출 → gadget-chain RCE (UNSUPPORTED, 3.0.0 브랜치 패치 계획 없음) |
| CVE-2026-62048 | 9.3 | 미평가 | WordPress 플러그인 BookIt 2.6.0.6 이하 SQL Injection |
| CVE-2026-120195 | 9.3 | 2.1% | WAVLINK WL-WN579A3-A 초기 설정 마법사(/cgi-bin/adm.cgi의 set_wzdgwMesh)에서 wlan_ssid 조작으로 OS command injection |
EPSS는 대부분 낮거나 미평가 상태로, 공개 PoC 존재 여부와 별개로 실제 대규모 악용 정황은 아직 확인되지 않았습니다. 다만 CVE-2026-120195·120198은 exploit이 공개된 것으로 서술되어 있어 노출된 IoT 기기에서는 주의가 필요합니다.
🌐 위협 동향
- OneNote 파일 내장 객체 추출 (ISC Diary): 분석 과정에서
.one확장자의 OneNote 파일 집합에 포함된 내장 파일을 추출해야 했던 사례를 다룹니다. OneNote는 첨부 객체를 품은 채 유통될 수 있어, 메일·공유 링크로 유입된.one파일을 다룰 때는 내장 객체를 분리해 검사하는 절차가 유용합니다. 원문 - Wireshark 5.0.0rc1 릴리스 (ISC Diary): Wireshark 5.0.0 release candidate가 공개되어 곧 메이저 버전 전환이 예상됩니다. 네트워크 포렌식·트래픽 분석 파이프라인에서 Wireshark/tshark를 자동화에 쓰는 환경은 메이저 업그레이드 시 CLI 옵션·출력 포맷 호환성을 사전 검증해 두는 것이 좋습니다. 원문
- YARA-X 1.22.1 / 1.22.0 릴리스 (ISC Diary): YARA-X 1.22.1은 버그픽스 2건, 1.22.0은 개선 11건·버그픽스 9건을 포함합니다. 룰 기반 탐지를 YARA-X로 이관 중인 팀은 1.22 계열에서 룰 매칭 동작 변화가 없는지 회귀 테스트를 돌려볼 만합니다. 1.22.1 · 1.22.0
오늘의 체크포인트
- Apache MINA 3.0 codec 모듈 사용 여부 확인 — CVE-2026-118636은 UNSUPPORTED(3.0.0 브랜치 유지보수 중단)로 공식 패치가 없습니다. 신뢰할 수 없는 peer 앞단에 해당 디코더를 두고 있다면 노출을 차단하고, 유지보수 중인 브랜치로의 이관 또는 역직렬화 필터 적용을 검토하세요.
- 노출된 IoT 공유기/라우터 점검 — WAVLINK(WL-WN579A3-A, WL-WN530BE1-A)와 D-Link DIR-505(1.10B02)의 원격 명령 주입·버퍼 오버플로우가 공개되었습니다. 관리 인터페이스의 외부 노출을 차단하고 벤더 펌웨어 공지를 확인하세요.
- WordPress BookIt 플러그인 업데이트 — 2.6.0.6 이하에서 SQL Injection(CVE-2026-62048)이 보고되었습니다. 사용 중이라면 최신 버전 적용 여부를 확인하세요.
- 셀프호스팅 샌드박스/빌드 플랫폼의 멀티테넌트 격리 재점검 — Beta9 계열 취약점 3건과 Prefab UI 샌드박스 이슈는 모두 “격리라고 문서화된 기능이 실제로는 격리가 아님” 유형입니다. 신뢰할 수 없는 코드를 실행하는 환경이라면 격리 경계(네임스페이스·마운트·권한 플래그)를 직접 검증하세요.
마무리
- 오늘의 한 줄 정리: KEV·국내·패키지 공지는 조용했지만, “격리를 표방한 샌드박스"의 설계 결함과 유지보수 종료 브랜치의 역직렬화 RCE가 Critical로 올라온 하루입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.