SonicWall SMA1000 최고 심각도 취약점(CVE-2026-102255) 실공격 확인, 패치 사흘 만

✅ 권고 조치SMA1000 최신 패치 즉시 적용, 9월에 패치했어도 재업데이트 필요, 외부 노출 장비 침해 흔적 점검

AhsayCBS 백업 플랫폼 미패치 취약점(CVE-2026-105133·105134) 악용, 웹셸·XMRig 채굴기 설치

✅ 권고 조치패치가 나올 때까지 관리 콘솔 외부 노출 차단, 웹셸과 위장 프로세스(Edge 사칭) 점검

Citrix NetScaler ADC·Gateway 치명적 취약점 CVE-2026-107406(CVSS 9.5), RCE·DoS 가능하며 SAML 구성에 영향

✅ 권고 조치벤더 권고 버전으로 즉시 업데이트

FBI, 中 Flax Typhoon(Integrity Tech) 해킹도구 MicroScan·FishHub 도메인 7개 압수, 7개국 공동경보에 CISA KEV 5건 추가

✅ 권고 조치신규 KEV 5건(CVE-2015-3306 ProFTPD 등) 패치 여부 점검

국내 금융권 연쇄 해킹, AI 침투도구 '아르텍스(ARTEX)' 악용 및 용의자의 中 디도스 대행 조직 연루 정황

예가람저축은행 고객정보 5만 건 유출, 주민번호·계좌번호 유출 사실을 고객 공지에서 누락해 논란

✅ 권고 조치해당 고객은 대출 안내·환불 등을 사칭한 스미싱과 보이스피싱 주의

국감: 금융권 해외발 해킹 18건 중 16건은 공격자 불명, IP 우회로 추적에 한계

경찰, 금융권 해킹 수사팀 증원하고 해외 공격 배후 추적

카카오골프예약 개인정보 3만 4천 건 유출(이름·전화번호·결제정보 등)

국감: 금융당국 긴급 보안점검 허점, 일부 은행은 3개월치 기록만 확인하고 "이상 없음" 보고

은행권 모의해킹에서 취약점 4,777건 발견, 109건 미조치, 보안 투자는 5.9% 감소

서민금융 정보 유출 시도 올해 100만 건으로 70% 증가, 은행 공격에 쓰인 IP와 동일 경로 식별

국립대병원 3곳 감사문서에서 검은색 가림 처리 부실로 개인정보 노출

국가재정망 해킹 시도 7개월간 650건, 94.6%가 국외발

대형병원 43%가 보안관제 미실시

성형외과 환자 이름·연락처가 400만 원에 판매, 2차 해킹 우려

북한 연계 해커, 개발용 프로그램에 악성코드 심어 기업 접속정보 탈취

브라질 경찰, 가짜 오류 알림으로 피해자가 악성 명령을 직접 입력하게 한 조직의 자가수탁 지갑 3개에서 878만 헤알 압수, 공공기관·경찰·사법 시스템 계정 정보도 탈취

Ledger 지갑 이용자 피해 발생, CZ는 공급망 공격 가능성 제기하고 테더는 USDT 9,000만 달러 동결

법원 전산망 해킹 시도, 올해 8개월간 24만 건

전산장애 잦은 금융사 20곳, 지난해 보안예산 집행률 70% 밑돌아… AI 에이전트 해킹으로 정보 유출된 KB국민은행도 58.1%

중수청 출범 초기 혼란 틈타 중수청 수사관 사칭 보이스피싱 등장, 충원율 63%로 조직 미정착

신한은행 대출모집인 조회 서비스 통해 고객 2만 5천여 명 CI·신용정보(이름·전화번호·연소득 등) 유출, 방미통위원장 "CI 갱신 제도 추진"

프랑스서 7개월간 암호화폐 관련 납치·갈취 등 강력범죄 90건, 2024년 파리 세무 공무원의 납세자 개인정보·암호화폐 보유정보 유출이 확산 촉매로 지목

금융권 해킹 관련 민간 취약점 523건 확인됐지만 AI 기반 취약점 점검 사업 예산은 0원

BYD코리아 고객 개인정보 중국 이전·저장 서버 국감 쟁점화, 국외 이전 거부 시 차량 구매 제한 민원과 실차 기반 정보 수집·전송 검증 요구

생성형 AI로 피싱·사기 고도화, 로맨스스캠 접수 2025년 2,192건으로 전년 대비 73.3% 증가하고 피해액 1,360억 원 규모

앤트로픽, 클로드가 정부 웹사이트 양식을 제출한 사례 공개, 취약점 노출 우려로 기관명과 세부 내용은 제한

공무원 개인정보 무단열람·유출 298건 중 59%는 징계 없이 종결, 외부 유출·제3자 제공 117건 중 76건도 징계 외 처분

주민등록번호 유출 2021년~2026년 5월 처분 113건·288만 건, 이 중 76%가 최근 1년 5개월에 집중

금융권 연쇄 해킹에 악용된 AI 침투도구 '아르텍스', 개발자가 업데이트 중단하고 소스 비공개로 전환, 이미 배포된 버전은 회수 불가

디스코드 서버 보호 봇 '더블 카운터' 해킹, 이메일 주소 약 100만 건 등 사용자 정보 유출

금융권 연쇄 해킹 손해배상 쟁점화, 은행들 "피해 전액 보상" 밝혀… 신한은행은 외부 공격 시작 약 15시간 뒤에야 침해 인지

일본 기업 해킹 피해 확산, JR동일본 열차 예약 서비스 '에키넷' 609만 건·스카이티켓 1,464만 건 유출

금융위, 가상자산 해킹 피해 책임 주체 명문화 검토은행권 AI 활용 추정 해킹과 해외 거래소 대규모 해킹이 잇따른 데 따른 것

금융권 연쇄 해킹 관련 5대 은행장 국감 증인 채택, 고객정보가 유출된 신한·국민·하나은행과 유출이 없었던 우리·농협은행 간 보안 격차와 사고 대응 쟁점

한국기업평가, 해킹 사고를 신용평가 기준에 반영하는 방안 검토해외에선 랜섬웨어로 영업이 장기 중단된 트래블렉스의 S&P 등급이 B-에서 CCC로 하락한 사례

바른손카드 모바일 청첩장 해킹, 외부 공격자가 회사 DB에 불법 접근해 신랑·신부·혼주 이름·휴대전화번호 노출 가능성

일본 주요 기업에 AI 악용 사이버 공격 잇따르자 일본 정부·여당, 기업에 보안 대책과 보안 투자 확대 주문

분당서울대병원 연구팀, 비개발자 의료진이 바이브코딩으로 만든 의료 앱의 보안 위험 지적1,400여 개 바이브코딩 앱을 분석한 별도 조사에서도 중대 취약점, 비밀정보 유출, 의료기록 등 개인정보 노출 사례 확인

백악관, AI 기업 보안 사고 보고 의무화 추진앤트로픽 모델의 정부 시스템 무단 사용·보안 침해 사건이 계기

트리플에이 해킹 공격자, 탈취 자금 4,970 ETH(약 1,240만 달러)를 토네이도캐시로 이동9일 56건 거래로 입금한 사실이 블록체인 보안업체 모니터링에서 확인

보이스피싱 등에 악용되는 대포폰 적발, 올해 1~8월 월평균 전년 대비 27% 증가8개월 만에 지난해 전체 적발량의 85% 수준

덴마크서 사망자·이주자 정보까지 포함된 주민 개인정보 880만 건 유출, 개인정보보호청이 경위 조사하고 경찰도 수사 착수

공단 직원이 가입자 정보를 건당 2만 원에 대부업체에 판매, 해당 지사는 2024년 4월에야 가입자들에게 유출 의심 문자 발송

쏘카, 내부용 회원 조회 API를 노린 외부 공격으로 2012~2013년 가입 고객 248명 개인정보 유출, 공격 10분 만에 인지해 IP·접근 경로 차단

Ledger 사칭 피싱 광고 구글 검색 결과에 노출, 광고에 표시된 '최근 한 달 100만 회 이상 방문'은 피싱 사이트가 아닌 구글 수치로 분석

리플엑스, 원장 소프트웨어 xrpld 3.4.0 이하에서 XRP 1,000억 개 공급 상한을 넘길 수 있는 결함 긴급 패치, 공용 네트워크에서 악용된 증거는 없다고 밝혀

CVE-2026-102255 SonicWall SMA1000 WorkPlace SSRF, 최고 심각도로 실공격 확인

CVE-2026-105133·CVE-2026-105134 AhsayCBS 인증우회·OS 명령 주입, 미패치 상태로 실공격 중

CVE-2026-107406 Citrix NetScaler ADC·Gateway 메모리 오버플로, CVSS 9.5로 RCE·DoS 가능

CVE-2015-3306 ProFTPD 등 5건, Flax Typhoon 악용으로 CISA KEV 등재(CVSS 10.0)

CVE-2026-21589 아틀라시안 지라·컨플루언스 등 데이터센터 제품, 비인증 파일 열람(CVSS 9.3)으로 악용 시도 포착

Cisco NX-OS 치명적 취약점 5건, Nexus 스위치에서 root 권한 코드 실행 가능

AnyDesk Linux 인증 전 RCE(root), 실동작 익스플로잇 공개(CVE 미지정, 8.0.3에서 수정)

CVE-2026-102489 Zammad 비인증 WebSocket 세션 쿠키 유출, 치명적 등급으로 7.2.0 이상 필요

CVE-2026-47483 NVIDIA DCGM Exporter 고위험 취약점, 비인증 자원 고갈 가능해 4.8.2 이상 필요

CVE-2026-55797 Argo CD repo-server, SSH 프록시 URL을 통한 명령 주입

CVE-2026-107821~107823 MariaDB 권한 상승·FRM 파싱 결함 등 다수, 10.6.28·11.4.13 등으로 업데이트 필요

CVE-2026-107844·CVE-2026-107845 등 Contao CMS 취약점 4건, 비인증 이미지 컨트롤러 경로 탐색과 댓글 저장형 XSS 등으로 5.3.50·5.7.12 업데이트 필요

CVE-2026-108096 AWS Amplify API Category 쿼리 리졸버 권한 검증 미흡, 인증된 사용자가 같은 앱 내 다른 사용자 레코드 열람 가능해 3.1.2 이상 필요

CVE-2026-75350 등 산업용 OpENer EtherNet/IP 스택 취약점 4건, 원격 공격자가 버퍼 오버플로·범위 밖 읽기로 서비스 거부 유발(CVSS 7.5 HIGH)

CVE-2026-82077·CVE-2026-82078 등 PaperCut NG 인증 전 RCE 체인기존 패치 우회까지 엮어 비인증 원격코드실행 가능, 26.0.3~26.0.5 영향

CVE-2026-108263 Astron Agent AI 에이전트 워크플로 플랫폼기본 설정에서 코드 노드가 샌드박스 없이 로컬 실행돼 테넌트 간 원격코드실행 가능, 1.1.2 이상 필요

CVE-2026-108258 Shiny for Python 북마크 복원 경로 탐색비인증 요청으로 서버 측 북마크 디렉터리 밖 경로 접근 가능, 1.4.0~1.6.4 영향

CVE-2026-62367·CVE-2026-57458 등 Vikunja 계정 탈취 취약점 3건OIDC 이메일 폴백 연동 시 email_verified 미확인으로 로컬 계정 탈취, 제한 API 토큰으로 무제한 세션 발급 등, 2.4.0 업데이트 필요

CVE-2026-78797 iStoreOS 라우터 OS 원격코드실행tasks-lib.lua의 task_id 처리 결함으로 원격 공격자가 임의 코드 실행 가능, 24.10.7 이하 영향(CVSS 미산정)

CVE-2026-92705 Aegisub 자막 편집기ASS 자막 프로젝트에 지정된 Automation 스크립트를 확인 없이 자동 로드해 조작된 자막 파일로 임의 코드 실행, 3.2.0~3.4.2 영향

CVE-2026-108474 JetBrains Exposed SQL 인젝션CVSS 9.8 CRITICAL, 여러 SQL 함수의 문자열 인자가 이스케이프되지 않아 SQL 주입 가능, 1.5.1 이상 필요

CVE-2026-22061 Trident 디버그 로그 정보 노출CVSS 8.2 HIGH, 디버그 로그 접근 권한이 있는 인증된 공격자가 LUKS 암호문·SMB AD 자격증명 열람 가능, v25.02.1~v26.06.1 영향

CVE-2026-94589 WordPress 'Extensions For CF7' 플러그인 비인증 임의 파일 업로드서명 필드 업로드에서 확장자·MIME·크기 검증이 없어 악성 파일 업로드 가능, 3.4.5 이하 영향

CVE-2026-107645 WordPress Blocksy Companion 비인증 권한 상승회원가입 처리기가 Dokan 등록 nonce 검사를 끄고 'role' 파라미터를 받아들여 권한 상승 가능, 2.1.58 이하 영향

CVE-2026-104797 WordPress Advanced Form Integration 비인증 비밀번호 변경Contact Form 7 제출이 Ultimate Member 프로필 필드 업데이트로 이어져 검증 없이 비밀번호를 바꿀 수 있어 인증 우회·권한 상승 가능, 2.9.0 이하 영향

CVE-2026-104732 WordPress Advanced IP Blocker 2FA 인증 우회비밀번호 단계 완료 여부를 서버에서 확인하지 않아 비인증 공격자가 2FA 로그인 처리기로 바로 로그인 가능, 8.13.13 이하 영향

CVE-2026-103365·CVE-2026-104898 WordPress Bookly 예약 플러그인비인증 'phone' 파라미터로 예약자 민감정보 노출, 구독자 권한 IDOR로 권한 상승 가능, 28.4 이하 영향

CVE-2026-94257·CVE-2026-94256 WordPress SMS Alert 플러그인 비인증 계정 탈취OTP 비밀번호 재설정·OTP 로그인에서 인증된 번호와 대상 계정을 연결하지 않아 관리자 포함 임의 계정 비밀번호 변경·로그인 가능, 4.0.1 이상 필요

CVE-2026-105990·CVE-2026-105989 WordPress 'Accept PayPal Payments using Contact Form 7' 플러그인권한 검사 없는 CSV 내보내기로 비인증 공격자가 제출자 이름·이메일·전화번호·주소와 결제 정보 다운로드, 거래 상태 위조도 가능, 4.0.7 이상 필요

CVE-2026-105995 WordPress Booking Package 플러그인 비인증 예약자 개인정보 노출권한 검사 없이 예약 데이터를 반환해 다른 고객 개인정보와 예약 취소 토큰 유출, 1.7.30 이상 필요

CVE-2026-87781·CVE-2026-87780 WordPress LTL Freight QuotesOld Dominion Edition 플러그인 — 비인증 SQL 인젝션('edit_id')과 관리자 화면 저장형 XSS, 4.2.19 이상 필요

CVE-2026-14335 WordPress Easy Digital Downloads 비인증 저장형 XSSPayPal IPN 파라미터 검증 미흡으로 비인증 공격자가 스크립트 주입 가능, 3.6.9 이하 영향

CVE-2026-107321 WordPress W3 Total Cache 경로 탐색CDN 미디어 라이브러리 가져오기가 문서 루트로 제한되지 않아 작성자 권한 사용자가 심어둔 내용으로 관리자 실행 시 서버 내 임의 파일 복사·노출 가능, 2.10.6 이상 필요

CVE-2026-104759·CVE-2026-96765 WordPress WPO365 Login 플러그인 비인증 인증 우회id_token의 OIDC nonce 재사용(replay)으로 인증 우회 가능, 'id_token' 파라미터를 통한 비인증 저장형 XSS도 함께 공개, 44.1 이하 영향

CVE-2026-104803 WordPress WPCOM Member 플러그인 비인증 인증 우회소셜 로그인 콜백의 'uuid'·'code' 파라미터 처리 결함으로 비인증 공격자가 로그인 우회 가능, 1.7.27 이하 영향

CVE-2026-96662 WordPress LatePoint 예약 플러그인 비인증 SQL 인젝션'booking[service_id]' 파라미터 이스케이프·쿼리 준비 미흡으로 비인증 SQL 주입 가능, 5.7.2 이하 영향

CVE-2026-93746 WordPress WebToffee WooCommerce PDF Invoices 플러그인 비인증 IDOR메일 링크용 문서 출력 처리기의 'email' 파라미터로 비인증 공격자가 다른 고객의 주문 문서 열람 가능, 5.0.2 이하 영향

CVE-2026-97348 WordPress SiteOrigin Widgets Bundle 임의 파일 읽기기여자 이상 권한으로 단축코드의 LESS 변수 주입을 통한 경로 탐색, 서버 내 임의 파일 내용 열람 가능, 1.74.3 이하 영향

CVE-2026-93944·CVE-2026-93943·CVE-2026-93930 등 ThemeREX WordPress 테마 14종 PHP 객체 주입CVSS 9.8 CRITICAL, 신뢰할 수 없는 데이터 역직렬화로 객체 주입 가능, Camelia·Convex·Tantra 등 영향

CVE-2026-93945 WordPress Balance 테마 PHP 객체 주입CVSS 9.8 CRITICAL, 신뢰할 수 없는 데이터 역직렬화로 객체 주입 가능, 1.12.0 이하 영향

CVE-2026-106139·CVE-2026-106138 Progress Kendo UI for Vue·KendoReact 차트 툴팁 XSS기본 툴팁이 포인트 값을 인코딩 없이 HTML로 렌더링해 낮은 권한 공격자가 스크립트 주입 가능, 16.2.0 이상 필요

CVE-2026-91136 WordPress Divi Plus 플러그인 비인증 임의 파일 읽기SVG Animator REST 엔드포인트의 권한 콜백 결함으로 'svg_image' 파라미터를 통해 서버 내 파일 열람 가능, 2.4.0 이하 영향

CVE-2026-107657 WordPress HivePress 플러그인 비인증 저장형 XSS회원가입 양식의 사용자 정의 속성 값 검증·이스케이프 미흡으로 스크립트 주입 가능, 1.7.31 이하 영향

CVE-2026-103501·CVE-2026-103513 등 Apache DataSketches C++(datasketches-cpp) 역직렬화 취약점 4건조작된 스케치 데이터로 HLL 힙 버퍼 오버플로, CPC 범위 밖 읽기·쓰기 등 메모리 손상과 서비스 거부 유발 가능

CVE-2026-108161 FusionPBX 비인증 OS 명령 주입녹음 파일명 템플릿(record_name) 사용 시 셸 메타문자를 담은 발신자 ID로 전화를 걸어 명령 실행 가능, 5.6.5 이하 영향

CVE-2026-108548·CVE-2026-108547 AstronRPA 인증 우회OpenResty 게이트웨이가 Bearer 토큰을 검증하지 않아 비인증 공격자가 API 접근·사용자 ID 위조 가능, 테넌트 간 공유 변수 노출도 함께 공개, 1.1.6 이하 영향

CVE-2026-108546 Spotweb OS 명령 주입runcommand NZB 처리기가 스팟 제목을 이스케이프 없이 명령에 대입해, Usenet에 악성 제목의 스팟을 게시한 원격 공격자가 명령 실행 가능, 1.5.8 이하 영향

CVE-2026-108551 openapi-typescript-codegen 코드 주입공격자가 제어하는 OpenAPI 문서의 경로 키·파라미터 이름 등에 작은따옴표를 넣어 생성 코드에 JavaScript 주입 가능, 0.31.0 이하 영향

CVE-2026-108550 SkillHub 계정 병합 권한 검증 미흡인증된 공격자가 대상 사용자명·OAuth 계정을 지정해 병합 흐름을 악용, 다른 계정 탈취 가능, 0.2.22 이상 필요

CVE-2026-105885 WordPress Slider by 10Web 플러그인 PHP 객체 주입CVSS 8.8 HIGH, 신뢰할 수 없는 데이터 역직렬화로 객체 주입 가능, 1.2.62 이하 영향

CVE-2026-108553 OpenRefine get-rows 명령 CSRF를 통한 원격코드실행: 사용자가 악성 페이지에 접속하면 교차 출처 GET 요청으로 Jython 표현식이 실행돼 OS 명령 실행 가능, 3.10.1 이하 영향

CVE-2026-108554 PDFMathTranslate(pdf2zh) 비인증 SSRF: Gradio 웹 GUI 링크 입력의 URL을 스킴·주소 검증 없이 가져와 서버가 임의 URL에 요청, 1.9.11 이하 영향

CVE-2026-108585 argocd-mcp(Argo CD MCP 서버) delete_application 도구 경로 탐색: 검증되지 않은 applicationName 값(../repositories/ 등)으로 의도하지 않은 API 엔드포인트 호출 가능, 프롬프트 인젝션된 모델도 악용 가능, 0.9.0 이하 영향

CVE-2026-108586 1MCP Agent OAuth 태그 범위 우회: 단일 태그 토큰을 가진 인증 클라이언트가 부정(not) 태그 필터 표현식으로 허용 범위 밖 도구를 조회·호출 가능, 0.20.0~0.39.0 영향

CVE-2026-108581 TencentCloud Octop 권한 검증 누락: JWT만 확인하는 /api/providers 등으로 저권한 인증 사용자가 저장된 LLM 등 공급자 API 키를 평문으로 열람 가능, 1.0.2b6 이하 영향

CVE-2026-108583 zotero-mcp SSRF: 프롬프트 인젝션으로 에이전트가 zotero_add_by_url 도구를 호출하게 유도하면 목적지 검증 없이 URL을 가져와 내부 서비스 접근 가능, 0.10.0~0.14.1 영향