도입부
오늘 가장 눈에 띄는 항목은 SonicWall SonicOS SSLVPN의 SAML 인증 우회 취약점(CVE-2026-19868)이 CISA KEV에 등재되며 실제 악용 정황이 확인된 점입니다. 한편 NVD 24시간 신규 게시분 527건 중 68건이 CVSS 9.0 이상으로, 대부분이 IBM API Connect의 다수 고위험 결함과 2FAuth·Chartbrew 같은 오픈소스 웹앱에서 나왔습니다. 국내에서는 인피니트헬스케어·엠투소프트·에스티이지 등 국산 제품 업데이트 권고와 Alpine Linux OpenSSH 인증 우회 건이 함께 올라왔습니다. 수집 오류는 없었습니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-19868 — SonicWall SonicOS SSLVPN
SonicOS SSLVPN에서 단일 인증(single-factor) 방식이 그대로 허용되는 문제로, 공격자가 다른 인증 수단에 유효한 자격증명을 보유한 경우 SAML 인증 통제를 우회하고 SAML로 강제된 MFA까지 건너뛸 수 있습니다. 즉 MFA를 켜 두었다는 전제 자체가 깨질 수 있는 유형이라 SSLVPN 게이트웨이 운영자에게는 우선순위가 높습니다. 랜섬웨어 사용 여부는 Unknown으로 표기되어 있으며, EPSS는 0.6%(백분위 50)로 아직 수치상 높지 않지만 KEV 등재 자체가 실제 공격 근거를 의미합니다. SSLVPN을 인터넷에 노출한 환경이라면 벤더 권고 버전으로 즉시 업데이트하고, 인증 로그에서 SAML 우회·비정상 인증 성공 흔적을 확인하십시오. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
- 인피니트헬스케어 제품 보안 업데이트 권고 — INFINITT ULite에서 XSS(CVE-2026-19876)와 비밀번호 무차별 대입(CVE-2026-19877) 취약점이 확인되어 최신 버전 업데이트가 권고되었습니다. 의료영상·PACS 계열은 병원 내부망에 위치하는 경우가 많아 외부 노출 여부와 무관하게 패치 대상이 됩니다. 공지 보기
- OpenSSH 보안 업데이트 권고 — Alpine Linux 측 OpenSSH에서 비밀번호 처리 오류로 인한 인증 우회(CVE-2026-123158)가 해결되었습니다. musl C 라이브러리 기반이며 PAM을 사용하지 않는 환경(Alpine 기본 설정 등)에서 비밀번호 인증이 활성화된 경우가 해당되므로, glibc 기반 배포판만 쓰는 조직은 영향 범위가 제한적입니다. 컨테이너 베이스 이미지로 Alpine을 쓰는 경우가 흔하니 이미지 레이어까지 확인하십시오. 공지 보기
- enspirit 제품 보안 업데이트 권고 — elo에서 XSS 및 Code Injection 취약점(CVE-2026-44267)이 확인되었습니다. 공지 보기
- Apache 제품 보안 업데이트 권고 — Apache Juneau에서 XSS(CVE-2026-96677)와 로그 파일 내 민감정보 삽입(CVE-2026-73100) 취약점이 해결되었습니다. Juneau는 공공·금융 연계 시스템에서 간헐적으로 사용되므로 자산 대장에 포함돼 있는지 확인할 가치가 있습니다. 공지 보기
- 엠투소프트 제품 보안 업데이트 권고 — ERS DataServer 및 ERS ReportingServer 엔진(JavaViewer)에서 악의적인 파일 업로드 및 실행 가능 취약점이 보고되었습니다. 파일 업로드 계열은 웹쉘 업로드로 직결될 수 있어 국내 SI 환경에서 특히 주의가 필요합니다. 공지 보기
- 에스티이지 제품 보안 조치 권고 — E-GENE ITSM 7.0 이하에서 비인가 회원가입 및 부적절한 파일 업로드 취약점이 확인되어, 회원가입 기능 및 파일 업로드 확장자 제한 등 보안 조치가 권고되었습니다. 벤더 패치가 아닌 설정 조치 형태이므로 운영 담당자가 직접 확인해야 합니다. 공지 보기
📦 패키지 생태계 (GHSA)
오늘 npm/composer/pip 신규 High/Critical 없음.
🧩 주요 스택 관련
- Linux kernel — ksmbd(SMB 서버)와 SMB 클라이언트 관련 다수의 결함이 한꺼번에 게시되었습니다(CVE-2026-99272~99280 계열). 세션·커넥션 참조 관리, 응답 데이터 영역 검증, UTF-16 종료자 공간 계산 등이 포함되어 있으며, ksmbd를 활성화한 파일 공유 서버는 특히 확인이 필요합니다. CVSS는 아직 미평가 상태이므로 심각도를 단정하지 않고 배포판 커널 업데이트 일정으로 확인하시는 편이 안전합니다.
- Linux kernel (tun / netfilter) — CVE-2026-99281은 ownerless tun 디바이스에 attach할 때 CAP_NET_ADMIN 요구를 빠뜨린 권한 문제, CVE-2026-99283은 conntrack TCP RST 처리의 timeout 로직, CVE-2026-99282는 sch_teql의 use-after-free입니다. 컨테이너·네트워크 가상화 환경에서 tun 디바이스를 다룬다면 관련 항목을 우선 확인하십시오.
- plist.js (npm) — CVE-2026-124078, 5.0.1 이전 버전에서 binary plist 파서의 비메모이즈 재귀 처리로 인해 Node.js 프로세스가 크래시될 수 있습니다(비인증 유발 가능). plist 파싱을 외부 입력에 노출하는 서비스는 5.0.1 이상으로 올리거나 입력 크기 제한을 두십시오.
- WordPress PHP 플러그인 계열 — QA Assistants(≤5.3.0) PHP Object Injection CVE-2026-87112, WPJAM Basic(≤7.1) 권한 상승 CVE-2026-103900, wpForo(≤3.2.2) 권한 상승 CVE-2026-119164, Advanced Form Integration(≤2.10.2) PHP Object Injection CVE-2026-104738, WpTravelly(≤2.3.8) 파일 인클루드 CVE-2026-120839/120841, Motors(≤1.4.125) 임의 파일 삭제 CVE-2026-104746이 게시되었습니다. 대부분 인증 없이 또는 낮은 권한으로 트리거될 수 있는 유형이라 플러그인 사용 사이트는 버전 확인 후 즉시 갱신하십시오.
- Docker (Chartbrew) — CVE-2026-85295, CVE-2026-85708 모두 CB_SECRET 서명 키가 알려진 값·기본값인 경우 세션 토큰 위조가 가능한 문제입니다. Docker Compose 기본 설치본이 그대로 배포된 경우가 위험하므로, 배포 시 CB_SECRET을 반드시 무작위 값으로 교체하고 5.2.3 이상으로 업데이트하십시오.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-109469 | 10.0 | 0.7% | Entra Device Registration의 사용자 제어 키 기반 권한 우회 — 네트워크를 통한 권한 상승 |
| CVE-2026-17402 | 9.9 | 1.9% | IBM API Connect 10.0.8.x/12.1.x의 OS 명령 주입 (원격 인증 사용자) |
| CVE-2026-17147 | 9.9 | 0.9% | IBM API Connect 경로 순회로 임의 코드 실행 및 관리자 권한 동작 |
| CVE-2026-17392 | 9.9 | 0.7% | IBM API Connect LDAP 인젝션으로 다른 테넌트 관리자 접근 |
| CVE-2026-16884 | 9.9 | 0.5% | IBM API Connect XXE로 민감정보 획득 (원격 비인증) |
| CVE-2026-63438 | 9.8 | 0.5% | 2FAuth 8.0.0 이전, reverse-proxy-guard 환경에서 신뢰 프록시 미경유 인증 헤더 허용 |
| CVE-2026-54349 | 9.8 | 0.4% | Chartbrew 5.2.1 이전, SQL 대시보드 변수 치환의 안전하지 않은 replacement 처리 |
| CVE-2026-85295 | 9.8 | 0.4% | Chartbrew 5.2.3 이전, CB_SECRET 기본값·취약값으로 서명된 세션 토큰 수용 |
IBM API Connect는 오늘 게시분만 20여 건이 동일 버전 범위(10.0.8.010.0.8.12, 12.1.0.012.1.1.2)에 몰려 있어, 단일 패치 대응으로 묶어 처리하는 것이 효율적입니다. 다만 EPSS 수치가 전반적으로 1% 내외로 낮아 아직 실제 악용 관측은 제한적이며, 인증된 사용자 조건이 붙은 항목이 많다는 점은 위험도를 평가할 때 감안해야 합니다.
🌐 위협 동향
- CISA, KEV에 SonicWall SSLVPN 항목 추가 — CISA는 실제 악용 근거를 바탕으로 CVE-2026-19868을 KEV 카탈로그에 등재했습니다. 이 유형(SAML 인증 우회·MFA 우회)은 원격 침입의 단골 진입점으로 분류되며, CISA는 패치 적용을 권고하고 있습니다. 원문
- SANS ISC Stormcast (11/6) — 금요일자 다이어리 팟캐스트가 게시되었습니다. 오늘 수집된 ISC 항목은 에피소드 링크만 제공되어 구체적인 스캔·공격 트래픽 수치나 캠페인 세부 내용은 확인되지 않았습니다. 세부 관측치는 원문에서 확인하시기 바랍니다. 원문
오늘의 체크포인트
- SonicWall SSLVPN 패치 — 인터넷에 노출된 SSLVPN 게이트웨이를 벤더 권고 버전으로 업데이트하고, SAML 인증 우회·MFA 미적용 성공 로그를 확인하십시오.
- Alpine 기반 OpenSSH 점검 — CVE-2026-123158은 musl/PAM 미사용 환경에 한정되므로, 컨테이너 베이스 이미지의 Alpine 버전과 비밀번호 인증 활성화 여부를 확인하십시오.
- IBM API Connect 일괄 패치 — 10.0.8.x 및 12.1.x 사용자는 오늘 게시된 다수 결함을 묶어 최신 버전으로 올리고, 테넌트 격리·LDAP 연동 설정을 재검토하십시오.
- Chartbrew·2FAuth 설정 확인 — CB_SECRET 기본값 교체 여부, reverse-proxy-guard 사용 시 신뢰 프록시 설정을 확인하고 5.2.3 / 8.0.0 이상으로 업데이트하십시오. 국내 국산 SW(INFINITT ULite, ERS, E-GENE ITSM)도 함께 확인 대상입니다.
마무리
- 오늘의 한 줄 정리: SSLVPN MFA 우회가 실제 악용 목록에 올라왔고, 패치 우선순위는 “경계 장비 → 인증 계층 → 국산 업무 SW” 순으로 잡는 것이 좋습니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.