SonicWall SMA 1000 CVE-2026-102255(CVSS 10.0) 사전인증 SSRF, 공개 며칠 만에 실공격(악용 시도 135건)

✅ 권고 조치SMA 1000 장비에 10월 6일 배포된 패치를 즉시 적용하고 접근 로그를 점검

국내 금융권 AI 연쇄 해킹, 고객·직원 약 7만 명 정보 유출… 국감서 수사 공조·배상 책임 쟁점화

✅ 권고 조치대출모집인 조회, 모바일 업무지원 시스템 등 외부에 노출된 주변 시스템을 상시 점검하고 인증 우회 여부 확인

KT 해킹 은폐 의혹: 서버 38대 감염 미신고, 로그 삭제 의혹… 방미통위 "조사 종료, 신규 가입 제한 검토"

프랑스 대형마트 냉장설비 사이버공격, 인터마르셰 등 수백 개 매장 냉장고 해동(Danfoss 컨트롤러 표적 보도)

✅ 권고 조치인터넷에 노출된 냉장·공조 등 OT 컨트롤러 원격접속 여부 점검

Ledger 하드웨어 지갑에 스파이 칩 이식 확인, 동남아 리셀러 CryptoBilis 유통분에서 8,600만 달러 이상 탈취

✅ 권고 조치제3자 리셀러를 통해 구매한 하드웨어 지갑의 사용을 중단하고 공식 채널에서 구매한 기기로 자산 이전

ShinyHunters FBI 해킹 수사, 캐나다 랜섬웨어 대응업체 임원 체포

새마을금고 공제보험 고객 400여 명 개인정보 유출, 금융당국 신고… 이달 초 차단한 해외 IP 대신 새 IP 수십 개로 재공격, 이름·암호화 주민번호·계좌번호·잔액 등 유출(금융권 AI 해킹과의 연관성은 미확인)

✅ 권고 조치해외 IP 차단만으로 막았다고 판단한 경우 신규 IP의 비정상 대량 조회 여부를 재점검하고 홈페이지 조회 기능의 인증·호출량 통제 확인

Ivanti Connect Secure(ICS) 원격접속 게이트웨이 제로데이 실공격 악용Ivanti, 고객에 즉시 패치 촉구

✅ 권고 조치사내 ICS 게이트웨이를 즉시 최신 패치로 업데이트하고 장비 접근 로그·침해 흔적 점검

북한 김수키, 보안컨퍼런스 'KCSCON 2026'을 사칭해 우크라이나 안보 전문가 공격(깃허브·깃랩을 유포 경로로 악용)

한은·4대 국책은행 해킹 시도 올해 9개월 만에 100만 건 돌파

외교부 대상 사이버공격 1~8월 2만5,551건, 대응 인력은 3년째 제자리

쿠팡, 개인정보 유출 피해 배상조정안 불수용·공정위 조사 거부로 국감 질타

수술실 CCTV 영상 해킹 유출, 산부인과 개원의들 "의무화 원점 재검토" 촉구

공공기관 개인정보 보호평가에서 S·A등급을 받고도 유출 잇따라

다크웹의 올리브영·카카오모빌리티 고객정보 판매글, 확인 결과 '가짜'(AI 생성 의심)

리플 XRP 레저 코드에 2015년부터 숨어 있던 코인 무제한 발행 결함, 베리아랩스 AI 보안 에이전트·연구원이 발견

캄보디아 범죄조직 73명 송환에도 피해회복 미지수… 올해 1~8월 스캠 범죄 843건에 679억원 기소 전 몰수보전

금융감독원, 해킹으로 고객 주민등록번호·계좌번호 등 개인정보가 유출된 예가람저축은행 현장점검 착수

국세청 대상 해킹 시도 올해 1~9월 7만 건, 최근 5년치의 2.8배… 정보수집·홈페이지 변조·시스템 권한 획득 순

5대 은행 간편송금 보이스피싱 지급정지, 올해 상반기 3,273건으로 1년 새 3.5배 증가

교육시스템 운영업체 맑은소프트 해킹, 고객사 회원 개인정보 약 237만 건 유출 신고… 피해기관 20여 곳

방산자료 유출 2021년 이후 62건, 2024년 이후 발생분이 74%… 대부분 사이버공격으로 유출(방사청 자료)

망분리 규제 완화 적용 금융사 10곳, 보안계획만 세우고 이행하지 않아 금보원 점검에서 적발

국내 의료기관 사이버 침해사고 2020년 2월~2026년 5월 114건, 이 중 102건(89.5%)이 랜섬웨어

캄보디아 단속 이후 베트남으로 스캠 거점 이동, 한국 경찰 공조 요청에 따른 현지 검거 3배 증가

웰컴저축은행 실제 해킹은 7분인데 공식 보고서상 사고 지속시간은 119시간 16분… 침해사고 발생·종료 시각 기준 통일 필요성 제기

올해 1~8월 개인정보 유출 신고 579건으로 이미 작년 연간 건수 초과, 개인정보위 현장조사는 33건(5.7%)에 그쳐

경찰, 통신 3사 가입자 약 4,800만 명에게 금융권 해킹 사고를 악용한 보이스피싱·스미싱 주의 문자 발송

영국 정부, AI 사전 안전성 검증 강화… 사이버보안·회복력 법률로 AI 관련 사고와 사고 직전 위험 상황을 파악·보고하는 체계 마련

은행권 정보보호 예산은 늘었지만 집행률은 3년 연속 하락

친러 핵티비스트 Z-Pentest Alliance, 국내 대형 불교 사찰 단지 CCTV 25대 이상의 관리자 권한을 장악했다고 주장(실시간·저장 영상 열람 가능 주장)

종합병원급 이상 의료기관 43%가 보안관제 미실시… 상급종합병원 실시율은 75.6%로 종별 격차

금융정보분석원, 쿠코인·MEXC 등 미신고 가상자산사업자 27곳 웹사이트 국내 접속 차단… 해킹·개인정보 유출·자금세탁 악용 위험 이유

병원정보보안협회, 의료기관 직원의 환자정보 무단 열람·유출에 대응하는 내부자 위협 관리 가이드라인·사례집 발간

개인정보위 로봇청소기 보안 점검, 핵심 사용환경은 검증하지 못했고 제한된 조사에서도 실제 보안 취약점 발견… 국감서 '졸속 검증' 지적

잇단 금융권 해킹에도 4대 금융 이사회에 IT·보안 전문가 사외이사 전무, AI 전문가만 보강

금융당국, 금융권 연쇄 해킹 후속으로 금융사 보안 평가표에 '쪽문 대비 태세' 항목 신설… 비정상 대량 호출·자동화 봇 공격 통제 여부 등 IT 보안 자체 체크리스트 반영

성형외과 환자 개인정보 400만원에 거래, 해킹 정보 거래 사이트 성행 속 AI 악용 2차 해킹 우려

여행자 데이터 약 1억2,000만 건 다크웹 노출… 예약 플랫폼·온라인 여행사(OTA)에서 유출 빈발

앤트로픽, AI가 TV·냉장고·로봇청소기 등 스마트 가전의 보안 취약점을 스스로 파악해 점거하고 해킹 거점으로 삼을 수 있다고 경고… 중앙 통제 지점이 없어 차단 어려움

송경희 개인정보위원장, 국감서 금융권·공공기관 개인정보 유출 엄정 조사 방침… 매출액 최대 10% 과징금·조사 비협조 시 이행강제금·증거 은닉 과징금 추진, 유출 피해 구제 기금 조성 계획

동국제강, 랜섬웨어 조직이 다크웹 유출 사이트에 재무정보 등 내부 업무자료를 탈취했다고 주장

신생 랜섬웨어 조직 엔제로엔(n0n), 국내 항만·해운·물류 기업 9곳과 해외 항만 운영사를 공격했다고 주장… 실제 침해 여부는 확인되지 않음

대포통장 81개로 보이스피싱 피해금 3억6천만원을 가상자산으로 세탁하고 도박사이트 운영자를 협박해 23억원 갈취한 조직 적발, 은행 직원도 가담

가짜 업무 회의 초대장으로 피싱 사이트·악성코드 링크를 유포하는 캘린더 피싱 급증, AI 생성 음성·영상으로 화상회의 참석자를 위장하는 수법도 등장

금융위, 망분리 규제 완화로 허용한 AI 보안테스트는 사전점검을 거쳐 진행한다고 설명… 외부망과 내부 업무망 연결에 따른 내부망 해킹 우려에 보안통제 지속 검증 필요성 제기

우체국 직원들이 내부 전산망 '포스트넷'에서 고객 주소를 조회해 '보복 대행' 조직에 넘긴 개인정보 유출 사건 이후, 우체국 창구에서 이전 배송 주소 재사용 접수 제한

잘못 입금된 돈을 은행 절차 없이 직접 돌려줬다가 보이스피싱 연루 계좌로 지급정지되고 사기범으로 몰리는 신종 수법 주의, 개인정보 추가 유출 우려도

IMF, 국내 금융권 연쇄 해킹 관련 개별 금융사 보안 점검을 넘어 금융 시스템 전체의 사이버 복원력 점검 필요성 지적

보안사고를 겪은 티빙, 보상안에 포함한 웨이브 이용권이 일부 콘텐츠만 볼 수 있는 광고형(AVOD) 상품으로 드러나 이용자 기망 논란

미주 한인 대상 보이스피싱 정교화, 사기범이 이름·생년월일·주소 등 개인정보를 미리 확보해 신뢰를 얻은 뒤 통화를 끊으면 다시 걸어 협박

식약처 임상시험 자료 2,672건이 인증 없이 외부에서 내려받아져 비공개 항목·개인정보까지 노출, 식약처는 유출 인지 후 접근 권한 차단(국감 지적)

국감서 경찰 보디캠이 중국산인 점 지적, 경찰청장 직무대행 "공조 등을 통해 확인하고 보완하겠다" 답변

대외무역법 시행령 개정안 국무회의 의결, 국가안보 위협이나 개인·기업 핵심정보 유출 우려가 있는 물품은 정부가 수출입을 직접 제한 가능

정부24 개인정보 유출 사실을 한 달 넘게 지나서야 공지해 국감서 늑장 대응 책임론 제기

日 야마하발동기 고객 교류 사이트 회원 약 1,600명 개인정보 유출 가능성, 사이트 기반 시스템을 제공하는 외부 업체 서버 해킹 탓

국세청을 사칭해 세금 안내로 위장하고 링크 클릭을 유도하는 피싱 메일 확산, 주의 필요

LG유플러스, 개인정보 유출 위험을 막기 위해 국제이동식별번호(IMSI) 체계 난수화 개편 진행… 전 가입자 유심 원격 업데이트 추진에 먹통 우려도

지식재산처 대상 사이버 공격 시도 올해 5,346건으로 전년 대비 2.6배 증가, 같은 기간 정보 유출 시도는 4배 이상 늘어

대만 외교부, 해외 공관 정기 사이버 검사 도중 일부 보안 소프트웨어에서 중국산 소스코드와 취약점 발견

한국은행 디지털화폐 자문위원회에 시스템 취약점·금융범죄 위험을 검토할 보안·자금세탁 전문가가 없어 보안 공백 지적

출고 전부터 펌웨어 수준 악성코드에 감염된 저가 안드로이드 스마트폰 유통 정황 확인, 150개국에서 피해

롯데마트 인도네시아에서 고객정보 유출, 현지 피해자 배상소송은 관할권 문제로 각하돼 책임 소재를 가리지 못해

ISMS 인증 기업도 보안 사고 잇따라… 인증 기업은 개인정보 유출 과징금을 최대 30% 감경받지만 인증 효과 검증 체계는 부재

유클리드소프트, 구글 크롬에서 여러 취약점을 연계해 브라우저 보안 경계를 우회하는 풀체인 익스플로잇을 구현·제보해 크롬 VRP 보상금 25만 달러 받아

국감서 AI가 표적 탐색부터 인증정보 탈취까지 수행하는 해킹에 대한 대응책 부재 지적, 보안 예방에 투자한 기업은 과징금을 최대 40% 감경하는 방안 제기

티빙 개인정보 3,954만 건 유출 보상안 신청률 14.1%, 국감서 구독 유지·재가입을 전제로 한 '꼼수' 보상이라는 비판… 개인정보위에 과징금 감경 사유에서 해당 보상 조치 배제 촉구

앤트로픽, 새 보안 시스템으로 경쟁사의 조직적 '증류(Distillation)' 공격에 따른 데이터 탈취를 90~99% 방어했다고 발표… 중국 Z.ai의 클로드 증류 시도 경고

국감서 AI 활용 해킹에 대비한 원자력발전소 사이버 공격 대응 필요성 지적, 원안위원장 "원전 운영·안전 전산망은 외부망과 완전 분리" 답변

개인정보위, 공공기관 개인정보 보호수준 평가 강화… 유출 사고 감점을 10점에서 20점으로 확대하고 반복적으로 낮은 평가를 받은 기관의 등급 별도 공개

대전시교육청, 일선 학교 '구글 워크스페이스 포 에듀케이션' 계정 비밀번호 약 7만 개 무단 변경 확인… 졸업생·퇴직 교직원 개인정보 유출 가능성

탈퇴회원 개인정보 유출 최근 3년간 316만 건, 국감서 개인정보위에 유출 후 처분이 아닌 주요 플랫폼 파기 의무 선제 점검 요구

국민연금공단 대상 해킹 시도 275% 급증에도 보안 인력 부족… 공단은 실제 유출 사고는 없다고 설명, 인력 확충은 내년 정보보안 전문계약직 2명 채용에 그쳐

국가 전산망 해킹 시도 2배 급증, 국감서 제로데이 공격과 보안 포트 장기 개방·접근통제 부실·보안조치 지연을 구분해 공공기관 보안 책임을 물어야 한다는 지적

쿠팡, 대규모 개인정보 유출로 부과된 역대 최대 과징금 6,246억8,100만원을 2년간 6회 분할 납부

은행의 이상거래 연락을 받고 경찰서를 찾은 보이스피싱 피해자가 '정상 거래'라며 조치를 받지 못했다며 직무유기 혐의로 권익위에 민원 제기

구글, 협업 기관 프로젝트 사이트에 한국 디지털 성범죄 피해자 개인정보 노출… 원인으로 '직원 실수' 제시, 개인정보위 조사 중

대전에 이어 서울에서도 학교 구글 워크스페이스 계정 침해 확인, 교육부가 원격수업용으로 개설한 계정 대상 비밀번호 변경 지시

금융사 개인정보 유출 사고 시 여러 부처에 따로 신고해야 해 초동 대응을 방해한다는 지적, 한 번 신고로 모든 부처에 전달되는 원스톱 신고 체계 구축 요구

미국·유럽 금융당국, 잇따르는 사이버공격과 통제 불능 AI 에이전트 문제 대응을 위해 은행권 대상 긴급 점검 착수(로이터 보도)

금융권 연쇄 해킹으로 금융권 망분리 규제 완화 '일시정지'… 금융보안원은 사고 열흘 전인 9월 17일 금융사 보안 담당자 160여 명에게 AI 활용 공격 가능성을 이미 경고

한국은행, 해킹 시도 늘어나는 가운데 국정원 사이버보안 평가에서 2년 연속 '미흡'… 올해 5~6월 온라인 연수 위탁업체 해킹으로 직원 186명 개인정보 유출

공공기관이 외부 업체에 개인정보 수집·관리를 맡기면서 외부 설문 도구·API 보안 허점 발생 지적… 담당자 인사이동 시 관리 주체가 불분명해지고 계정 탈취·정보 결합에 따른 유출 위험

OK저축은행도 해킹으로 고객 개인정보 유출 확인, 새마을금고와 합쳐 두 곳에서 580여 명 유출… 은행권 해킹이 2금융권으로 확산(AI 에이전트 해킹 사고와의 연관성은 미확인)

해킹 피해를 입은 일부 금융사, 사고 후 자체 보안점검에서 보안 취약점 패치 업데이트가 '미흡'했다고 인정… 보완 완료 시점은 내년 말(국회 정무위 김형연 의원실 자료)

최주희 티빙 대표, 국감서 대규모 개인정보 유출 원인을 AI 기반 해킹으로 추정… 송경희 개인정보위원장은 연내 처분 마무리 방침을 밝히고 "실효적 보상안이 아니면 과징금 감경 고려 어렵다"고 답변

결혼정보업체 듀오, 회원 43만 명 개인정보 유출과 거짓 광고로 과징금 15억원 넘게 부과… 2025년 1월 직원 업무용 PC가 악성코드에 감염된 뒤 DB 서버 계정 정보가 탈취돼 전체 정회원 정보 유출

최근 5년간 공공기관 개인정보 유출 사고로 772만 명 정보 유출, 개인정보위 징계 요구는 2건에 그쳐… 국감서 민간보다 약한 처벌 지적

보이스피싱 피해금이 가상자산거래소로 넘어가도 거래소 계정 즉시 동결·환급 가능, 개정 법 시행으로 10월 1일부터 적용

일본 기업 4곳 사이버공격 피해로 일본 GDP 약 5천억원 손실 추산… 랜섬웨어 공격을 받은 아스쿠루는 물류 시스템 마비로 전면 복구까지 3개월 넘게 소요

한국전력 직원 약 2만4천 명 개인정보가 외부 웹페이지에 노출, 한전은 삭제 조치를 마치고 직원들에게 문자·메일로 경위와 2차 피해 예방 조치 안내

폴란드, 스타링크 통신시설 방화 용의자 4명 체포… 러시아 배후의 사보타주로 지목, EU는 러시아의 사보타주·사이버 공격 등 하이브리드 공격을 경고

최형두 의원, 본인확인용 연계정보(CI)는 주민등록번호처럼 바뀌지 않는 구조라 한 번 유출되면 장기간 '반영구적 식별자'로 악용될 수 있다고 지적

AI 모델 GLM-5.3, 모의 시험에서 유해 요청 응답률 64~100%… 방문자 컴퓨터의 파일을 읽는 브라우저 익스플로잇을 작성한 사례도 확인(실제 공격 악용은 미확인)

노조미 네트웍스 보고서, 자격증명 관련 공격이 전체의 3분의 1… 가장 활발한 그룹은 스캐터드 스파이더(48%), 사전 확보한 신원정보를 이용한 사회공학으로 침투

개인정보위, 국내 출시를 앞둔 중국 전기차 '지커' 현장조사 착수… 커넥티드카 7개사 개인정보 처리 실태 조사

방위사업청 대상 사이버공격 시도 누적 3만 건 넘어, 서버 내부 파일 접근 등 '시스템 접속 시도'는 1년 만에 약 15배 급증(국감 지적)

시스코 조사에서 국내 기업의 사이버 방어 역량이 글로벌 평균에 못 미치는 것으로 나타나, AI 악용 해킹 대응 역량 부족 지적

북한 연계 해커의 올해 암호화폐 탈취액 10억 달러 돌파(비트겟 해킹 포함)… 재무부 제재 명단에 랜섬웨어·해외 북한 IT 인력 수익과 연결된 류경신용은행·조선 만경대컴퓨터기술회사 포함

영국 정보기관 수장 매캘럼 국장, 이란·러시아가 英 본토 군사시설을 계속 겨냥한다고 경고… 러시아는 폴란드 에너지 인프라 사이버공격 등 회색지대 전술 배후로 지목, AI가 사이버공격 속도를 높인다고 언급

Autheo THEO 토큰, 베이스 체인에서 담보 없이 1,900만 개가 발행돼 하루 92% 폭락… 공격자는 물량을 700.8ETH(약 176만 달러)로 교환

CVE-2026-102255 SonicWall SMA 1000 사전인증 SSRFCVSS 10.0, 실공격 확인

CVE-2026-85097 WordPress Bricksforge 플러그인 무인증 RCECVSS 10.0, 실공격 중(3.1.8.10 이상으로 업데이트)

GitLab CI/CD 정규식 컴파일러 원격 코드 실행최고 심각도, 즉시 패치 권고

CVE-2026-107406 Citrix NetScaler ADC·Gateway 메모리 오버플로RCE·DoS 가능(SAML IdP/SP 설정 장비 대상)

CVE-2026-109373 ZITADEL Login V2 세션 쿠키 위조로 계정 탈취CVSS 9.2 Critical(4.19.2로 업데이트)

CVE-2026-85957~85976 Progress MarkLogic Server 취약점 20건 일괄 공개최고 8.0 High(12.1.0·11.3.7로 업데이트)

CVE-2026-105464 IBM Db2 권한 상승 등 취약점 다수 공개최고 CVSS 8.8 HIGH, DBADM 권한을 가진 로컬 공격자가 권한 상승 가능(CREATE WRAPPER 경유 호스트 파일 열람 CVE-2026-18166 등)

CVE-2026-87744 Quarkus REST Data Panache 접근 제어 누락@MethodProperties로 수정한 생성 엔드포인트에서 보안 역할 설정이 빠져 무인증 우회 가능

CVE-2026-107815 MariaDB CONNECT 엔진 스택 버퍼 오버플로특정 double 컬럼 처리 중 경계 밖 쓰기로 서버 크래시·원격 코드 실행 가능, 수정 완료

CVE-2026-65954 PHPCSUtils eval() 원격 코드 실행PHP_CodeSniffer로 신뢰할 수 없는 PHP 코드를 검사할 때 공격자가 조작한 배열 키 표현식이 실행됨

WordPress bbPress 2.7.0 REST 단일 항목 엔드포인트 가시성 검사 누락무인증 공격자가 ID 기반으로 비공개 포럼 데이터 수집 가능

CVE-2026-84316 Nginx UI 설정 지시어 검증 우회인증된 사용자가 지시어를 주입해 공식 이미지에서 원격 코드 실행 가능, MCP 설정 도구 경유 우회(CVE-2026-84317·CVE-2026-84319) 등(2.4.1로 업데이트)

CVE-2026-18529 IBM Maximo Application Suite 명령 주입 등 취약점 다수 공개최고 CVSS 8.7 HIGH, Esri 위치 서비스 구성요소의 쿠버네티스 오퍼레이터 작업에서 사용자 입력이 셸 명령으로 전달(디렉터리 탐색 CVE-2026-105052 등)

CVE-2026-109566 Rapyd Admin 하드코딩된 슈퍼관리자 계정설치 시 생성되는 admin@laravel/admin 계정으로 무인증 공격자가 슈퍼관리자 권한 획득 가능, 권한 상승 CVE-2026-109567 등(9.20.0으로 업데이트)

CVE-2026-53922 OpenWrt odhcpd DHCPv6 처리 스택 버퍼 오버플로같은 링크의 무인증 공격자가 조작한 RENEW 패킷으로 서비스 거부(DoS) 유발 가능(커밋 cfddd56 이하 영향)

CVE-2026-96263 IBM Power Systems 펌웨어 부트 이미지 검증 버퍼 오버플로 등 취약점 다수 공개서비스 프로세서(FSP) 서비스 권한을 가진 공격자가 조작한 코드 업데이트·메일박스 메시지로 호스트 펌웨어 메모리 변조 가능(Hostboot 메모리 읽기·쓰기 CVE-2026-96265 등)

CVE-2026-82110 IBM DataStage on Cloud Pak for Data 경로 탐색 원격 코드 실행 등 취약점 다수 공개CVSS 9.6 CRITICAL, 인증된 원격 공격자가 임의 코드 실행 가능, 민감정보 노출 CVE-2026-82103·명령 주입 CVE-2026-82096 등(5.4.0.0 영향)

CVE-2026-19620 IBM Planning Analytics Local 인증 미흡 등 취약점 다수 공개최고 CVSS 8.8 HIGH, 원격 공격자가 관리자 권한을 무단 획득 가능, 하위 요청 검증 미흡으로 인증 우회·권한 상승 CVE-2026-19622·임의 파일 열람 CVE-2026-19627 등(2.0·2.1 영향)

CVE-2026-102627 IBM TRIRIGA Application Platform Zip Slip 원격 코드 실행 등 취약점 공개CVSS 8.8 HIGH, 인증된 원격 공격자가 압축 해제 시 경로 검증 미흡을 악용해 임의 코드 실행 가능, 세션 토큰 노출 CVE-2026-93892·XXE CVE-2026-93891 등(5.0.0~5.0.8 영향)

CVE-2026-89111 SAP Cloud SDK for Python OAuth2 SSRF 등 SAP 취약점 다수 공개CVSS 10.0 CRITICAL, tenant_subdomain 파라미터 조작으로 멀티테넌트 BTP 앱의 OAuth2 토큰 요청을 공격자 서버로 돌려 클라이언트 자격증명 탈취 가능, Visual Composer 접근 제어 미흡 CVE-2026-89110·S/4HANA 코드 주입 CVE-2026-89107 등

CVE-2026-96119 IBM i HTTP Server 관리 GUI 코드 생성 제어 미흡CVSS 9.9 CRITICAL, 인증된 원격 공격자가 민감정보 탈취·임의 코드 실행 가능, 스크립트 실행 CVE-2026-93886 등(7.3~7.6 영향)

CVE-2026-87689 Metasploit Framework 웹 서비스(msf-ws) REST API 인증 누락자격증명 수정(PUT)·삭제(DELETE) 핸들러에서 인증 검사가 빠져 무인증 공격자가 자격증명 저장소를 변조·삭제 가능

CVE-2026-109786 Fail2ban sshd 필터 IP 주소 위장OpenSSH가 사용자명을 그대로 기록하는 점을 악용해 무인증 원격 공격자가 조작한 사용자명으로 임의 IP를 차단 대상으로 만들 수 있음(0.10.5~1.1.1 영향, 커밋 ddd879d에서 수정)

CVE-2026-109758 Perforce Helix Authentication Service 기본 SCIM 베어러 토큰 하드코딩·프로토타입 오염설치 템플릿의 기본 자격증명을 바꾸지 않은 배포에서 SCIM 엔드포인트에 접근 가능한 공격자가 무단 접근 가능(25.2 영향)

CVE-2026-75826 Teltonika Networks RUTOS 백업 기능 명령 주입인증된 원격 공격자가 명령 실행 가능, RUT·RUTX 등 산업용 라우터와 TSW 스위치 영향(RUTOS 7.24.6·7.25.2, TSWOS 1.10.4로 업데이트)

CVE-2026-89271 WordPress WP-BusinessDirectory 무인증 임의 파일 쓰기업로드 핸들러가 파일 형식·저장 위치를 제한하지 않아 임의 위치에 파일 작성 가능, 기본 서버 설정에서 코드 실행은 불가(4.0.2 이하 영향)

CVE-2026-108971 D-Link DCS-930L 긴급 HTTP 복구 서버 펌웨어 서명 검증 미흡원격 공격자가 firmware 인자를 조작해 암호 서명 검증을 우회할 수 있음(B1.08B4 영향)

CVE-2026-65173 NVIDIA AIStore 토큰 폐기 엔드포인트 인증 누락 등 NVIDIA AI 제품 취약점 다수 공개CVSS 9.1 CRITICAL, 무인증 원격 공격자가 조작한 토큰 폐기 목록으로 데이터 변조·서비스 거부 유발 가능, AIStore SSRF CVE-2026-65170·Megatron-LM 체크포인트 로딩 RCE CVE-2026-65180 등

CVE-2026-105445 Docker Hub 개인 액세스 토큰(PAT) 처리 취약점Critical, 공격자가 PAT로 다른 사용자의 컨테이너 저장소에 접근해 사용자 사칭·이미지 변조 가능

CVE-2026-77099 Commvault CVFS 입력값 검증 미흡 명령 실행 등 Commvault 취약점 다수 공개CVSS 9.3 CRITICAL, CVFS 인증 누락 명령 실행 CVE-2026-77096·XXE 정보 노출 CVE-2026-77090 등(유지보수 릴리스로 업데이트)

CVE-2026-53709 MCP Context Forge 기본 JWT_SECRET_KEY 하드코딩소스·.env.example에 공개된 키로 무인증 공격자가 플랫폼 관리자 토큰 위조 가능, Admin UI 저장형 XSS CVE-2026-53711 등(1.0.2로 업데이트)

CVE-2026-53420 Zoom Workplace 클라이언트 Zoom Phone 기능 버퍼 오버플로CVSS 8.0 HIGH, 무인증 사용자가 네트워크 접근으로 권한 상승 가능

CVE-2026-65198 Huawei openUBMC 기본 SNMPv3 USM 키 하드코딩오픈소스 빌드에서 키를 복구한 공격자가 기본 키를 유지한 장비에 SNMPv3 인증·트래픽 복호화 가능, 저권한 SNMP 사용자의 관리자 권한 상승 CVE-2026-65199 등

CVE-2026-65197 H3C G3/G5 HDM 펌웨어 서명 검증 키 교체인증된 Redfish 클라이언트가 UploadSignKey 액션으로 검증용 공개키(/conf/public.pem)를 바꿔 펌웨어 서명 검증을 무력화할 수 있음

CVE-2026-69227 Portal for ArcGIS /portaladmin/local API 인증 누락CVSS 9.8 CRITICAL, 특정 조건에서 무인증 공격자가 관리 기능에 접근 가능, 가입 비활성화 상태에서도 무단 계정 생성이 가능한 CVE-2026-69226 등

CVE-2026-53562 Citrix UniconOS 링크 추적 로컬 권한 상승CVSS 8.5 HIGH(2607 CR·2603 LTSR CU2 이전 버전 영향)

CVE-2026-81983 Adobe Acrobat PDF 이미지 디코더 정수 오버플로조작한 PDF로 경계 밖 읽기·쓰기 가능, 익스플로잇 분석 공개(Adobe 패치 완료)

CVE-2026-94603 Podman 이미지 주석으로 샌드박스 제한 무력화체크포인트 런타임 주석이 붙은 이미지를 실행하면 --cap-drop=ALL 등 사용자가 지정한 컨테이너 제한이 무시됨(4.4.0 이상 영향, 5.8.8·6.1.3에서 수정)

CVE-2026-77459 Argo CD PreDelete·PostDelete 리소스 훅 권한 검사 누락AppProject의 대상 네임스페이스·리소스 제한을 우회할 수 있음(2.10.0 이상 영향, 3.3.15·3.4.10·3.5.4로 업데이트)

CVE-2026-61642 Squid HTTP Transfer-Encoding 요청 스머글링헤더 파싱이 비정상 Transfer-Encoding 형식을 허용해 요청 밀반입 가능(3.3.0.1 이상 7.6 이전 영향, 7.6으로 업데이트)

CVE-2026-88838 BusyBox mount 비루트 옵션 필터 우회일반 사용자가 /etc/fstab의 보안 제한을 해제할 수 있음, udhcpc 정수 언더플로 서비스 거부 CVE-2026-88833 등

CVE-2026-55183 RClone Manager 무인증 rclone 데몬 노출로컬 rcd 서비스를 인증 없이 모든 출처 허용으로 실행해, 사용자가 연 악성 웹페이지가 데몬을 원격 조작할 수 있음(0.2.7로 업데이트)

CVE-2026-54454 OpenCATS 가져오기(Import) 모듈 인증된 원격 코드 실행업로드 파일을 원래 이름 그대로 웹 접근 가능한 임시 경로에 저장(0.10.0으로 업데이트)

CVE-2026-85990 Leantime JSON-RPC 권한 검사 미흡인증된 일반 사용자가 스스로 관리자로 권한 상승 가능(3.10.0으로 업데이트)

CVE-2026-55823 Frappe reportview get_count() SQL 인젝션조작한 리포트 입력으로 실행되는 SQL을 변조할 수 있음, OAuth state 파라미터 오픈 리디렉트 CVE-2026-66057 등(최신 버전으로 업데이트)

CVE-2026-82416 FrankenPHP 워커 모드 요청 간 PHP 세션 ID 유출세션 확장을 공유 모듈로 로드한 빌드에서 이전 요청의 세션 상태가 남음, 공식 도커 이미지 기본 phpinfo() 노출로 환경변수가 유출되는 CVE-2026-85733 등(1.12.5로 업데이트)