오늘은 Apple 제품군의 Improper Authentication 취약점(CVE-2024-27834)이 실제 악용 근거로 CISA KEV에 등재된 것이 가장 중요한 소식입니다. 동시에 Apache Juneau에서 CVSS 10.0 항목이 여러 건 연속 공개되었고, Kubernetes 정책 엔진 Kyverno의 네임스페이스 격리 우회(CVSS 9.4) 4건이 한꺼번에 나와 클러스터 멀티테넌시 환경 운영자라면 즉시 확인이 필요한 하루입니다. 국내에서는 APT 패키지 매니저(UNIX Hard Link), Zyxel 네트워크 장비, WordPress 관련 KrCERT 권고가 게시되었습니다. 모든 수집 소스가 정상 수집되었으며 별도 오류는 없습니다.

🚨 실제 악용 확인 (CISA KEV)

CVE-2024-27834 — Apple Multiple Products (Improper Authentication)

Apple iOS, iPadOS, macOS, Safari, tvOS, watchOS에 영향을 주는 인증 처리 결함입니다. 임의 읽기/쓰기 능력을 가진 공격자가 pointer authentication 보호를 우회할 수 있으며, 단독으로는 권한 상승 체인의 한 단계로 쓰이는 유형입니다. CISA는 실제 악용 정황을 근거로 KEV에 등재했으며, 랜섬웨어 캠페인 연계 여부는 Unknown으로 명시되지 않았습니다. EPSS는 1.4%(상위 73 백분위)로 확률 자체는 낮지만 KEV 등재 자체가 “실제로 공격에 쓰이고 있다"는 신호입니다.

  • 영향 환경: iOS/iPadOS/macOS/Safari/tvOS/watchOS 10.5 계열 및 그 이전
  • 조치 방향: 각 플랫폼 최신 보안 업데이트 적용. 관리형 단말(MDM) 환경에서는 OS 버전 편차가 큰 구형 기기를 우선 식별하고, 자동 업데이트가 막혀 있는 단말을 별도 목록으로 관리하는 것이 좋습니다.
  • NVD

🇰🇷 국내 보안공지 (KrCERT/KISA)

  • Debian 및 Ubuntu 패키지 매니저 APT 보안 업데이트 권고 — 리눅스 서버에서 응용 SW 설치·업데이트에 상시 사용되는 APT에서 UNIX Hard Link 취약점(CVE-2026-109518)이 확인되었습니다. 패키지 관리 도구는 서버 운영의 신뢰 기반이므로, Debian/Ubuntu 기반 서버는 배포판별 해결 버전을 확인해 즉시 반영해야 합니다. 공지 보기
  • Zyxel 제품 보안 업데이트 권고 — GS1900 시리즈 스위치의 Out-of-bounds Write(CVE-2026-107441)와 AP·FWA7·Security Router의 Classic Buffer Overflow(CVE-2026-76955)가 함께 공개되었습니다. 국내 중소 규모 네트워크에서 Zyxel 스위치/AP 사용 비중이 높아, 관리 대역에서 접근 가능한 장비 목록을 먼저 확보하고 펌웨어를 갱신하는 것이 안전합니다. 공지 보기
  • WordPress 제품 보안 업데이트 권고 — WordPress 코어의 TOCTOU Race Condition 취약점(CVE-2026-119977)이 공지되었습니다. 코어 취약점은 플러그인 조합과 무관하게 모든 사이트에 영향을 줄 수 있으므로, 자동 업데이트가 꺼진 사이트부터 확인이 필요합니다. 공지 보기

오늘 krVuln(KNVD 국내 취약점 정보) 신규 항목은 없습니다.

📦 패키지 생태계 (GHSA)

오늘 npm/composer/pip 신규 High/Critical 없음

🧩 주요 스택 관련

  • OpenSSH sshd (musl libc, PAM 미사용) — CVE-2026-123158 (8.1) — OpenSSH 10.6p2 이전에서 musl libc를 쓰고 PAM을 사용하지 않는 구성일 때, 256~1024자 길이의 임의 문자열이 비밀번호 인증을 통과할 수 있는 우회 문제입니다. 해당 구성(musl 기반 컨테이너 이미지·경량 배포판)을 쓰는 서버는 대상 여부를 먼저 확인하고 10.6p2 이상으로 올려야 합니다. NVD
  • ModSecurity 3.0.0 ~ 3.0.17 — CVE-2026-104269 / CVE-2026-73856 (8.6) — WAF 자체가 우회 경로가 되는 유형입니다. multipart 파서가 RFC 2231 filename* 우선순위를 Go/Python/Node.js/Java 파서와 다르게 처리해 검사와 실제 해석이 어긋나고, 응답 Content-Type 비교가 대소문자를 구분해 필터링이 누락됩니다. nginx/Apache 앞단에 ModSecurity를 두고 있다면 3.0.17 이후 버전 적용 여부를 확인하세요. NVD · NVD
  • Yuxi 0.6.0.beta1 ~ 0.7.1 — CVE-2026-97693 (9.9, Docker/PostgreSQL) — 실행 권한이 있는 Docker 샌드박스와 신뢰된 애플리케이션 서비스 간 격리가 불충분해, 낮은 권한의 인증 사용자가 경계를 넘을 수 있습니다. LLM 기반 지식베이스 플랫폼을 사내에 띄워 쓰는 경우, 샌드박스 컨테이너에 DB 자격증명·내부 네트워크 접근이 열려 있지 않은지 점검해야 합니다. NVD
  • tsParticles @tsparticles/mcp-server (< 4.3.1) — CVE-2026-63655 / CVE-2026-76892 (7.5 / 8.7, Node.js/Docker) — MCP 서버가 인증 없는 POST /mcp 요청 본문을 누적 길이 제한 없이 Buffer에 쌓고, JSON.parse를 요청 단위 오류 경계 밖에서 호출합니다. Node.js로 MCP 서버를 운영한다면 요청 크기 제한과 프로세스 격리를 함께 적용하는 것이 좋습니다. NVD · NVD
  • PHP 애플리케이션 다수 — SuiteCRM 7.15.2/8.10.2 미만(CVE-2026-71550 9.9, CVE-2026-63214 8.8, CVE-2026-61653, CVE-2026-69140), OpenEMR 8.3.0/8.4.0 미만(CVE-2026-103935, CVE-2026-115573, CVE-2026-102940), vtenext 25.02.2 미만(CVE-2025-71456), Joomla JReviews(CVE-2026-118494) — path traversal, SQL injection, ACL 미적용 등 고전적 웹 취약점이 대거 포함됩니다. securexss() 같은 자체 이스케이프 함수가 SQL 컨텍스트를 보호하지 못하는 케이스가 반복되므로, 벤더 패치 버전 적용이 우선입니다. NVD
  • Windows 데스크톱 계열 — Codex Desktop(CVE-2026-110930, 8.0), Mistral Vibe < 2.25.5(CVE-2026-122133, 8.6), SumatraPDF 3.6.1 이하(CVE-2026-115758, 8.2), VeraCrypt < 1.26.30(CVE-2026-77372, 8.8) — 경로 따옴표 미검증으로 실행 인자가 주입되거나, 리포지토리 루트의 git.exe를 신뢰하거나, HTTPS 인증서 호스트명 검증이 비활성화된 유형입니다. 개발자 단말에 설치된 도구를 버전 기준으로 일괄 점검하세요. NVD · NVD
  • GraphQL Tools 10.10.1 ~ 12.0.2 — CVE-2026-114604 (8.4, Node.js) — mergeIncrementalResult가 incrementalResult.path 세그먼트를 원시 타입 검증 없이 setObjectKeyPath로 전달해 프로토타입 오염으로 이어질 수 있습니다. Node.js GraphQL 게이트웨이를 쓰는 경우 12.0.2 이상 적용을 검토하세요. NVD
  • noname Electron 1.11.2 ~ 1.11.6.1 — CVE-2026-123208 (7.7, Node.js) — localhost:8089에 와일드카드 CORS를 가진 인증 없는 로컬 파일 서버가 열려 있어, 악성 웹사이트가 교차 출처 요청으로 설치 파일을 읽거나 덮어쓸 수 있습니다. Electron 기반 데스크톱 앱 배포 시 로컬 포트 노출 여부를 확인하는 습관이 필요합니다. NVD

Android 앱(VitaFit, MatchPoint) 관련 항목은 하드코딩 자격증명, 전 인증서 신뢰, 커스텀 URI 스킴 탈취 등 모바일 특화 이슈로, 사내 배포 앱 또는 BYOD 정책과 함께 검토 대상입니다.

🔴 신규 Critical 하이라이트

CVECVSSEPSS요약
CVE-2026-12148910.0—Apache Juneau의 마이크로서비스 DirectoryResource가 설정된 루트를 벗어난 경로를 허용 (Path Traversal)
CVE-2026-7309810.0—Apache Juneau가 java.lang.Class 속성 파싱 시 초기화가 활성화된 상태로 클래스를 로드해 코드 실행 가능
CVE-2026-976939.90.8%Yuxi에서 Docker 샌드박스와 신뢰 서비스 간 격리 부족 — 저권한 인증 사용자의 경계 탈출
CVE-2026-715509.9—SuiteCRM 7.15.2/8.10.2 미만, workflow 컨트롤러의 aow_action 값이 require_once() 경로 조작에 사용됨
CVE-2026-1114909.9—MatchPoint API가 actingasuser 헤더를 검증 없이 신뢰하는 IDOR — 개인·금융 데이터 노출
CVE-2026-1001099.80.4%WooCommerce용 Security 플러그인 1.0.10~1.0.16, 미인증 방문자가 관리자 계정 생성 가능
CVE-2026-829079.8—Apache OFBiz 24.09 < 24.09.08, externalLoginKey 재사용(capture-replay)으로 세션 탈취
CVE-2026-1223049.40.4%Kyverno 1.17.0 ~ 1.19.2 미만, CleanupPolicy로 네임스페이스 격리를 우회해 클러스터 범위 접근

Kyverno는 동일 원인의 격리 우회가 CVE-2026-122303, CVE-2026-122310, CVE-2026-122311까지 4건 묶음으로 공개되었습니다. Kubernetes에서 테넌트별 네임스페이스를 분리 운영하는 조직은 1.19.2 이상으로 일괄 업그레이드하는 것이 사실상 유일한 완화책입니다.

🌐 위협 동향

  • 산업용 냉동·콜드체인 모니터링 시스템 강화 권고 (CISA/FBI/HHS/USDA/DoT) — 미국 정부 부처들이 공동으로 산업용 냉동 및 콜드체인 모니터링 시스템에 대한 악의적 활동 정황을 언급하며 강화 지침을 발표했습니다. OT/IoT 성격의 모니터링 장비는 인터넷에 직접 노출된 채 기본 자격증명으로 운영되는 경우가 많아, 이런 환경을 운영하는 조직은 노출 자산 파악부터 시작해야 합니다. 원문
  • Post-Quantum 전환, 벤더에 물어야 할 질문 (CISA/ASD ACSC/NSA 공동) — 양자내성암호(PQC) 전환 준비도를 벤더에 평가하기 위한 공동 가이드와 체크리스트가 배포되었습니다. 당장의 공격 이슈는 아니지만, 장기 데이터 보존(수집 후 복호화) 위협을 고려하면 조달·아키텍처 단계에서 벤더 로드맵을 확인해 두는 것이 좋습니다. 원문
  • 구형 Cisco IOS 취약점 스캔 관측 (SANS ISC) — 허니팟 데이터에서 구형 Cisco IOS 취약점(CVE-2023-20198 계열로 보이는) 스캔 시도가 포착되었습니다. PHP·GeoServer 스캔에 묻혀 눈에 띄지 않던 트래픽으로, 노출된 네트워크 장비 관리 인터페이스가 여전히 스캐너의 주요 표적임을 보여줍니다. 원문
  • 고전 웹 취약점의 귀환 — 이메일 스크립트 (SANS ISC) — CVE-2000-0411 같은 20년 된 CGI 메일 스크립트 취약점 패턴이 다시 스캔되고 있다는 관측입니다. 오래된 사내 유틸리티·폼메일 스크립트가 방치된 환경에서는 여전히 유효한 공격면이므로, 자산 목록에서 빠진 레거시 스크립트를 점검할 근거가 됩니다. 원문

오늘의 체크포인트

  1. Apple 기기 보안 업데이트 — CVE-2024-27834가 KEV에 등재되었습니다. iPhone/iPad/Mac의 OS 버전을 확인하고 최신 보안 업데이트를 적용하세요.
  2. Apache Juneau 사용 여부 확인 — CVSS 10.0 항목이 무더기로 공개되었습니다. REST 서버의 view/upload/delete 옵션이 켜져 있는지, 그리고 최신 버전으로 올렸는지 확인이 필요합니다.
  3. Kyverno 1.19.2 이상 업그레이드 — 1.16.0~1.19.2 미만 구간에서 네임스페이스 격리 우회 4건이 확인되었습니다. 멀티테넌시 클러스터는 우선순위 높음.
  4. ModSecurity 3.0.17 이상 반영 — WAF가 검사와 실제 파싱 결과를 다르게 해석하는 유형이라, 보호 중인 애플리케이션이 노출될 수 있습니다.
  5. OpenSSH musl/PAM 미사용 구성 점검 — 컨테이너 기반 경량 이미지에서 sshd를 10.6p2 이전 버전으로 쓰고 있다면 대상 여부를 확인하세요.

마무리

  • 오늘의 한 줄 정리: Apple 제품군 취약점이 실제 악용 근거로 KEV에 올랐고, Apache Juneau(CVSS 10.0)와 Kyverno(9.4) 등 인프라·정책 계층 취약점이 대량 공개된 하루 — “패치 우선순위 재정렬"이 필요한 시점입니다.
  • 매일 아침 보안 동향을 릿치 블로그에서 만나보세요.