도입부

오늘 가장 무거운 소식은 WordPress Core가 CISA KEV에 등재된 것입니다. 코어 업그레이드 창(window) 동안 예측 가능한 스테이징 경로를 악용해 비인증 공격자가 코드를 실행할 수 있는 TOCTOU 경쟁 조건으로, 실제 악용 정황이 확인되어 KEV에 올라갔습니다. 여기에 더해 Google Chrome 157.0.8103.38에서 샌드박스 탈출을 포함한 대량의 취약점이 한꺼번에 공개되어, 브라우저·WordPress·그리고 국내 환경에서 쓰이는 TeamViewer/Ivanti/지란지교소프트 제품까지 업데이트 대상이 넓게 퍼진 하루입니다. 수집 오류는 없었으며, GHSA(npm/composer/pip) 신규 High/Critical 항목은 오늘 없습니다.

🚨 실제 악용 확인 (CISA KEV)

CVE-2026-119977 — WordPress / WordPress Core

WordPress Core의 전체 패키지 코어 업그레이드 과정에서 사용되는 스테이징 경로가 웹에서 접근 가능하고 예측 가능해, 업그레이드가 진행되는 짧은 창 동안 비인증 공격자가 서버에서 코드를 실행할 수 있는 TOCTOU 경쟁 조건 취약점입니다. 공격 조건이 “업그레이드 창"이라는 시간 제약에 걸려 있어 상시 노출은 아니지만, 대규모 WordPress 사이트에서 업데이트 직후가 가장 위험한 구간이라는 점이 문제입니다. 랜섬웨어 캠페인 사용 여부는 Unknown(데이터상 확인되지 않음), EPSS는 0.6%(상위 49백분위)로 확률 자체는 낮게 추정되지만, KEV 등재는 실제 악용이 관측되었다는 뜻이므로 EPSS 수치와 무관하게 우선순위로 다뤄야 합니다. 영향 환경은 WordPress Core를 사용하는 모든 자체/호스팅 설치본이며, 조치 방향은 최신 Core로 신속히 업데이트하고 업그레이드 중 웹에서 접근 가능한 스테이징 디렉터리가 외부에 노출되지 않도록 웹서버 설정을 점검하는 것입니다. NVD

🇰🇷 국내 보안공지 (KrCERT/KISA)

  • Apache 제품 보안 업데이트 권고 — Apache Fineract에서 SQL Injection 두 건(CVE-2026-64618, CVE-2026-65874)이 해결되었습니다. 금융/코어뱅킹 영역에서 쓰이는 오픈소스라 국내 금융권·핀테크 인프라에서 영향 여부를 확인할 필요가 있습니다. 공지 보기
  • 지란지교소프트 제품 보안 조치 권고 — CrossUploader 1.0.00 이상 3.0.09 이하에서 부적절한 파일 업로드 취약점이 확인되어, 제조사 권고에 따라 샘플파일 삭제 등의 조치가 필요합니다. 국산 파일 업로드/전송 솔루션은 공공·교육 환경에 널리 깔려 있어 실무 영향이 큰 유형입니다. 공지 보기
  • Linux 제품 보안 업데이트 권고 — Linux 커널에서 Use After Free 취약점(CVE-2026-43499)이 해결되었습니다. 커널 레벨 결함은 컨테이너 호스트·가상화 노드에서 특히 우선 적용 대상입니다. 공지 보기
  • Termix 제품 보안 업데이트 권고 — Termix에서 Path Traversal 취약점(CVE-2026-120322)이 해결되었습니다. 파일 경로 처리 결함은 자격증명 파일·설정 파일 노출로 이어질 수 있어 업데이트가 권고됩니다. 공지 보기
  • 美 CISA 발표 주요 Exploit 정보공유 (Update. 2026-11-03) — 오늘 KEV에 등재된 CVE-2026-119977(WordPress Core)을 포함한 악용 중 취약점 목록을 국내에 공유한 공지입니다. KEV 항목을 국내 자산 기준으로 대조하는 용도로 활용하세요. 공지 보기
  • TeamViewer 제품 보안 업데이트 권고 — TeamViewer Full Client, Portable, Remote Control App에서 Integer Overflow or Wraparound 취약점(CVE-2026-111585)이 해결되었습니다. 원격 지원 도구는 사내망 횡적 이동 경로가 되기 쉬워 우선 업데이트 대상입니다. 공지 보기
  • Ivanti 제품 보안 업데이트 권고 — Ivanti Connect Secure에서 신뢰할 수 없는 제어 영역의 기능 포함(CVE-2026-111357) 등이 해결되었습니다. SSL VPN은 경계 장비라 노출 시 파급이 크므로 신속한 패치가 필요합니다. 공지 보기
  • WordPress 제품 보안 업데이트 권고 — weDevs Project Manager 플러그인에서 위험한 형식의 파일 무제한 업로드 취약점(CVE-2026-116512)이 해결되었습니다. 플러그인 단위 취약점은 코어 패치와 별개로 관리되므로 사용 중인 플러그인 목록으로 직접 확인해야 합니다. 공지 보기

📦 패키지 생태계 (GHSA)

오늘 npm/composer/pip 신규 High/Critical 없음.

🧩 주요 스택 관련

  • Chrome / Chromium (157.0.8103.38 미만) — 오늘 수집된 Critical 55건 중 대다수가 Chrome 관련이며, 대부분 “샌드박스 외부(또는 내부)에서 임의 코드 실행"으로 서술된 V8 type confusion, Use after free, ANGLE/Skia 버퍼 오버플로, DevTools 권한 오류 등입니다. 데스크톱·Android·Windows 빌드가 모두 포함되므로 브라우저 자동 업데이트 정책을 확인하고 157.0.8103.38 이상으로 맞추는 것이 핵심입니다. 참고로 여러 항목이 NVD CVSS 9.6으로 평가되었지만 설명에는 “Chromium security severity: Low/Medium"으로 표기된 사례가 섞여 있어, 실제 위험도는 벤더 등급과 함께 보는 것이 안전합니다.
  • s2Member (WordPress 플러그인, PHP) — item_name 파라미터를 통한 Remote Code Execution, 260927 이하 전 버전 영향(CVE-2026-86596). PHP 스택 매칭 항목으로, 해당 플러그인을 쓰는 사이트는 버전 확인 후 즉시 조치가 필요합니다. NVD
  • isomorphic-git (Node.js, 1.38.6 미만) — git.checkout이 심볼릭 링크로 연결된 상위 디렉터리 구성요소를 검사하지 않아, 악성 저장소가 임의 경로에 파일을 쓸 수 있습니다(CVE-2026-63395, CVSS 8.8). Node.js 기반 빌드/자동화 파이프라인에서 신뢰할 수 없는 저장소를 클론·체크아웃한다면 1.38.6 이상으로 올리세요. NVD
  • Elo (Node.js, 1.0.1 미만) — 문자열 리터럴 이스케이프 미비로 .constructor.constructor를 통해 JavaScript Function에 도달할 수 있는 코드 실행 취약점(CVE-2026-44267). 사용자 입력을 Elo 표현식으로 파싱하는 서비스라면 입력 소스를 제한하고 1.0.1 이상으로 업데이트하세요. NVD
  • Advanced Custom Fields: Extended PRO (WordPress, 0.9.2.6 이하) — render_field 함수에서 폼 구성 파라미터 검증 부족으로 제한적 코드 주입이 가능합니다(CVE-2026-120534). 데이터상 openssl 키워드가 매칭되어 있으나 설명상으로는 플러그인 내부 코드 주입 이슈로 보이므로, 키워드 매칭 결과는 참고 수준으로 보고 플러그인 버전 기준으로 판단하는 편이 좋습니다. NVD

🔴 신규 Critical 하이라이트

CVECVSSEPSS요약
CVE-2026-865969.81.5%WordPress s2Member 플러그인 item_name 파라미터 RCE (260927 이하)
CVE-2026-40529.80.4%WSO2 IS를 Resident Key Manager + DB 공유로 구성한 환경에서 자가등록 사용자가 API Manager System REST API 접근
CVE-2026-1205349.80.3%ACF Extended PRO render_field 코드 주입 (0.9.2.6 이하)
CVE-2026-283369.9—SolarWinds Dameware 명령 주입, 인증 필요하나 원격 제어 호스트 장악 가능
CVE-2026-386009.8—codeskyblue gohttpserver v1.3.0 이하 /upload Zip Slip으로 임의 파일 쓰기
CVE-2026-957319.8—HPE Networking Fabric Composer CLI 하드코딩 자격증명, 비인증 원격 관리자 접근
CVE-2026-1210359.6—Chrome Prerender Use after free, 샌드박스 외부 코드 실행 (157.0.8103.38 미만)
CVE-2026-1211269.6—Chrome Core Use after free, 샌드박스 외부 코드 실행 (Chromium severity: Critical)

EPSS가 표기된 항목도 1.5% 이하로 낮은 편이고, Chrome 계열 다수는 EPSS 값이 제공되지 않았습니다. 신규 게시 CVE는 악용 관측 데이터가 아직 쌓이지 않았을 가능성이 크므로, 수치가 낮다고 우선순위를 낮추기보다 노출 자산 여부로 판단하는 것이 좋습니다.

🌐 위협 동향

  • Subnet Solutions PowerSYSTEM Center ICS 권고 (CISA) — 성공적으로 악용될 경우 인가되지 않은 SQL 명령 실행과 비인가 리소스 접근이 가능하다고 CISA가 ICS 권고를 발행했습니다. PowerSYSTEM Center 2020 / 6.0.x / 7.0.x 계열이 영향 대상으로 명시되어 있어, 전력·에너지 계통 등 OT 환경 운영자는 벤더 완화책과 망 분리 상태를 함께 점검해야 합니다. 원문
  • CISA, KEV에 1건 추가 (WordPress Core) — CISA가 실제 악용 증거를 근거로 CVE-2026-119977을 KEV 카탈로그에 추가했으며, 이 유형(TOCTOU)이 공격자에게 빈번한 공격 벡터임을 명시했습니다. KEV 등재는 미국 연방기관 패치 기한 규제로 이어지지만, 일반 운영자에게도 “패치 우선순위 최상단"이라는 신호로 해석하는 것이 타당합니다. 원문
  • Multipath TCP 사용과 탐지 (SANS ISC) — ISC가 2020년 도입된 이후 비교적 주목받지 못했던 TCP 옵션인 Multipath TCP와 Linux 구현 취약점(CVE-2026-98432, RFC 8684)을 다뤘습니다. MPTCP는 기본적으로 꺼져 있는 경우가 많지만, 활성화된 서버는 예상치 못한 트래픽 경로가 생기므로 사용 여부 확인과 탐지 룰 점검이 필요합니다. 원문
  • 참고로 오늘 ISC에는 11월 2일·3일자 Stormcast 팟캐스트 에피소드 2건도 함께 올라왔으나, 요약 본문이 저작권 표기만 포함되어 있어 별도 분석 내용은 확인되지 않았습니다.

오늘의 체크포인트

  1. WordPress Core 즉시 업데이트 + 스테이징 경로 노출 점검 — CVE-2026-119977은 KEV 등재 항목입니다. 업데이트 적용과 함께 웹 루트 하위에 업그레이드용 임시/스테이징 디렉터리가 외부에서 접근 가능한 상태로 남지 않도록 웹서버 설정과 로그를 확인하세요.
  2. Chrome 157.0.8103.38 이상으로 전 단말 반영 — 샌드박스 탈출을 포함한 대량 패치가 포함된 릴리스입니다. 자동 업데이트가 막힌 단말(공용 PC, 키오스크, 테스트 장비)을 별도로 확인하는 것이 좋습니다.
  3. 국내 공지 대상 제품 버전 대조 — 지란지교소프트 CrossUploader(1.0.00~3.0.09), TeamViewer, Ivanti Connect Secure, Apache Fineract, Linux 커널(CVE-2026-43499)이 자산 목록에 있는지 확인하고 제조사 권고에 따라 조치하세요.
  4. Node.js 파이프라인의 isomorphic-git 1.38.6 미만 사용 여부 확인 — 신뢰할 수 없는 저장소를 체크아웃하는 빌드/배포 자동화가 있다면 심볼릭 링크를 통한 파일 쓰기 위험이 있습니다.

마무리

  • 오늘의 한 줄 정리: 실제 악용이 확인된 WordPress Core TOCTOU가 최우선, 그 뒤를 Chrome 대량 패치와 국내 원격지원·VPN·국산 업로드 솔루션 패치가 잇는 하루입니다.
  • 매일 아침 보안 동향을 릿치 블로그에서 만나보세요.