도입부
오늘은 CISA KEV에 무려 10건이 새로 등재되며 최근 가장 공격적인 하루였습니다. 특히 **OpenSSH 인증 우회(CVE-2026-123158, EPSS 16.5%)**와 Barracuda Email Security Gateway 인증 우회/명령 주입, Chromium XML use-after-free가 실제 악용 근거와 함께 올라왔고, 같은 시기 SAP NetWeaver 계열 CVSS 10.0 취약점들이 대거 공개되면서 KrCERT도 SAP·IBM·SonicWall·WordPress·OWASP 권고를 연속 발행했습니다. npm 생태계에서는 React Server Components 원격 코드 실행(GHSA-xqc2-xf4c-x3h3, Critical) 건이 신규 공개되어 프런트엔드/SSR 운영자라면 오늘 바로 확인해야 할 항목입니다. 수집 오류는 없었습니다(errors 없음).
🚨 실제 악용 확인 (CISA KEV)
CVE-2026-123158 — OpenBSD OpenSSH (Linux)
Linux 환경의 OpenSSH에서 예기치 않은 상태 코드/반환값 처리 문제로 인증 우회가 가능한 취약점입니다. EPSS 16.5%(상위 97%)로 오늘 KEV 항목 중 악용 확률이 가장 높고, 원격에서 인증 없이 접근이 가능한 유형이라 노출된 SSH 서비스 전반을 점검해야 합니다. 랜섬웨어 연계는 확인되지 않았습니다. 배포판별 OpenSSH 패치 버전을 확인하고, 외부 노출 SSH는 키 인증 강제·접근 제어로 완화하십시오. NVD
CVE-2026-125350 — Google Chromium (XML use-after-free)
Chromium의 XML 컴포넌트 use-after-free로, 조작된 웹페이지를 통해 샌드박스 내부에서 임의 코드 실행이 가능합니다. Chrome·Edge 등 Chromium 기반 브라우저 다수에 영향(수집 데이터상 stackHits: chrome)이며, KrCERT도 동일 CVE를 CISA 주요 Exploit 정보공유로 전파했습니다. 브라우저 최신 버전 적용이 유일한 실질 대응입니다. NVD
CVE-2026-116606 — Barracuda Networks Email Security Gateway (ESG)
대체 경로/채널을 이용한 인증 우회로, 비인증 원격 공격자가 구성 가져오기 기능을 호출해 조작된 백업 아카이브를 복원시켜 설정을 무단 변경할 수 있습니다. EPSS 1.6%(상위 76%). 메일 게이트웨이는 경계 장비이므로 침해 시 내부 메일 흐름 전체가 노출됩니다. NVD
CVE-2026-111560 — Barracuda Networks Multiple Products (OS Command Injection)
ESG, Load Balancer, ADC, Message Archiver(BMA), WAF Control Center, WAF, Web Security Gateway(WSG) 등 다수 제품에 걸친 OS 명령 주입 취약점입니다. EPSS 1.1%(상위 65%). Barracuda 제품군을 쓰는 조직은 어느 제품 라인이 영향을 받는지 먼저 식별해야 합니다. NVD
CVE-2026-116779 — SignalWire FreeSwitch (Code Injection)
FreeSwitch의 코드 주입 취약점으로, 설정·자격 증명 노출, 임의 통화 제어, 명령 실행으로 이어질 수 있습니다. EPSS 2.2%(상위 82%). VoIP/통신 인프라 운영자는 노출된 SIP/관리 인터페이스와 FreeSwitch 버전을 확인하십시오. NVD
CVE-2026-102895 — GPUStack (Improper Authentication)
GPUStack의 인증 미비로 비인증 공격자가 관리자 권한 접근, 사용자/모델 변경, 영구 관리자 API 키 생성, 워커·클라우드 자격 증명 노출, POST /v2/inference-backends/… 경유 코드 실행까지 가능합니다. EPSS 0.6%. 자체 호스팅 AI 추론 클러스터에서 특히 위험합니다. NVD
CVE-2026-20320 — Cisco BroadWorks (XXE)
XML 외부 엔티티 참조 제한 미비로, 비인증 원격 공격자가 민감한 구성 정보를 읽을 수 있습니다. EPSS 0.4%(상위 33%). 통신 사업자급 UC 플랫폼에 영향이 있어 노출 관리가 중요합니다. NVD
CVE-2026-123218 — IBM Aspera Faspex (Incorrect Authorization)
인증된 사용자가 특정 메시지를 조작해 권한 검사를 우회하고 권한 상승을 일으킬 수 있습니다. EPSS 0.7%. 파일 전송 게이트웨이 특성상 내부 신뢰 경계를 넘는 데이터 이동 경로이므로 계정 권한 최소화를 권장합니다. NVD
CVE-2026-124194 — Microsoft Office Outlook (Missing User Interaction)
Outlook에서 잠재적으로 안전하지 않은 동작에 대한 사용자 상호작용 검증이 누락되어, 비인가 공격자가 네트워크를 통해 스푸핑을 수행할 수 있습니다. EPSS 미제공. 메일 클라이언트 특성상 사회공학 공격과 결합될 수 있습니다. NVD
CVE-2026-111793 — Openwave Messaging Webtop Media Transcoder
영역 간 부적절한 자원 전이 문제로, 인증된 사용자가 웹메일 경험을 우회해 의도치 않은 문서 유형을 처리·변환시킬 수 있습니다. EPSS 0.3%(상위 20%). 웹메일 서비스 운영자 대상 항목입니다. NVD
🇰🇷 국내 보안공지 (KrCERT/KISA)
- SAP 제품 보안 업데이트 권고 — SAP NetWeaver AS ABAP and ABAP Platform(SAML2 Service Provider)의 Improper Verification of Cryptographic Signature 취약점(CVE-2026-120017)을 해결한 업데이트입니다. 같은 CVE가 NVD에서 CVSS 10.0으로 평가되어 국내 SAP 운영 조직은 우선순위를 높게 잡아야 합니다. 공지 보기
- IBM 제품 보안 업데이트 권고 — IBM MQ의 Improper Input Validation(CVE-2026-11724), IBM API Connect의 위험한 파일 업로드(CVE-2026-17399) 등을 포함합니다. 금융·공공 구간에서 IBM MQ/API Connect 사용 비중이 높아 내부 연계 시스템 점검이 필요합니다. 공지 보기
- WordPress 플러그인 보안 업데이트 권고 — Contact Form 7의 위험한 파일 업로드 취약점(CVE-2026-114432)입니다. 국내 다수 기관·기업 홈페이지가 이 플러그인을 사용하므로 즉시 버전 확인이 필요합니다. 공지 보기
- SonicWall 제품 보안 업데이트 권고(11/10) — SonicOS의 Heap-based Buffer Overflow(CVE-2026-82308)와 IP 주소 기반 인증 의존 취약점(CVE-2026-107154)입니다. 방화벽/SSL-VPN 경계 장비라 패치 지연 시 직접적 침입 경로가 됩니다. 공지 보기
- OWASP 제품 보안 업데이트 권고 — ModSecurity의 Interpretation Conflict 취약점(CVE-2026-104269)입니다. WAF 규칙 우회로 이어질 수 있어, WAF를 보안 통제로 신뢰하는 환경은 특히 확인해야 합니다. 공지 보기
- SonicWall 제품 보안 업데이트 권고(11/09) — SonicOS의 Use of Single-factor Authentication 취약점(CVE-2026-19868)입니다. MFA 미적용 구간이 공격 표면이 되므로 인증 정책 재점검을 권장합니다. 공지 보기
- 美 CISA 발표 주요 Exploit 정보공유(Update. 2026-11-10) — CISA가 실제 악용 중인 취약점 목록을 갱신했으며, 국내 공지에는 Chromium(CVE-2026-125350)이 포함되어 있습니다. 국내 사용자 대상 KEV 항목의 한글 요약·조치 안내를 확인할 수 있습니다. 공지 보기
📦 패키지 생태계 (GHSA)
| 패키지 | 생태계 | 심각도 | 취약 범위 | 패치 버전 |
|---|---|---|---|---|
| react-server-dom-parcel | npm | critical | >= 19.0.0, < 19.0.9 | 19.0.9 |
오늘 공개된 단 1건이지만 무게가 큽니다. React Server Components의 비인증 원격 코드 실행(CVE-2026-126187) 으로, React 19 계열의 서버 컴포넌트를 사용하는 SSR/풀스택 애플리케이션이 대상입니다. React 19.0.x를 사용 중이라면 19.0.9 이상으로 즉시 올리고, 배포 파이프라인에서 해당 패키지 버전을 고정(pin)했는지도 함께 확인하십시오.
🧩 주요 스택 관련
- Chromium/Chrome (chrome) — KEV 등재 CVE-2026-125350(XML UAF) 외에도 Google Chrome 157.0.8103.50 이전 버전에서 V8 type confusion(CVE-2026-125344), XML use-after-free(CVE-2026-125346), GPU out-of-bounds write(CVE-2026-125348)가 함께 공개되었습니다. 셋 다 샌드박스 내·외부 코드 실행으로 이어질 수 있어 브라우저 자동 업데이트 정책을 확인하십시오.
- OpenSSH (openssh) — CVE-2026-123158 인증 우회. 서버·배스천·CI 러너 등 SSH가 깔린 모든 호스트가 대상입니다. 배포판 패키지 버전과 컨테이너 베이스 이미지의 openssh 버전까지 함께 확인해야 합니다.
- Windows 계열 (windows) — Windows Advanced Rasterization Platform의 힙/스택 버퍼 오버플로·double free·OOB read가 다수(CVE-2026-105020, -105021, -105023, -105026, -105490, -105491, -105493, -105495, -105496, -105497, -105498, -105499 등) 묶여 나왔고 모두 로컬 권한 상승입니다. 아울러 Windows iSCSI(CVE-2026-105518), Windows Storage(CVE-2026-105534), Windows NTFS(CVE-2026-105542), Windows DNS(CVE-2026-88218, CVE-2026-109463), Windows LDAP(CVE-2026-119958), Windows Kerberos(CVE-2026-85844) 등 네트워크 경유 원격 코드 실행·권한 상승 항목이 다수 포함되어 있어 이번 달 Windows 누적 업데이트 적용이 필수적입니다.
- Apple 플랫폼 (ios) — iOS/iPadOS, macOS, watchOS, visionOS 전반에 걸친 use-after-free(CVE-2026-113970, CVSS 8.8)가 수정되었습니다. 기기 관리(MDM) 환경에서는 최소 지원 OS 버전 정책과 함께 반영하십시오.
- Cisco IOS — ManageEngine DDI Central 6200 이하 버전에서 DHCP pool name을 통한 Cisco IOS 명령 주입(CVE-2026-12573, CVSS 8.8)이 확인되었습니다. 네트워크 관리 도구가 라우터에 접근하는 구조라면 신뢰 경계를 재검토하십시오.
🔴 신규 Critical 하이라이트
| CVE | CVSS | EPSS | 요약 |
|---|---|---|---|
| CVE-2026-76964 | 10.0 | 0.4% | SAP NetWeaver AS ABAP 내부 컴포넌트 입력 검증 미비, 비인증 메모리 손상 유발 |
| CVE-2026-120017 | 10.0 | 0.3% | SAP NetWeaver AS ABAP/ABAP Platform 인증 어설션 검증 미비 — 인증 우회·임의 사용자 사칭 (KrCERT 권고) |
| CVE-2026-89126 | 10.0 | 0.4% | SAP Web Dispatcher 입력 검증 미비로 메모리 손상 유발 |
| CVE-2026-89103 | 10.0 | 0.3% | SAP Gateway 기본 ACL이 높은 권한으로 활성화되어 외부 공격자가 내부 앱서버로 분류될 수 있음 |
| CVE-2026-121653 | 9.8 | — | Ivanti Endpoint Manager 2024 SU8 이전 SQL Injection → 원격 코드 실행 |
| CVE-2026-61547 | 9.8 | — | rabbitmq-c 0.17.0 이전 amqp_send_frame() 힙 버퍼 오버플로 |
| CVE-2026-119958 | 9.8 | — | Windows LDAP out-of-bounds write → 네트워크 경유 코드 실행 |
| CVE-2026-125120 | 9.8 | 0.6% | Mongoose 6.13.11/7.8.12/8.24.3/9.9.2 이전 countDocuments()의 sanitizeFilter 우회 |
SAP 항목은 4건이 동시에 CVSS 10.0으로 평가되었고 EPSS는 아직 낮게(0.3~0.4%) 측정되어 있으나, 공개 직후 스캔·웹셸 탐색이 관측되고 있어(아래 위협 동향 참조) 노출된 SAP 구간은 서둘러 패치하는 편이 안전합니다. Ivanti Endpoint Manager와 rabbitmq-c는 인증 없이 또는 라이브러리 사용만으로 영향받을 수 있어 별도 우선순위로 다루십시오.
🌐 위협 동향
- CISA, KEV에 6건 추가(11/10) 및 4건 추가(11/09) — 이틀에 걸쳐 총 10건이 실제 악용 근거와 함께 등재되었습니다. Cisco BroadWorks, Barracuda 다수 제품, GPUStack, FreeSwitch, OpenSSH, Chromium, IBM Aspera Faspex 등 경계 장비와 개발 인프라가 고르게 포함된 점이 특징입니다. 원문 · 원문
- 공격자들이 SAP NetWeaver 웹셸을 탐색 중 (SANS ISC, 11/09) — 허니팟 데이터에서 SAP NetWeaver 웹셸 경로로 보이는 새로운 URL이 관측되었습니다. 오늘 공개된 SAP NetWeaver CVSS 10.0 취약점들과 결합되면 침해 후 지속성 확보 단계로 이어질 수 있으므로, 웹서버 로그에서 의심스러운 파일 생성·요청 패턴을 확인하십시오. 원문
- Microsoft Patch Tuesday 11월 (SANS ISC, 11/10) — 이번 달 1,260건의 취약점이 수정되었고 68건이 Critical, 167건이 Microsoft Edge에 영향을 주는 Chromium 이슈입니다. 패치 규모가 매우 크므로 우선순위 기반 롤아웃 계획이 필요합니다. 원문
- Apple 대규모 패치 (SANS ISC, 11/10) — Apple이 iOS/iPadOS/macOS/watchOS/visionOS 전반에 걸친 대규모 업데이트를 배포했습니다. 위 스택 섹션의 CVE-2026-113970을 포함해 여러 플랫폼이 한 번에 갱신되므로 기기 관리 정책과 함께 반영하십시오. 원문
오늘의 체크포인트
- OpenSSH 패치 및 노출 SSH 점검 — CVE-2026-123158(EPSS 16.5%)은 인증 우회입니다. 서버뿐 아니라 컨테이너 베이스 이미지, 배스천, CI/CD 러너까지 포함해 버전을 확인하고, 외부 노출 SSH는 접근 제어를 우선 적용하십시오.
- React Server Components 사용 프로젝트 업데이트 — react-server-dom-parcel을 19.0.9 이상으로 올리고, React 19.0.x 고정(pin) 여부를 확인하십시오. RCE 등급입니다.
- 경계 장비 패치 — Barracuda(ESG/WAF/ADC 등), SonicWall SonicOS, Cisco BroadWorks가 KEV 및 국내 권고에 동시에 등장했습니다. 사용 중인 제품 라인을 식별해 벤더 패치를 적용하십시오.
- SAP NetWeaver 구간 우선 점검 — CVSS 10.0 4건 + KrCERT 권고 + 웹셸 탐색 관측이 겹칩니다. 인터넷 노출 여부를 확인하고, 가능하면 즉시 최신 버전 적용 및 웹서버 로그 이상 징후를 점검하십시오.
마무리
- 오늘의 한 줄 정리: KEV 10건 동시 등재 + SAP NetWeaver CVSS 10.0 다발 + React 서버 컴포넌트 RCE까지, 경계 장비와 개발 스택이 동시에 흔들린 하루입니다.
매일 아침 보안 동향을 릿치 블로그에서 만나보세요.