도입부
오늘은 CISA KEV에 4건이 동시 등재되며 그중 OpenSSH 인증 우회(CVE-2026-123158)가 실제 스캔 트래픽으로도 관측되어 가장 주목됩니다. GPUStack 인증 우회(CVE-2026-102895)는 pip 생태계 GHSA에서도 Critical로 확인되어 AI 인프라 운영자라면 즉시 확인이 필요합니다. 그 외 WordPress 플러그인 계열 원격 코드 실행(RCE) 취약점이 다수 게시되었고, 국내에서는 SonicWall SonicOS 단일 인증 취약점 권고가 올라왔습니다. 수집 오류는 없었습니다.
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-102895 — GPUStack / GPUStack
GPUStack의 부적절한 인증 처리로 인해 인증 없이 관리자 권한에 접근할 수 있습니다. 사용자·모델 변경, 영구 관리자 API 키 생성, 워커 및 클라우드 프로바이더 시크릿 노출, 그리고 POST /v2/inference-backends/...를 통한 코드 실행까지 이어질 수 있는 심각한 취약점입니다. 랜섬웨어 악용 여부는 Unknown, EPSS 0.3%(26 백분위)입니다. GPU 추론 서버를 사내에 운영 중이라면 노출된 관리 엔드포인트 여부와 버전을 확인하고 최신 버전으로 업데이트해야 합니다. NVD
CVE-2026-123158 — OpenBSD / OpenSSH
Linux 환경의 OpenSSH에서 예기치 않은 상태 코드/반환값 처리 문제로 인증 우회가 가능한 취약점입니다. 랜섬웨어 악용 여부는 Unknown이나 EPSS 1%(63 백분위)로 상대적으로 높은 편이며, SANS ISC는 이 취약점(“sshole”)을 스캔하는 시도가 증가하고 있다고 관측했습니다. 인터넷에 노출된 SSH 서비스를 운영한다면 버전 확인과 신속한 패치, 그리고 비정상 인증 시도 로그 모니터링을 권장합니다. NVD
CVE-2026-116779 — SignalWire / FreeSwitch
FreeSWITCH의 코드 인젝션 취약점으로 설정 및 자격 증명 노출, 임의 통화 제어, 명령 실행이 가능합니다. 랜섬웨어 악용 여부는 Unknown, EPSS 1.3%(71 백분위)로 오늘 KEV 항목 중 가장 높습니다. VoIP/통신 인프라를 운영하는 조직은 외부 노출 여부를 우선 점검해야 합니다. NVD
CVE-2026-123218 — IBM / Aspera Faspex
IBM Aspera Faspex의 부적절한 인가 처리로, 인증된 사용자가 특정 메시지를 구성해 인가를 우회하고 권한 상승을 일으킬 수 있습니다. 랜섬웨어 악용 여부는 Unknown, EPSS 0.4%(34 백분위)입니다. KrCERT 공지에서도 이 CVE를 별도로 언급하고 있으니 국내 사용자는 함께 확인하는 것이 좋습니다. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
- SonicWall 제품 보안 업데이트 권고 — SonicWall이 SonicOS의 단일 인증(Use of Single-factor Authentication) 취약점(CVE-2026-19868)을 해결한 업데이트를 발표했습니다. 방화벽·SSL VPN 등 경계 장비로 SonicWall을 운용하는 국내 공공기관·기업은 영향받는 버전과 해결 버전을 대조해 즉시 업데이트해야 합니다. 공지 보기
- 美 CISA 발표 주요 Exploit 정보공유 (Update. 2026-11-09) — CISA가 실제 악용 중인 취약점 목록을 갱신했으며, IBM Aspera Faspex(CVE-2026-123218) 등이 포함되었습니다. 국내에서도 동일 제품을 사용하는 조직은 조치사항을 참고해 패치 여부를 확인해야 합니다. 공지 보기
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| @anthropic-ai/claude-code | npm | high | < 2.1.251 | 2.1.251 |
| moleculer | npm | high | >= 0.15.0-beta1, < 0.15.2 | 0.15.2 |
| code-graph-rag | pip | high | <= 0.0.586 | 0.0.587 |
| gpustack | pip | critical | < 2.2.0 | 2.2.0 |
| zizmor | pip | high | = 1.27.0 | 1.28.0 |
특히 gpustack은 오늘 KEV에도 오른 CVE-2026-102895과 동일 건으로, 신뢰된 loopback 소스(리버스 프록시 TCP peer 또는 X-GPUStack-Real-IP 헤더)를 통한 인증 우회가 가능합니다. GPUStack을 리버스 프록시 뒤에 두고 운영 중이라면 2.2.0으로 즉시 올려야 합니다. moleculer의 TCP 트랜스포터 DoS와 Claude Code의 TOCTOU 파일 쓰기 이슈도 실무 영향이 있어 확인이 필요합니다.
🧩 주요 스택 관련
- PHP / WordPress 계열 — 오늘 다수의 WordPress 플러그인 취약점이 게시되었습니다. Confection WordPress Cable(0.4.0
0.4.7, CVSS 10.0)은 nonce/capability 검사 없이 설정을 PHP 파일로 저장·서빙해 인증 없이 임의 PHP 실행이 가능하며, WidzialniCMS(9.810.0)는save_photo.php·upload.php에서 임의 파일 업로드로 RCE가 가능합니다. rConfig Core/Pro(9.3)는 Laravel Horizon 큐에 악성 직렬화 잡을 밀어 넣는 역직렬화 RCE입니다. 노출된 CMS·관리 패널을 운영 중이면 플러그인 버전과 업로드 엔드포인트를 점검하세요. - Windows — NEC WebSAM WinShare(9.3, 원격 SYSTEM 명령 실행 및 버퍼 오버플로)와 Progress WS_FTP Server(2025.0.5 미만, 접근 제어·DoS·자격 증명 임시 파일 기록) 취약점이 게시되었습니다. Windows 서버 운영자는 해당 제품 사용 여부를 확인하고 벤더 패치를 적용하세요.
- Node.js — Eclipse Langium 3.2.0~4.4.0에서 IndentationAware 토큰 생성기의 비효율적 알고리즘 복잡도(CWE-407) 문제로 DoS가 가능합니다. 언어 도구 파이프라인에서 Langium을 사용한다면 4.4.0 초과 버전으로 업데이트하세요.
- iOS / Android — Firefox for iOS 160.0에서 Reader View 권한 상승 등이 수정되었고, FrodoBots EarthRover Mini+ 펌웨어는 인증 없는 로컬 인터페이스(HTTP REST API, 평문 WiFi 비밀번호 노출)가 확인되었습니다. 모바일·IoT 운영 환경에서는 최신 버전 반영과 노출 인터페이스 차단을 검토하세요.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-124580 | 9.3 | 2.8% | VW2100/VEC10GP 웹서버 Weixin Auth Endpoint 인자 조작을 통한 OS 명령 주입 |
| CVE-2026-113363 | 9.3 | 1.1% | NEC WebSAM WinShare 입력 검증 미흡으로 원격 비인증 SYSTEM 명령 실행 |
| CVE-2026-115252 | 10.0 | — | Confection WordPress Cable 설정을 PHP 파일로 저장·서빙, 비인증 임의 PHP 실행 |
| CVE-2026-110468 | 10.0 | — | WidzialniCMS save_photo.php 임의 파일 업로드로 RCE |
| CVE-2026-123800 | 9.9 | — | SuperTokens Core 멀티테넌시 권한 검사 로직 취약점 |
| CVE-2026-123270 | 9.8 | — | Redpanda Connect 4.39~4.110, 관리 HTTP API 인증 기본 비활성으로 비인증 RCE |
| CVE-2026-124079 | 9.3 | — | rConfig Core/Pro Laravel Horizon 큐 역직렬화로 비인증 RCE |
| CVE-2026-115237 | 9.8 | 0.1% | Grand Job WordPress 플러그인 비밀번호 재설정 코드 미검증, 관리자 계정 탈취 |
EPSS는 대부분 미평가·저수치이므로 CVSS만으로 과대평가하지 말고, 인터넷에 노출된 관리 인터페이스(Redpanda Connect 4195 포트, WordPress 관리 패널 등)를 우선 점검하는 것이 실효적입니다.
🌐 위협 동향
- SAP NetWeaver 웹셸 탐색 스캔 — SANS ISC 허니팟 데이터에서 SAP NetWeaver 웹셸을 찾는 새로운 URL 패턴이 관측되었습니다. SAP 시스템을 외부에 노출한 조직은 웹 접근 로그에서 비정상 웹셸 업로드·호출 흔적을 확인하고, 불필요한 외부 노출을 줄이는 것이 좋습니다. 원문
- “sshole” 취약점(CVE-2026-123158) 스캔 증가 — ISC는 Cowrie 허니팟 기반으로 OpenSSH 취약점을 겨냥한 SSH 익스플로잇 시도가 증가하고 있다고 밝혔습니다. KEV 등재와 맞물려 실제 공격 시도가 확인된 만큼, SSH 서비스 패치와 인증 로그 모니터링이 시급합니다. 원문
- CISA KEV 4건 추가 — CISA가 GPUStack, SignalWire FreeSWITCH, OpenBSD OpenSSH, IBM Aspera Faspex 등 4건을 실제 악용 근거와 함께 KEV에 추가했습니다. 해당 제품을 쓰는 조직은 카탈로그의 조치 기한을 확인해 우선순위를 잡아야 합니다. 원문
오늘의 체크포인트
- OpenSSH(CVE-2026-123158)와 GPUStack(CVE-2026-102895)을 최우선으로 — KEV 등재 + 실제 스캔 관측/패키지 Critical로, 노출된 SSH와 GPUStack 관리 엔드포인트 버전을 확인하고 즉시 패치하세요.
- FreeSWITCH(CVE-2026-116779) 외부 노출 점검 — EPSS가 오늘 KEV 중 가장 높으므로 통신 인프라 노출 여부를 우선 확인하세요.
- WordPress 플러그인 일괄 점검 — Confection Cable, Grand Job, EASY-JS-WPAPI, WP Duplicate 등 다수 RCE/계정 탈취 취약점이 게시되었으니 플러그인 업데이트와 관리 패널 접근 제한을 적용하세요.
- SonicWall SonicOS(CVE-2026-19868) 업데이트 — 국내 공지 기준 경계 장비 패치를 적용하고 관리자 인증 강화를 병행하세요.
마무리
- 오늘의 한 줄 정리: KEV 4건 동시 등재와 OpenSSH·GPUStack의 실제 악용 정황이 겹친, 경계 장비와 인증 인프라 패치가 최우선인 하루입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.