도입부

오늘 가장 중요한 소식은 SonicWall SonicOS SSLVPN의 SAML 인증 우회 취약점(CVE-2026-19868)이 CISA KEV에 등재되었다는 점입니다. SSLVPN은 외부에 직접 노출되는 경계 장비라 실제 공격 시도가 즉시 늘어나는 유형이며, MFA까지 우회 가능하다는 점이 특징입니다. 국내에서는 Debian/Ubuntu의 패키지 매니저 APT 취약점(CVE-2026-109518) 공지가 나왔고, NVD 24시간 내 신규 게시분에서는 WordPress 플러그인 계열 원격 코드 실행·권한 상승 CVE가 다수 확인되었습니다. 수집 실패한 소스는 없습니다(errors 없음).

🚨 실제 악용 확인 (CISA KEV)

CVE-2026-19868 — SonicWall / SonicOS SSLVPN

SonicOS SSLVPN의 인증 처리에서 단일 인증(single-factor) 사용 경로가 남아 있어, 대체 인증 수단의 유효한 자격증명만 가지면 SAML 인증 통제를 우회할 수 있는 취약점입니다. 설명대로라면 SAML로 강제하던 MFA까지 함께 우회될 수 있어, “MFA를 켰으니 안전하다"는 가정이 성립하지 않는 케이스입니다. 랜섬웨어 연계 사용 여부는 Unknown(수집 데이터 기준 미확인), EPSS 수치는 KEV 항목에 제공되지 않았습니다. 다만 CISA가 “실제 악용 증거 기반"으로 등재했다는 점 자체가 위험도 판단 근거가 됩니다.

  • 영향 환경: SonicWall SonicOS 기반 SSLVPN을 외부에 게시하고, SAML SSO 및 SAML 강제 MFA를 구성한 조직
  • 조치 방향: 벤더의 수정 펌웨어 적용이 우선. 적용 전까지는 SSLVPN 포트 노출 최소화, SSLVPN 로컬 계정 정리, SAML 인증 로그에서 비정상 인증 성공(특히 MFA 미수행 세션) 모니터링
  • NVD

🇰🇷 국내 보안공지 (KrCERT/KISA)

  • Debian 및 Ubuntu 패키지 매니저 APT 보안 업데이트 — APT에서 발생하는 UNIX Hard Link 취약점(CVE-2026-109518)입니다. 리눅스 서버 운영자에게는 가장 직접적인 항목으로, 패키지 설치/업그레이드 과정에서 하드링크 처리가 부적절하게 다뤄지는 유형입니다. 서버 이미지·CI 베이스 이미지까지 포함해 APT 버전을 확인해야 합니다. 공지 보기
  • 엠투소프트 ERS DataServer / ERS ReportingServer(JavaViewer) — 악의적인 파일 업로드 및 실행이 가능한 취약점으로, 별도 CVE 번호 없이 조치 권고 형태로 공지되었습니다. 리포팅 서버류는 내부망에 두는 경우가 많지만 파일 업로드 경로가 열려 있으면 측면 이동 경로가 됩니다. 공지 보기
  • 에스티이지 E-GENE ITSM — 비인가 회원가입 및 부적절한 파일 업로드 취약점이 보고되어, 7.0 이하 버전에 대해 회원가입 기능 제한·업로드 확장자 제한 등의 조치가 권고되었습니다. 국내 ITSM/그룹웨어류는 사내 계정 체계와 직결되므로 회원가입 엔드포인트 노출 여부를 우선 확인하세요. 공지 보기
  • Zyxel 제품 보안 업데이트 — GS1900 시리즈 스위치의 Out-of-bounds Write(CVE-2026-107441), AP·FWA7·Security Router의 Classic Buffer Overflow(CVE-2026-76955)입니다. 국내 중소 규모 네트워크에서 스위치·AP 펌웨어가 오래 방치되는 경우가 흔합니다. 공지 보기
  • Apache Juneau 보안 업데이트 — XSS(CVE-2026-96677)와 로그 파일 내 민감정보 삽입(CVE-2026-73100) 두 건입니다. 후자는 로그 수집 파이프라인에 자격증명류가 흘러들어갈 수 있는 유형이라 로그 접근 권한 관리도 함께 점검할 만합니다. 공지 보기
  • enspirit elo 제품 보안 업데이트 — XSS 및 Code Injection(CVE-2026-44267) 취약점입니다. 공지 보기
  • 美 CISA 주요 Exploit 정보공유(2026-11-06) — KEV에 추가된 SonicWall SSLVPN 취약점(CVE-2026-19868)을 국내 사용자에게도 안내한 공지입니다. 공지 보기

KNVD 국내 취약점 정보(krVuln)는 오늘 신규 항목이 없었습니다.

📦 패키지 생태계 (GHSA)

패키지생태계심각도취약 범위패치 버전
GeoNodepiphigh< 5.1.05.1.0

GeoNode는 업로드된 파일의 레이어 이름을 통해 OS 명령 주입이 가능한 문제(CVE-2026-33050)입니다. GIS 데이터 관리 플랫폼 특성상 신뢰 경계가 낮은 사용자가 파일을 올리는 환경이 많으므로, 5.1.0 미만 버전 운영 중이라면 업로드 권한 정책과 함께 업그레이드를 검토하세요.

🧩 주요 스택 관련

PHP / WordPress 계열 (가장 많은 물량)

  • CVE-2026-118423 (CVSS 10.0, EPSS 0.6%) — WP Libre Form 1.5.0.1, 비인증 파일 업로드로 PHP 실행. 웹루트에 업로드 디렉터리가 있는 구성이라면 즉시 점검 대상입니다.
  • CVE-2026-87964 (7.2, EPSS 1.4%) — CTX Feed(WooCommerce) 8.0.26 이하 feedConfigCustom2 파라미터 PHP 코드 인젝션. 오늘 스택 항목 중 EPSS가 가장 높습니다.
  • CVE-2026-113615 (9.8) — GS JWT Authentication for WP REST API 1.0.0 이하, 비인증 REST 경로 SQLi로 관리자 세션 탈취.
  • CVE-2026-118045 (8.7) — Ever Accounting 2.3.3 미만, CSV 임포트 경로 미제한으로 임의 파일 삭제.
  • CVE-2026-116624 (8.8) — Advanced Members for ACF 1.3.0 이하, PHP 연산자 우선순위 버그로 권한 상승.
  • CVE-2026-104010 (7.5) — WPSyncSheets For CF7 1.8.0 이하, CF7 필드 파라미터를 통한 RCE.
  • CVE-2026-123490 (8.7) — Craft CMS 5.8.17~5.11.2 미만, getOwners() 쿼리 정리 미흡으로 전 계정 권한 상승.
  • CVE-2026-123792 (8.7) — Symfony Yaml 인라인/파서 비효율 처리로 소규모 문서가 프로세스를 수 초~수 분 점유(DoS). 5.4.56 / 6.x / 7.x 계열 패치 버전 확인 필요.
  • CVE-2026-118515 (8.4) — Symfony Serializer DataUriNormalizer, 서브클래스 타입 속성에서 생성자 경유 객체 생성. 업로드 파일 타입을 Serializer로 역직렬화하는 코드가 있다면 확인하세요.
  • CVE-2026-85743 (8.2) — FreeScout 1.8.230 미만, 아웃바운드 요청 경로의 restricted-host 정책 미적용.

Node.js / npm

  • CVE-2026-116592 (7.4) — undici 7.30.1, 8.12.2~8.12.3에서 redirect + shared cache interceptor 조합 시 캐시 키 판정 오류로 캐시 오염 가능. 리다이렉트를 프록시하는 서비스라면 주의.
  • CVE-2026-123487 (8.7) — Parse Server 8.6.115 / 9.10.7-alpha.1 미만, 이메일 검증 정규식이 입력 길이에 따라 2차 시간 증가 → 비인증 ReDoS. appId만 알면 가입 요청으로 유발 가능.
  • CVE-2026-124078 (8.7) — plist(npm) 5.0.1 미만, parseBinary의 비메모이즈 재귀 처리로 Node.js 프로세스 크래시.
  • CVE-2026-114604 (8.4) — @graphql-tools/utils 10.10.1~12.0.2 미만, mergeIncrementalResult의 path 세그먼트 타입 검증 부재.
  • CVE-2026-102650 (7.5) — Nuxt Content 3.0.0~3.15.2 미만, /__nuxt_content/:collection/query에 공격자 제어 sql 필드로 SQLite 표현식 실행.

PostgreSQL / 데이터 계층

  • CVE-2026-119924 (7.2) — Babelfish for PostgreSQL(TDS RPC 프로시저명 파서)와 Amazon Aurora PostgreSQL with Babelfish에서 Out-of-bounds Read. Babelfish는 SQL Server 호환 모드로 쓰는 경우가 많아, 원격 인증 사용자에게 노출된 TDS 포트 구성을 확인하세요.
  • CVE-2026-58141 (7.2) — Dify 1.15.0 미만, Squid 프록시 설정이 source ACL만 정의해 SSRF 보호가 우회되어 내부 서비스·클라우드 메타데이터 접근 가능. PostgreSQL 연동 환경에서도 동일하게 적용됩니다.

Docker / 컨테이너 배포

  • CVE-2026-58490 (9.8) — Tracecat 0.37.0~1.0.0-beta.49, Docker Compose 배포에서 SAML 활성화 시 SAML_SIGNED_ASSERTIONS/SAML_SIGNED_RESPONSES가 빈 값으로 렌더링되어 보안 기본값이 무력화.
  • CVE-2026-85295 (9.8) / CVE-2026-85708 (7.5) — Chartbrew 5.2.3 미만, CB_SECRET의 알려진/기본값으로 서명된 세션·공유 토큰 신뢰. 저장소 기본 Compose로 띄운 인스턴스가 특히 위험합니다.
  • 컨테이너 운영자 관점: 위 세 건은 모두 “기본 배포 구성에서 보안 옵션이 꺼진다"는 공통점이 있습니다. Compose 파일의 환경변수 실값을 직접 확인하는 것이 핵심입니다.

Wazuh (4.14.9 미만 다수)

  • CVE-2026-112340 (8.8) 인증된 사용자가 /api/request 프록시에서 Manager API Authorization 헤더를 덮어쓰는 인가 우회, CVE-2026-112338 (8.2) GitHub 모듈의 Link next URL 신뢰로 토큰 유출 가능한 SSRF, CVE-2026-112339 (8.2) fluent-forward의 TLS 호스트명 검증 누락, CVE-2026-112341 (7.1) WazuhDB 파라미터 치환 오염으로 UNION SELECT, CVE-2026-112336 (7.1) JSON 디코더 메모리 누수. 보안 플랫폼 자체가 공격면이 되는 사례라 우선순위를 높게 잡을 만합니다.

기타

  • CVE-2026-119170 (8.2) — Python 3.14.10에서 OpenSSL FIPS 모드 사용 시 hashlib 알고리즘 강제 적용 회귀. FIPS 모드를 쓰는 Python 3.14.10만 해당.
  • CVE-2026-53980 (8.6) — Charmbracelet wish 2.0.5 미만 git 미들웨어 경로 탈 traversal(인증된 SSH 사용자).
  • CVE-2026-104657 (7.5) — Progress Fiddler Download and Setup Skill의 무결성 검증 누락(Linux/macOS/Windows).
  • CVE-2026-111492 (8.6) — MatchPoint Android 앱 FCM 푸시 핸들러의 SQLi.

🔴 신규 Critical 하이라이트

CVECVSSEPSS요약
CVE-2026-11842310.00.6%WP Libre Form 1.5.0.1, 비인증 PHP 파일 업로드 → RCE
CVE-2026-7149510.0-Wanderer 0.20.0 미만, 비인증 POST /api/v1/trail/download의 url 필드가 그대로 fetch로 전달
CVE-2026-1114909.90.4%MatchPoint API, actingasuser 헤더 미검증 IDOR로 개인·금융 데이터 접근
CVE-2026-1195169.80.4%Radius Booking 1.0.20 이하, 신뢰되지 않은 데이터 역직렬화(Object Injection)
CVE-2026-1136159.80.2%GS JWT Auth for WP REST API, 비인증 SQLi로 관리자 세션 획득
CVE-2026-775969.60.3%Kubeflow Pipelines 2.18.0 미만, 업로드 엔드포인트의 SubjectAccessReview 누락
CVE-2026-584909.8-Tracecat, Docker Compose + SAML 구성에서 서명 검증 기본값 무력화
CVE-2026-1232949.6-JetBrains Hub 2026.2.52556 미만, 인증 검증 플로우 중 이메일 인증 정보 변경으로 권한 상승

표의 EPSS는 수집 시점 값이며, 24시간 내 게시된 CVE는 EPSS가 아직 산정되지 않았거나 0에 가깝게 표기될 수 있습니다. CVSS 10.0 항목이 두 건이지만 하나는 WordPress 플러그인, 하나는 자체호스팅 애플리케이션이라 노출 범위는 환경에 따라 크게 달라집니다.

🌐 위협 동향

  • 산업용 냉동·콜드체인 모니터링 시스템 강화 권고 (CISA/FBI/HHS/USDA/DoT 공동) — 미 정부 기관들이 산업용 냉동 설비와 콜드체인 모니터링 시스템에 대한 악의적 활동을 인지하고 공동 권고를 발표했습니다. OT/ICS 환경은 패치 주기가 길고 인터넷 노출 구간이 섞여 있는 경우가 많아, 네트워크 분리와 원격 접속 경로 최소화가 우선입니다. 원문
  • Post-Quantum Questions to Ask Your Vendors (CISA/ACSC/NSA) — 양자내성암호(PQC) 전환 준비도를 벤더에 확인하기 위한 공동 가이드와 체크리스트가 공개되었습니다. 당장의 취약점은 아니지만, 장기 보관 데이터를 다루는 서버 운영자라면 벤더의 암호 로드맵을 질의 목록으로 확보해 두는 것이 좋습니다. 원문
  • 구형 Cisco IOS 취약점 스캔 관측 (SANS ISC) — 허니팟 데이터에서 구형 Cisco IOS 취약점(CVE-2023-20198 계열로 추정)을 겨냥한 스캔 시도가 관측되었습니다. PHP 익스플로잇 스캔을 찾다가 발견된 유형으로, 오래된 네트워크 장비가 여전히 자동 스캔의 표적이 되고 있음을 보여줍니다. 노출된 관리 인터페이스(HTTP/SSH)의 접근 제어를 재확인하세요. 원문

오늘의 체크포인트

  1. SonicWall SSLVPN 즉시 점검 — SAML SSO/MFA를 쓰는 SonicOS 장비의 펌웨어 버전 확인 및 외부 노출 최소화. KEV 등재 당일부터 스캔이 늘어나는 유형입니다.
  2. Debian/Ubuntu APT 업데이트(CVE-2026-109518) — 운영 서버뿐 아니라 CI/CD 베이스 이미지, 골든 이미지의 APT 버전까지 함께 확인.
  3. WordPress 플러그인 인벤토리 정리 — 오늘 Critical/High에 플러그인 계열이 다수 포함(WP Libre Form, GS JWT Auth, WHIZZ, Static Snapshot, BuddyForms, placester, CTX Feed 등). 사용 중인 플러그인 버전 목록을 뽑아 두는 것만으로도 후속 대응 속도가 달라집니다.
  4. Wazuh 4.14.9 미만 및 컨테이너 기본 구성 확인 — Wazuh는 다수 CVE가 한 번에 묶여 있고, Tracecat·Chartbrew는 기본 Compose 환경변수 실값 검증이 필요합니다.

마무리

경계 장비(SSLVPN)의 인증 우회가 실제 악용 목록에 올라온 날이자, 국내에서는 리눅스 패키지 매니저 취약점이 공지된 날입니다. 인증 계층과 배포 계층, 두 곳을 먼저 보세요.

매일 아침 보안 동향을 릿치 블로그에서 만나보세요.