오늘은 CISA KEV 신규 등재 없이, NVD 24시간 내 게시분 중 CVSS 9.0 이상 Critical이 27건 쏟아진 하루입니다. WordPress 플러그인(s2Member, Ultra Addons for Contact Form 7)과 Joomla 확장의 인증 없이 가능한 RCE/파일 업로드가 9.4~9.8점으로 올라왔고, Control Web Panel(CWP)·Barracuda Email Security Gateway·kaniko 같은 운영 인프라 계열 인증 우회/자격증명 유출도 눈에 띕니다. 국내에서는 TeamViewer, Ivanti Connect Secure, WordPress weDevs Project Manager 관련 KrCERT 권고 3건이 게시됐습니다. 오늘 수집 실패한 소스는 없습니다.
🚨 실제 악용 확인 (CISA KEV)
오늘 KEV 신규 등재 없음.
🇰🇷 국내 보안공지 (KrCERT/KISA)
- TeamViewer 제품 보안 업데이트 권고 — TeamViewer Full Client, Portable, Remote Control App에서 Integer Overflow or Wraparound 취약점(CVE-2026-111585)이 해결되었습니다. 재택/원격지원 용도로 TeamViewer를 상시 구동하는 조직은 취약 버전 여부를 확인하고 최신 버전으로 갱신하는 것이 좋습니다. 공지 보기
- Ivanti 제품 보안 업데이트 권고 — Ivanti Connect Secure의 Inclusion of Functionality from Untrusted Control Sphere 취약점(CVE-2026-111357)에 대한 업데이트입니다. Connect Secure는 외부에 노출되는 VPN 게이트웨이인 만큼, 공공·금융 등 원격접속 인프라 운영 기관은 영향 버전과 해결 버전을 즉시 대조해야 합니다. 공지 보기
- WordPress 제품 보안 업데이트 권고 — weDevs Project Manager 플러그인의 Unrestricted Upload of File with Dangerous Type 취약점(CVE-2026-116512)이 해결되었습니다. 국내에서도 사내 프로젝트/업무 관리용으로 WordPress 플러그인을 쓰는 경우가 많아, 플러그인 단위 업데이트 누락이 곧 웹셸 업로드 경로가 될 수 있습니다. 공지 보기
KNVD 국내 취약점 정보(krVuln)는 오늘 신규 항목이 없습니다.
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음.
🧩 주요 스택 관련
- PHP — WordPress 플러그인 다수 (CVE-2026-102435, CVSS 9.8): Ultra Addons for Contact Form 7 플러그인 3.5.54 이하에서
_getObjAttr함수의 파일 경로 검증 부족으로 인증되지 않은 공격자가 임의 파일을 삭제할 수 있습니다. Contact Form 7은 국내외에서 가장 널리 쓰이는 폼 플러그인 중 하나이므로 애드온까지 포함해 버전을 확인하세요. NVD - PHP — WordPress s2Member (CVE-2026-86596, CVSS 9.8): 260927 이하 버전에서
strip_php_tags_deep()가 리터럴<?시퀀스만 제거하는 불충분한 정제와 post-interpolation이 결합해item_name파라미터를 통한 원격 코드 실행이 가능합니다. 회원제/구독 사이트에서 사용률이 높은 플러그인으로, 미사용 시 비활성화가 가장 확실한 완화책입니다. NVD - PHP — Control Web Panel (CVE-2026-73696 / CVE-2026-73695 / CVE-2026-77876): webpanel_version 1.16 이전에서 인증 흐름의 redirect 후
exit()누락으로 인한 인증 우회(9.3),services/users/index.php경로 traversal을 통한 로컬 PHP 파일 include(8.7), protected_directory 모듈의 OS 명령 주입(9.3)이 함께 보고됐습니다. CWP는 다수 사이트를 호스팅하는 관리 패널이므로 패널 자체 패치가 최우선입니다. - PHP/Joomla — 확장 RCE·SQLi (CVE-2026-105606, CVE-2026-105603, CVE-2026-105604, CVE-2026-105600, CVE-2026-102802): Custom Tables 3.7.8 미만의 비인증 파일 업로드(9.5), DJ-Classifieds 3.11.3 미만의 인증/비인증 업로드 및 프런트 검색 SQL 인젝션(9.4/9.3), StageIt의 문자열 설정 기반 RCE(8.6), Sourcerer + Articles Anywhere 조합의 PHP 코드 인젝션(8.9)이 게시됐습니다. Joomla 사이트는 확장 단위 버전 확인이 필요합니다.
- Docker/컨테이너 — kaniko (CVE-2026-105769, CVSS 9.3): 1.25.20 미만에서 Azure Container Registry credential helper가 호스트가 ACR인지 판단하는 로직의 문제로, Microsoft Entra ID(Azure AD) ARM 액세스 토큰을 공격자 제어 레지스트리 호스트로 전송할 수 있습니다. Azure ACR 대상 이미지 빌드 파이프라인에서 kaniko를 쓰는 경우 버전 상향이 필요합니다. NVD
- Docker — Jpom (CVE-2026-120460, CVSS 8.7): 2.11.12 이하에서 워크스페이스 간 인가 우회로 다른 워크스페이스의 Docker 호스트 자산 id를 넘겨 컨테이너·이미지·볼륨·네트워크를 제어할 수 있습니다. Jpom을 다중 팀에 개방해 운영 중이라면 권한 분리 가정이 깨질 수 있습니다.
- Linux kernel — io_uring/tracing/keys/Bluetooth 일괄 수정 (CVE-2026-99217 ~ CVE-2026-99239): 오늘 게시된 커널 항목은 대부분
io_uring/waitid참조 카운터 래핑, tracing 히스토그램/필터의 lock 미보유, keys 서브시스템의 타입 수명 문제, L2CAP 채널 TOCTOU 등 안정성·권한 경계 계열 수정입니다. 대부분 CVSS 7.0~7.8 또는 미평가이며, 배포판 커널 업데이트 주기에 맞춰 반영하면 충분합니다. 다만 미평가 항목이 많아 실제 위험도는 배포판 벤더 판단을 확인하는 편이 안전합니다. - Android — 하드코딩 자격증명/명령 주입 (CVE-2026-119736, CVE-2026-119737): Petpooja Payroll 계열 Admin 앱 3.0.13 이하에서 APK 내 Flutter 설정 자산에 운영 MQTT 브로커 자격증명이 하드코딩되어 있고(8.8), Amlogic S905/S905X 기반 TV 박스의
pppoe_wrapper데몬은 월드 라이트 가능한 AF_UNIX 소켓을 통해 로컬 root 명령 실행이 가능합니다(8.5). 키오스크/사내 단말로 해당 앱·박스를 쓰는 환경은 자산 파악이 먼저입니다.
🔴 신규 Critical 하이라이트
오늘 수집 데이터에는 EPSS 값이 포함되지 않아 해당 열은 —로 표기합니다(수치 미수집).
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-102435 | 9.8 | — | WordPress Ultra Addons for Contact Form 7 ≤3.5.54 — 비인증 임의 파일 삭제 |
| CVE-2026-86596 | 9.8 | — | WordPress s2Member ≤260927 — item_name 파라미터 통한 RCE |
| CVE-2026-105606 | 9.5 | — | Joomla Custom Tables <3.7.8 — 비인증 파일 업로드(polyglot) |
| CVE-2026-116606 | 9.3 | — | Barracuda Email Security Gateway <9.4.0.030 — 인증 우회 후 설정 복원 |
| CVE-2026-105769 | 9.3 | — | kaniko <1.25.20 — Entra ID 토큰을 공격자 레지스트리로 전송 |
| CVE-2026-120442 | 9.3 | — | ape-volo-admin <3.6.1 — appsettings.json 하드코딩 JWT 키로 관리자 토큰 위조 |
| CVE-2026-120213 | 9.1 | — | @fastify/http-proxy 9.0.0~11.6.5 — rewritePrefix 처리 시 URL 디코딩된 경로 치환 |
| CVE-2026-120459 | 9.1 | — | python-jose ≤3.5.0 — 길이 0 HMAC 시크릿 허용으로 JWT 위조 |
특히 python-jose와 @fastify/http-proxy는 애플리케이션 인증 계층에 직접 닿는 라이브러리라, 서비스 코드에서 의존성 버전을 바로 확인할 가치가 있습니다.
🌐 위협 동향
- Multipath TCP(MPTCP) 악용 표면과 탐지 — ISC는 2020년 도입된 MPTCP 옵션이 Linux 구현 취약점(CVE-2026-98432)으로 다시 주목받았다고 정리했습니다. MPTCP는 기본적으로 꺼져 있는 경우가 많지만, 활성화된 서버는 옵션 처리 경로가 노출되므로 커널 설정과 트래픽 관측 포인트를 함께 점검하라는 조언입니다. 원문
- OneNote(.one) 파일에서 임베디드 객체 추출 — 침해 분석 중 OneNote 파일에 삽입된 첨부를 꺼내는 절차를 다룬 diary입니다. OneNote는 매크로 없는 첨부 기반 유포에 꾸준히 쓰이는 포맷이므로, 메일 게이트웨이에서 .one 확장자 처리 정책을 재확인하는 계기가 됩니다. 원문
- ISC Stormcast (11/2) — 일일 요약 팟캐스트로, 별도 신규 캠페인 분석은 포함되지 않았습니다. 원문
CISA 권고/캠페인 분석은 오늘 수집분이 없습니다.
오늘의 체크포인트
- WordPress 사이트 전수 점검: Ultra Addons for Contact Form 7, s2Member, weDevs Project Manager 세 플러그인의 설치 여부와 버전을 확인하고 즉시 업데이트 또는 비활성화하세요. 오늘 Critical 중 가장 실질적 침해 경로입니다.
- Joomla 확장 버전 대조: Custom Tables, DJ-Classifieds, StageIt, Sourcerer/Articles Anywhere를 사용 중이면 각각의 최소 안전 버전과 대조하세요.
- 인프라/빌드 도구 패치: Control Web Panel(1.16 이상), Barracuda ESG(9.4.0.030 이상), kaniko(1.25.20 이상), python-jose, @fastify/http-proxy를 확인하세요.
- 국내 공지 3건 반영: TeamViewer, Ivanti Connect Secure, WordPress weDevs 플러그인 업데이트를 자산 목록 기준으로 배포하세요.
마무리
- 오늘의 한 줄: KEV 신규는 없지만, WordPress·Joomla 플러그인 계열 RCE/업로드 취약점이 대량으로 올라온 날 — CMS 확장 버전 관리가 곧 침해 예방입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.