2026-11-09 Security Daily

도입부

오늘은 CISA KEV 신규 등재가 없었지만, NVD에 CVSS 9.0 이상 신규 Critical이 23건 게시되며 인증 우회·인가 결함 계열이 눈에 띄게 몰렸습니다. 특히 OpenAM(SAML 인증 우회 및 세션 토큰 노출), OpenEMR(다수의 인가 결함·경로 순회), imgproxy(ICO 로더 정수 오버플로)가 실무 영향이 큰 축입니다. 국내에서는 KrCERT가 Alpine Linux(musl 기반, PAM 미사용) 환경의 OpenSSH 인증 우회(CVE-2026-123158) 업데이트를 권고했고, SANS ISC가 동일 취약점에 대한 SSH 스캔 증가를 관측해 패치 필요성이 실제 트래픽으로 확인되고 있습니다. 참고로 오늘 GHSA(패키지 생태계)와 CISA 권고 항목은 신규 수집분이 없었습니다.

🚨 실제 악용 확인 (CISA KEV)

오늘 KEV 신규 등재 없음.

🇰🇷 국내 보안공지 (KrCERT/KISA)

• 인피니트헬스케어(INFINITT) ULite 보안 업데이트 권고 — 의료영상 솔루션 ULite에서 Cross-site Scripting(CVE-2026-19876)과 비밀번호 무차별 대입(Brute Force, CVE-2026-19877) 취약점이 확인되어 최신 버전 업데이트가 권고되었습니다. 병원·의료기관은 폐쇄망이라도 내부 사용자 계정 탈취로 이어질 수 있는 유형이므로 벤더 배포 버전을 확인해야 합니다. 공지 보기
• OpenSSH 보안 업데이트 권고 — Alpine Linux 진영에서 비밀번호 처리 오류로 인한 인증 우회 취약점(CVE-2026-123158)이 수정되었습니다. 공지에 명시된 대로 musl C 라이브러리 기반이며 PAM을 사용하지 않는 환경(Alpine Linux 기본 설정 등)에서 비밀번호 인증이 활성화된 경우가 핵심 조건이므로, glibc 기반 배포판과 영향 범위가 다르다는 점을 먼저 확인해야 합니다. 컨테이너 베이스 이미지를 Alpine으로 쓰는 조직은 즉시 검토 대상입니다. 공지 보기

📦 패키지 생태계 (GHSA)

오늘 npm/composer/pip 신규 High/Critical 없음. (단, 스택 섹션의 devalue·gix-fs 등 NVD 게시분은 별도 확인 권장)

🧩 주요 스택 관련

• devalue (npm / Node.js) — stringifyAsync에서 다중 Promise 직렬화 시 미처리 rejection이 남는 문제(CVE-2026-123562, 5.8.0~5.9.3 미만, CVSS 8.7)와, sparse array 직렬화 시 CPU/메모리 과소비로 DoS가 가능한 문제(CVE-2026-123569, 5.6.3 미만, CVSS 8.7)가 함께 게시되었습니다. SvelteKit 계열 SSR에서 사용자 입력이 직렬화 경로에 닿는다면 5.9.3 이상으로 올리는 것이 안전합니다.
• gitoxide gix-fs (Windows) — 악성 저장소의 UNC 심링크 대상으로 체크아웃 시 NTLM 자격 증명이 유출될 수 있습니다(CVE-2026-123532, 0.24.1 미만, CVSS 7.1). Windows에서 symlink 활성화 상태로 신뢰할 수 없는 저장소를 클론·체크아웃하는 CI/개발자 워크스테이션이 대상입니다.
• Craft CMS (PHP) — 5.10.05.11.2 미만에서 HMAC 서명 Twig 템플릿을 이용한 RCE(CVE-2026-124430, CVSS 8.7), 5.0.05.11.2 미만 GraphQL 권한 우회(CVE-2026-124427, 9.3), SVG 임의 파일 읽기(CVE-2026-124428, 7.1)가 함께 나왔습니다. 비관리자 CP 계정 권한을 최소화하고 5.11.2로 통합 업데이트하세요.
• OpenEMR (PHP) — 8.3.0/8.4.0 미만에서 인가 결함·IDOR·경로 순회가 다수(CVE-2026-124446, 124467, 124459, 124461, 124471, 124488 등) 보고되었습니다. 낮은 권한의 임상 계정만으로 타 환자 기록 열람·청구 데이터 변조가 가능한 조합이므로, 8.3.0(일부는 8.4.0) 이상 적용과 함께 저권한 계정 감사가 필요합니다.
• PostgreSQL (IBM CockroachDB for IBM VPC) — 사용자 정의 함수(UDF)를 통한 권한 상승(CVE-2026-18893, CVSS 7.1)이 26.2.026.2.3, 25.4.025.4.12, 25.2.0~25.2.20에 영향. 해당 배포판 사용 시 UDF 생성 권한을 가진 롤을 점검하세요.
• WordPress Contact Form 7 (nginx/PHP) — 6.2.4 미만에서 업로드 파일 타입·확장자 미검증과 임시파일 정리 결함이 겹쳐 비인증 임의 파일 업로드가 가능합니다(CVE-2026-114432, CVSS 9.8). PHP가 실행되는 업로드 디렉터리 구성이라면 특히 위험합니다.
• AVideo (PHP) — AI 플러그인의 response[lang] 미검증으로 임의 .vtt 파일 쓰기 가능(CVE-2026-124424, CVSS 7.1). AI 토큰 보유자 전체가 대상입니다.

🔴 신규 Critical 하이라이트

참고: OpenAM은 CVE-2026-123550(SAML 미서명 assertion 수용, 9.3), CVE-2026-123549(자기 등록 시 제한 속성 설정, 9.3)까지 같은 버전대에서 3건이 함께 나왔습니다. EPSS 수치는 게시 초기값이라 실제 악용률과 다를 수 있습니다.

🌐 위협 동향

• “sshole” 취약점(CVE-2026-123158)에 대한 SSH 스캔 증가 — SANS ISC는 허니팟(Cowrie) 데이터에서 해당 취약점을 겨냥한 SSH 연결 시도가 늘고 있다고 관측했습니다. 허니팟이 수집하는 비밀번호가 앞 255자로 잘리기 때문에 데이터 해석에 한계가 있다고 밝혔지만, 취약점 공개 직후 자동화 스캔이 붙는 전형적 패턴입니다. KrCERT 권고와 동일 취약점이므로 Alpine 기반 노출 SSH 서비스는 배너·버전 확인 후 즉시 업데이트하세요. 원문
• CISA 권고/캠페인 신규 수집분 없음 — 오늘은 CISA 측 공격 캠페인 분석 자료가 수집되지 않았습니다. 다만 위 ISC 관측처럼 공개 PoC·스캔이 선행되는 취약점은 권고 게시를 기다리지 말고 자체 노출도 점검으로 대응하는 편이 안전합니다.

오늘의 체크포인트

1. Alpine Linux 기반 OpenSSH(CVE-2026-123158) — PAM 미사용 + 비밀번호 인증 활성 조합인지 확인하고, 해당되면 즉시 패치. 외부 노출 SSH 포트의 스캔 로그도 함께 확인 권장.
2. OpenAM 16.1.4 미만 — SAML SP 운영 중이라면 WantAssertionsSigned 설정과 WebSocket 엔드포인트 노출 여부를 점검하고 16.1.4 이상으로 업데이트.
3. OpenEMR / Craft CMS / Contact Form 7 — 웹 서비스에서 바로 악용 가능한 인가 우회·파일 업로드 계열이므로 각각 8.3.0(또는 8.4.0), 5.11.2, 6.2.4 이상 적용 여부 확인.
4. imgproxy 4.0.16 미만 — 외부 이미지 프록시로 운영 중이면 ICO 처리 경로가 공격면이 되므로 우선순위 패치 대상에 포함.

마무리

• 오늘의 한 줄 정리: KEV 신규는 없었지만 OpenAM·OpenEMR·imgproxy 등 실서비스형 제품의 인증/인가 결함과 Alpine OpenSSH 인증 우회 스캔이 겹친, “패치 우선순위 판단이 중요한 날"입니다.
• 매일 아침 보안 동향을 릿치 블로그에서 만나보세요.