Ivanti Connect Secure 제로데이 3종 체인 실공격, 미인증 root RCE (CVE-2026-104935, CISA KEV 등재)

✅ 권고 조치패치 2건 즉시 적용. 세 번째 취약점은 아직 미패치이므로 ICS 외부 노출을 최소화하고 침해 흔적을 점검

프랑스 슈퍼마켓 최대 700곳 냉장설비 해킹, Danfoss 구형 컨트롤러 취약점 악용으로 최고 50℃까지 가열

✅ 권고 조치냉장·빌딩 제어기(OT)의 인터넷 노출 여부 점검, 지원 종료 장비 교체·격리, 원격관리 접근 통제

금융권 해킹 확산: 새마을금고 400명대(계좌번호·잔액 포함), OK저축은행 183명 개인정보 유출 신고

✅ 권고 조치금융사는 웹 취약점(인가 검증 누락) 점검 필요. 이용자는 금융기관 사칭 스미싱 주의

신생 랜섬웨어 'N0n', 부산신항만·동국제강 등 국내 항만·해운·철강사 12곳 공격 주장… 19일까지 협상 요구

✅ 권고 조치해운·물류 업계는 공유 플랫폼 연계 구간과 외부 접속 계정 점검

GitLab CE/EE 미인증 원격코드실행 취약점 패치 (CVE-2026-97229, CVSS 10.0)

✅ 권고 조치self-managed GitLab을 즉시 최신 패치 버전으로 업그레이드

개인정보위 국감: KT BPF도어 서버 38대 해킹 은폐·로그 삭제 의혹, 티빙 대표 "3954만 계정 유출은 AI 해킹 추정"

Microsoft, 일본 경찰청·Health-ISAC와 함께 중국어권 피싱 플랫폼 YAM Store·CoGUI·Iron Man 도메인을 미 법원 명령으로 압수… 150개국 7만5000여 조직을 겨냥한 10억 건 이상 피싱 메시지의 배후 네트워크 차단

Cisco Secure Email Gateway 제로데이 실공격, 미인증 원격 공격자가 root 권한으로 명령 실행… Cisco 패치 배포

✅ 권고 조치SEG 장비를 즉시 최신 패치 버전으로 업데이트하고 침해 흔적 점검

경찰, 금융권 해킹 악용 보이스피싱·스미싱 우려로 통신 3사 가입자 4800만 명에 경보 문자 발송

경찰, 금융권 연쇄 해킹 배후 추적 위해 미 FBI와 공조… 공격자 신원 단서는 엇갈려

국세청 대상 해킹 시도 올해 1~9월 7만3283건, 지난해 연간의 7.6배

LMS 업체 맑은소프트 개인정보 유출 약 237만 건 신고, 권익위 등 고객사 22곳 피해

듀오, 회원 43만 명 개인정보 유출 등으로 과징금 15억 원 넘어

개인정보위, 중국 전기차 '지커' 현장조사 착수… 커넥티드카 7개사 개인정보 처리 조사

방산 협력사 해킹으로 무기체계 기술자료 유출, 2024년 이후 사이버공격 유출 41건

한국은행, 국정원 사이버보안 평가 2년 연속 '미흡'… 위탁업체 해킹으로 직원 186명 정보 유출

북한 김수키, 'KCSCON 2026' 사칭해 우크라이나 외교·안보 전문가 겨냥 공격

친러 핵티비스트 Z-Pentest Alliance, 국내 사찰 CCTV 25대 이상 장악 주장

국가 연구기관 서버 97%가 백신 없이 운영, 국감서 R&D 성과의 사이버공격 노출 우려 지적

금융권 연쇄 해킹 이후 2차 피싱 우려 속 금융사 무과실 배상책임 도입 논란

쿠팡, 국감서 개인정보 유출 배상조정 불수용 결정권자 질의에 "내부 결정" 답변만 반복

금융위, 금융권 연쇄 해킹 관련 점검회의 개최… 금감원 체크리스트 점검 결과 검토, 새마을금고 추가 유출 여부도 주시

정무위, '금융권 해킹 사고 문제 점검' 사유로 5대 은행장 국감 증인 채택… 경영진 책임론 쟁점 부상

신한은행 해킹으로 연소득·대출 산출한도 등 개인 신용정보 유출… 책무구조도 첫 제재 적용 여부와 행장의 개인정보보호법상 책임이 쟁점

개인정보 유출 기업 과징금 2022년 이후 7004억 원 부과됐지만 국고 귀속… 피해자 구제 기금 조성은 제자리

5대 은행 간편송금 관련 보이스피싱 계좌 지급정지 1년 새 3.5배 급증… 건당 피해금은 3분의 1로 줄어 소액 다건화

은행원 매수해 '계좌 묶겠다' 협박으로 불법 도박사이트 상대 23억 원 뜯어낸 보이스피싱 조직 경찰 검거

금감원, 금융권 연쇄 해킹 속 KB국민카드 정기검사 착수… IT 보안 체계·취약점 집중 점검

대구경찰청, 해외 보이스피싱 전화를 국내 '010' 번호로 바꿔준 불법 중계기 운영 일당 17명 검거

웰컴저축은행, AI 해킹으로 기업뱅킹 개인정보가 유출된 고객 대상 자체 보상금 지급 착수… 금융권 연쇄 해킹 중 첫 보상

농진청, 농민 57만여 명 개인정보 유출로 제재받은 업체와 별도 보안 강화 조치 없이 계약 유지·갱신… 국감서 관리 부실·특혜 의혹 제기

정부 표시 '정보보호 투자 우수기업' 중 47곳에서 최근 4년간 개인정보 유출로 처분… 올해 유출 규모만 3787만 명

공공기관 개인정보 유출 사고 60%가 내부 업무과실로 외부 해킹의 2.3배… 유출 사고 징계 권고는 전체 처분의 6% 수준

정보보호 인증(ISMS-P) 보유 기업 침해사고 531건… 유출 과징금 최대 30% 감경 기준 두고 국감서 인증 사후관리 실효성 지적

경찰, '안산 성폭력 사건' 부실수사 논란 속 피해자 진료이력 언론 유출 의혹 국감서 제기… 경찰 "감찰 통해 엄정 조치"

국민연금공단 대상 해킹 시도 하루 평균 787건, 보안 인력은 기준의 절반 수준… 공단 "올해 실제 개인정보 유출·침해사고는 없어"

국회 성평등위, 구글코리아·듀오 대표 국감 증인 채택… 불법촬영물 삭제 요청 피해자 개인정보 유출, 듀오 회원정보 유출 경위 추궁 예정

국정원, 금융권 연쇄 해킹과 AI 활용 공격 가능성에 대응해 전 금융권 대상 'AI 취약점' 설명회 추진

해킹 피해 은행들 국감 자료 제출 부실로 책임론 확산… 신한은행 2만5000여 명, 예가람저축은행 4만 명 등 금융권 연쇄 유출 규모 재조명

이훈기 의원, 국회서 쿠팡의 개인정보위 과징금 6246억 원 불복소송 규탄 기자회견… 유출 기업 책임과 피해자 권리 보호 쟁점화

쿠팡, 개인정보위 과징금 6247억 원 2년간 분할 납부… 3755만 명 유출에 4235억 원, 타사 활동기록 무단 수집에 2011억 원 부과

화장품 기업 참존, 고객 개인정보가 다른 화장품 업체로 넘어가 마케팅에 활용된 의혹… 검찰, 관계자 2명 약식기소

금융권 연쇄 해킹 속 증권사들도 MTS 등 보안 의무 위반으로 매년 수억원대 과태료… 솜방망이 처벌이 보안 불감증 키웠다는 지적

상급종합병원·종합병원 43%가 랜섬웨어·비정상 접속 등 외부 침해 시도를 실시간 감시하는 보안관제 체계 미구축

초·중·고교·교육청 개인정보 유출 처분 2023년~올해 7월 15건, 유출 규모 310만여 건에도 과징금은 0원

저축은행중앙회, 출금·이체 장애 발생에 해킹 공격 여부 긴급점검… 이달 초 AI 활용 추정 외부 해킹 시도도 받아(실제 정보 유출은 없었다는 입장)

'100% 국산'이라던 부산항 감시 CCTV 시스템에 중국산 핵심부품 344개… 광송수신 모듈·네트워크 스위치 등 전송 경로 장비의 보안 검증 미흡 지적

[단독] 해킹 피해 신한·KB국민·하나은행, 금융당국 지시로 실시한 IT 보안 자체점검에서도 일부 항목 '미흡' 평가

우리은행, 보안예산 집행률 최하위 지적… 은행 측은 이번 연쇄 해킹에서 WON인증서 이중 인증 덕에 외부 사이트 정보유출 피해가 없었다는 입장

한국인터넷진흥원(KISA) 전산시스템 노후화로 절반이 교체 대상… 악성코드 분석·위협정보 공유·관제 차질로 침해사고 대응 지연 우려에도 예산 부족

과기 출연연 대상 해킹 시도 73.2% 급증… ETRI 서버 1459대에서 취약점 1490건 발견, 출연연 24곳 보안 인력은 최소기준 미달

국감서 식약처 비공개 문서 관리 부실 지적… 임상시험 관련 자료 외부 노출 가능성 제기, 제3자 실제 열람 여부는 미확인

강원경찰청, 대포계좌를 모아 도박조직에 넘긴 유통 일당과 명의자 등 34명 검거… 보이스피싱 자금 통로 차단 위해 단속 지속

중소기업이 사이버 침해사고의 80% 이상을 차지하는데 정보보호 지원 예산은 105억 원에서 26억 원으로 75% 축소되고 지원기업은 2년 새 69% 급감… 국감서 반복 피해기업 사후관리 강화 요구

해외 피싱 조직 지령을 받아 발신번호를 '010'으로 조작하는 중계기를 전국 모텔에 설치한 20대 2명, 1심서 구형(각 5년)의 약 2배인 징역 9년 6개월~10년 선고… 11억 원대 피싱 범죄 가담

금융당국, 금융권 해킹 피해 16개사로 확대 발표… DB저축은행·산은캐피탈 등 5곳 추가, 전자금융업체·가상자산사업자도 첫 피해 확인. 개인정보 약 10만 건 유출, 555개사 점검서 130곳 보안 '미흡'

KISA, 협력사 해킹을 통한 LG유플러스 내부망 침입·직원 계정정보 유출 의심 제보를 받고도 23일 뒤에야 자료 요구했다는 국감 지적

카카오, 인증문자를 대량으로 발생시켜 발송 비용을 떠넘기는 'SMS 펌핑' 공격으로 수십억 원 손실 위기… 어뷰징 대응 사례 공개

[단독] 금융당국, 연쇄 해킹 원인으로 지목된 금융사 IT자산 관리 부실 대응해 전산자산 관리 의무화 추진… 일부 시스템은 지원 종료(EOS) 시점·구성요소·보안 패치 이력 관리 안 돼 신규 취약점 패치 대상 파악 어려웠다는 지적

개인정보 유출로 손해배상을 받지 못한 피해자에게 국가가 구조금을 지급하도록 과징금 등을 재원으로 한 피해구제 기금 설치 법안 발의

전주지법, 스미싱으로 탈취된 개인정보로 실행된 대출이라도 본인확인 절차가 적절했다면 금융회사 책임이 없다고 판단… 피해자가 제기한 채무부존재확인 사건

해외 보이스피싱 조직 범죄수익금을 가상자산 등으로 세탁한 일당 검거… 10개월여간 대포통장 81개 모집, 피해금 3억여 원 세탁 혐의, 은행원 연루 의혹

KISA, 해킹메일·디도스·모의침투 등 사이버 위기대응 훈련으로 최근 5년간 민간기업 보안 취약점 1332건 발견… 개선 조치는 '권고' 수준에 머문다는 국감 지적(서천호 의원 자료)

유동수 국회 정무위원장, 금융회사 개인정보 유출 시 여러 기관에 각각 신고하고 비슷한 자료를 반복 제출하는 절차를 개선할 원스톱 신고 체계 구축 요구

[단독] 저축은행 정보보호최고책임자(CISO) 공시 부실… 금융권 연쇄 해킹·개인정보 유출 속 CISO 지정은 의무지만 공시가 미흡해 공시를 법적으로 강제해야 한다는 지적

은행권, 금융권 연쇄 해킹 여파로 외부 접속 경로에 2차 인증 확대·해외 IP 접속 차단 등 로그인 통제 강화… 기업은행도 외부 접속 경로 유출 사고 대비 공지

넷마블, 지난해 개인정보 유출 사고에도 2026~2028년 3년간 정보보호 투자액을 타사 대비 낮은 수준으로 책정해 보안 투자 의지 의문 제기

인천지법, 보이스피싱 조직원과 공모해 피해자로부터 본인 명의로 이체받은 돈을 엔화로 환전해 현금수거책에 전달한 혐의 피고인에 무죄 선고

[단독] 한국항공우주연구원 퇴직자들의 연구자료 무단 반출 잇따라… 파일 약 6만 개 반출 정황, 경찰은 외부 유출이 금지된 항공우주 연구개발 데이터가 포함됐다고 판단

강남언니 운영사 힐링페이퍼 대표, 국감서 개인정보 유출 관련 보안 투자·피해 보상 미흡 인정

가상자산거래소 고팍스, 고객 계정 대상 무단 접근 시도 한 자릿수 확인… 다른 사이트에서 유출된 이메일·비밀번호를 활용했을 가능성 제기

마케팅 활용에만 동의한 개인정보가 제3자에 유상 제공되는 관행… 제3자 제공 시 유상 거래 사실까지 명확히 고지해야 한다는 지적

CVE-2026-104935 Ivanti Connect Secure 인증 우회CVSS 8.6, 실공격·KEV 등재, 제로데이 체인으로 root RCE

CVE-2026-97229 GitLab CE/EE CI/CD 정규식 처리CVSS 10.0, 미인증 원격코드실행

CVE-2026-102255 SonicWall SMA 1000 SSRF최고 심각도, 실공격 진행 중

Danfoss 냉장 컨트롤러(지원 종료 구형) 취약점인증 우회 후 원격 코드 실행, 프랑스 슈퍼마켓 공격에 실악용(CVE 번호 미공개)

CVE-2026-105445 Docker Hub PAT 권한 결함Critical, 타 사용자 이미지 push·삭제 가능(9월 30일 서버 측 수정)

SAP Cloud SDK for Python OAuth2 SSRFCVSS 10, BTP 멀티테넌트 앱 클라이언트 자격증명 탈취

CVE-2026-69227 Portal for ArcGIS 관리 API 미인증 접근CVSS 9.8 Critical

CVE-2026-55823 Frappe reportview SQL 인젝션CVSS 8.7 High

CVE-2026-110128 fuint 주문 상세 API 인증 누락CVSS 8.7 High, 주민번호 등 회원정보 노출

CVE-2026-53562 Citrix UniconOS 로컬 권한 상승CVSS 8.5 High

CVE-2026-106173 Fortinet FortiSIEM 경로 탐색CVSS 9.4 CRITICAL, 조작된 패킷으로 원격 코드·명령 실행. FortiOS·FortiProxy·FortiSwitch 이중 해제(CVE-2026-106175), FortiAnalyzer·FortiManager SQL 인젝션 등 다수 동시 공개

CVE-2026-92892 JFrog CLI 임의 코드 실행CVSS 9.0 CRITICAL, 특정 설정에서 CLI 실행 호스트에 명령 실행 가능

CVE-2026-90532 Adobe Experience Manager 부적절한 인가사용자 상호작용 없이 임의 코드 실행 가능. XXE 권한 상승(CVE-2026-90531), DOM 기반 XSS 등 다수 동시 공개

CVE-2026-39919 Ghostscript 힙 버퍼 오버플로Critical, 조작된 PDF 파일로 원격 코드 실행, PDF 업로드를 처리하는 서버 장악 가능

CVE-2026-93909 IBM WebSphere Application Server Liberty 인증 우회CVSS 9.1 CRITICAL, samlWeb-2.0 기능 활성화 시 발생. gRPC 서비스 접근통제 우회(CVE-2026-93895, 9.1), 미인증 배치 작업 상태 변조(CVE-2026-93905) 등 동시 공개

CVE-2026-94512 Microsoft SQL Server 힙 버퍼 오버플로CVSS 8.8 HIGH, 인증된 공격자가 네트워크로 원격 코드 실행. 스택 버퍼 오버플로 권한 상승(CVE-2026-96956, 8.0) 등 다수 동시 공개

CVE-2026-95638 Adobe Photoshop Desktop 힙 버퍼 오버플로CVSS 7.8 HIGH, 악성 파일을 열면 현재 사용자 권한으로 임의 코드 실행. 경계 밖 쓰기(CVE-2026-97312)·이중 해제(CVE-2026-95635) 등 다수 동시 공개

CVE-2026-84790 OpenVPN 인증서 subject 필드 조작 사칭CVSS 7.6 HIGH, 인증된 원격 사용자가 조작한 인증서 subject로 다른 사용자로 위장 가능(2.6.22 이하 등 영향)

CVE-2026-77206 Libreswan IKEv2 EAP 처리 널 포인터 역참조인증 전 원격 서비스 거부, EAP 미설정 상태에서도 임의 IKEv2 연결로 유발. IKE-over-TCP 사용 후 해제(CVE-2026-94453), FIPS 모드 위조 인증서로 정상 피어 접속 차단(CVE-2026-77205) 등 동시 공개

CVE-2026-110172 Google Chrome Media 사용 후 해제Chromium 심각도 High, 조작된 HTML 페이지로 샌드박스 내 임의 코드 실행(155.0.8059.79 이전 버전). Media UAF(CVE-2026-110171), Bindings UAF(CVE-2026-110170) 등 동시 수정

CVE-2026-95634 CAI Content Credentials SSRFCVSS 8.6 HIGH, 사용자 상호작용 없이 권한 상승 가능. 암호 서명 검증 미흡에 따른 보안 기능 우회(CVE-2026-95632) 등 동시 공개

CVE-2026-92817 Inductive Automation Ignition Perspective 모듈 부적절한 인가Vision 프로젝트 접근 권한을 가진 인증 사용자가 자신의 세션 식별자로 Designer 수준 권한 획득 가능

CVE-2026-110385 ONLYOFFICE Document Server 원격 코드 실행유효한 JWT를 가진 인증 공격자가 Document Builder API의 변환기 XML 처리를 악용해 ds 서비스 계정 권한으로 OS 명령 실행(10.0.0 이전 버전)

CVE-2026-108473 TP-Link Kasa 다수 기기 부적절한 인증인접 네트워크의 미인증 공격자가 로컬 관리 프로토콜로 기기 상태·관리 설정 변경 가능, 자격증명 노출 우려

CVE-2026-110359 Hyland Desktop Host for Windows 로컬 권한 상승CVSS 7.8 HIGH, 권한이 취약하게 설정된 폴더에서 실행되는 특권 서비스를 로컬 사용자가 악용(25.1.1 이전 버전)

CVE-2026-110392 Samsung 오픈소스 QA-Board OS 명령 주입CVSS 9.8 CRITICAL, 미인증 공격자가 출력 재실행·튜닝 기능을 통해 OS 명령 실행 가능

CVE-2026-93388 WooCommerce용 Printcart(PCDesigner) 플러그인 임의 파일 업로드미인증 공격자가 nbdesigner_copy_image_from_url AJAX 액션으로 원격 코드 실행(2.9.1 이하)

CVE-2026-104995 WordPress BP Profile Search 플러그인 로컬 파일 포함미인증 공격자가 'bps_directory' 쿠키 조작으로 원격 코드 실행까지 가능(5.9 이하)

CVE-2026-104749 WordPress Bit integrations 플러그인 권한 상승미인증 공격자가 로그 재실행 처리 결함을 악용해 계정 탈취 가능(2.10.6 이하)

CVE-2026-110447 Collabora Online 내장 CODE 서버(Nextcloud richdocumentscode) OS 명령 주입CODE 서버가 실행되지 않은 상태에서 proxy.php를 통한 원격 코드 실행, 2026년 9~10월 실공격 확인(26.4.303 이전 버전)

CVE-2026-103572 Visual Studio Copilot·SSMS 원격 코드 실행Windows 파일명 정규화(끝 점·경로 탐색) 처리로 경로 검증을 우회하고 악성 설정 파일로 코드 실행, 10월 패치로 수정

CVE-2026-97657 WooCommerce용 Abandoned Cart Pro 플러그인 인증 우회미인증 공격자가 MAC 없는 AES-CTR 장바구니 복구 링크 토큰을 위조해 인증 우회. 미인증 SQL 인젝션(CVE-2026-97668·CVE-2026-102251) 등 동시 공개(10.8.0 이하)

CVE-2026-110002 WordPress Snazzy Social Media Feed 플러그인 임의 파일 업로드독립 실행 스크립트 save-to-cache.php의 인증·권한·nonce 검증 누락으로 미인증 공격자가 파일 업로드 가능(2.5 이하)

CVE-2026-14765 Epic Games Unreal Engine LaunchURL 안전하지 않은 기본 설정URL 스킴 필터가 기본적으로 비어 있어 모든 스킴을 허용, Windows에서 ShellExecute 호출로 이어짐(5.8.0 이하)

CVE-2026-110445 TeamPlus Messenger 코드 인젝션미인증 원격 공격자가 조작된 콘텐츠·링크로 JavaScript를 주입하고, 사용자가 Windows 보안 경고를 승인하면 임의 코드 실행. 유사 결함(CVE-2026-110444) 동시 공개

CVE-2026-74580 Linux 커널 vhost 오래된 IOTLB 캐시로 인한 주소 변환 검증 누락로컬 커널 권한 상승 및 게스트 VM 탈출 가능, 최신 커널 업데이트로 패치

CVE-2026-110459 UniFi Protect AI Key 부적절한 접근 통제CVSS 8.6 HIGH, 네트워크 접근 공격자가 정보 탈취·무단 설정 변경·서비스 거부 가능. 명령 주입(CVE-2026-110455, 8.1) 등 동시 공개

CVE-2026-106931 SiteGuard Server Edition OS 명령 주입CVSS 8.5 HIGH, 제품이 구동되는 시스템에서 root 또는 SYSTEM 권한으로 임의 OS 명령 실행 가능

CVE-2026-110450 Nix·Lix 권한 상승CVSS 8.0 HIGH, repair 작업이 내용 검증 전에 store 경로를 삭제·교체하는 결함 악용. macOS Seatbelt 샌드박스 탈출(CVE-2026-110451) 등 동시 공개(Nix 2.35.3·Lix 2.95.4 이전)

CVE-2026-105429 NetBird 클라이언트 SSH 설정 Match 줄 주입악성·침해된 피어가 FQDN·호스트명 조작으로 다른 NetBird 클라이언트 호스트에서 임의 명령 실행 가능(0.60.0~0.74.6)

CVE-2026-46449 Akamai Guardicore Platform Agent(macOS) 명령 주입wapptunneld 구성요소의 네트워크 인터페이스명 입력 검증 누락으로 로컬 권한 상승. Windows WFP 드라이버 사용 후 해제(CVE-2026-50215) 동시 공개(7.4 이전)

CVE-2026-97471 WordPress Avada(Fusion) Builder 플러그인 민감정보 노출미인증 공격자가 'args[link_target]' 파라미터로 관리자를 포함한 임의 사용자의 user meta 값 추출 가능(3.16.1 이하)

CVE-2026-95808 WordPress Form Maker by 10Web 플러그인 미인증 블라인드 SQL 인젝션'inputs' 파라미터 이스케이프·쿼리 준비 미흡(1.15.48 이하)

CVE-2026-96661 WordPress Gmedia Photo Gallery 플러그인 미인증 시간 기반 SQL 인젝션'gmedia__in' 파라미터 이스케이프·쿼리 준비 미흡(1.25.1 이하)

SAP NetWeaver·S/4HANA 치명적 취약점내부 기능 호출·코드 실행으로 시스템 완전 장악 가능, SAP 보안 패치로 수정

CVE-2026-89310 JTL-WMS SQL 인젝션CVSS 9.9 CRITICAL, 요청 본문 파라미터가 T-SQL 문에 그대로 삽입돼 원격 공격자가 애플리케이션 DB 계정 권한으로 임의 SQL 실행

CVE-2026-105106 Koha 작업 스케줄러 OS 명령 주입인증된 공격자가 tools/scheduler.pl 예약 작업 삭제 시 jobid 파라미터를 조작해 atrm 명령에 임의 명령 삽입 가능

CVE-2026-89288 WordPress Fast Courier 플러그인 미인증 SQL 인젝션미인증 REST 경로의 'wp_order_id' 파라미터로 DB 임의 데이터 조회 가능(5.0.0~5.2.3)

CVE-2026-86787 WordPress Affiliate Toolkit 플러그인 원격 코드 실행Contributor 이상 사용자가 BladeOne 템플릿 @php 지시문으로 서버에서 임의 PHP 코드 실행(3.8.7~3.9.0)

CVE-2026-92392 curl HTTP/2 업로드 사용 후 해제업로드 중 서버가 보낸 RST_STREAM(HTTP_1_1_REQUIRED·REFUSED_STREAM)을 잘못 처리해 Curl_easy 객체의 사용 후 해제 발생(CVSS 미산정)

CVE-2026-104909 WordPress Mang Board 플러그인 로컬 파일 포함미인증 공격자가 '_type' 파라미터로 서버의 임의 .php 파일을 포함·실행해 코드 실행 가능. 미인증 저장형 XSS(CVE-2026-107751) 등 동시 공개(2.4.3 이하)

CVE-2026-104748 WordPress SimpleForm 플러그인 권한 상승미인증 AJAX 액션 simpleform_wp_register의 역할 지정 권한 검사 누락으로 wp_capabilities 대량 할당 가능(3.10.0 이하)

CVE-2026-103367 WordPress ShopMagic 플러그인 로컬 파일 포함미인증 공격자가 'billing_address.first_name' 파라미터로 서버의 임의 .php 파일을 포함·실행 가능(4.9.0 이하)

CVE-2026-100163 WordPress LatePoint(Appointment Booking) 플러그인 인증 우회미인증 공격자가 공개 예약 단계의 고객 사용자 생성 로직 검증 미흡을 악용해 고객 계정 탈취 가능(5.7.2 이하). 미인증 IDOR 민감정보 노출(CVE-2026-103366) 등 동시 공개

CVE-2026-101341 NLnet Labs NSD 존 데이터 파싱 스택 덮어쓰기TXT 등 RDATA 토큰 길이 검증 누락으로 경계 밖 스택 쓰기, 파싱 직후 호출되는 콜백 함수 포인터까지 덮어씀. base64 RDATA 최대 64KB 덮어쓰기(CVE-2026-101337), SVCB/HTTPS RR(CVE-2026-101338) 등 동시 공개

CVE-2026-76655 HPE NonStop SNMP Trap Multiplexer 버퍼 오버플로CVSS 7.5 HIGH, 원격 코드 실행 가능. NonStop DNS 9.2.3 서비스 거부(CVE-2026-73798, 8.2) 등 동시 공개

CVE-2026-108070 TSplus Remote Access 웹 서버 접근 통제 우회미인증 원격 공격자가 /socket.io/JWN/ 경로 조작으로 보호된 내부 리소스 접근. 1차 인증 후 MFA 우회(CVE-2026-108071), 공유 로그인 스크립트 권한 오류로 권한 상승(CVE-2026-108072) 동시 공개

CVE-2026-104795 insights-runtime-extractor 컨테이너 탈출hostPID 특권 DaemonSet이 컨테이너 프로세스 스캔 시 대상 네임스페이스에 진입한 상태에서 특권 바이너리를 실행하는 결함

CVE-2026-103905 JTL-Shop 관리 백엔드 인증 전 처리 결함미인증 원격 공격자가 관리자 로그아웃 경로로 플러그인 안전모드를 켜고 끌 수 있어 플러그인 무력화 가능. 미인증 저장형 XSS(CVE-2026-103904) 동시 공개

CVE-2026-105067 WordPress Modern Events Calendar Lite 플러그인 블라인드 SQL 인젝션CVSS 8.5 HIGH(7.37.0 이전)

CVE-2026-82844 WordPress WPForms Lite 플러그인 결제 우회PayPal Commerce 게이트웨이 사용 폼에서 서버 측 결제 완료 검증 누락, 미인증 방문자가 결제 없이 유료 폼 제출 가능(1.10.0.1~2.0.2.1)

CVE-2026-107431 WordPress JetFormBuilder 플러그인 권한 검사 누락CVSS 7.5 HIGH, 잘못 구성된 접근 통제 악용 가능(3.6.6 이하)

CVE-2026-108291 WordPress Affiliates 플러그인 PHP 객체 주입CVSS 9.8 CRITICAL, 신뢰할 수 없는 데이터 역직렬화(7.0.1 이하)

CVE-2026-107424 WordPress Frontend Dashboard 플러그인 권한 상승CVSS 9.8 CRITICAL, 부적절한 권한 할당(3.0.7 이하)

CVE-2026-106599 WordPress SureCart 플러그인 PHP 객체 주입CVSS 8.8 HIGH, 신뢰할 수 없는 데이터 역직렬화(4.9.3 이하). 반사형 XSS(CVE-2026-105874) 동시 공개

CVE-2026-97278 WordPress Polylang 플러그인 PHP 객체 주입CVSS 7.2 HIGH, 신뢰할 수 없는 데이터 역직렬화(3.8.9 이하)

CVE-2026-85298 Google Cloud Application Integration 부적절한 인가인증된 사용자가 권한을 상승해 프로젝트 내 서비스 계정 사칭 가능(2026-08-27 이전 버전)

CVE-2026-71184 Gitea 포크 워크플로 승인 우회리뷰 코멘트·승인 이벤트로 포크 헤드의 워크플로 코드가 승인 없이 실행 가능. 동시성 취소를 통한 승인 우회(CVE-2026-66877), 쓰기 가능한 Git hook을 통한 로컬 코드 실행(CVE-2026-70402) 등 20여 건 동시 공개

CVE-2026-84471 OpenVPN 사용 후 해제CVSS 7.2 HIGH, CVE-2026-12996 불완전 수정으로 인증된 원격 피어가 TLS 세션 승격·만료 시 조작 패킷으로 서비스 거부·메모리 유출 유발 가능(2.6.0~2.6.22 등)

CVE-2026-101954 Juniper Junos OS·Junos OS Evolved J-Web 부적절한 인증J-Web 활성화 시 미인증 네트워크 공격자가 root 수준 설정 접근을 얻어 장비 완전 장악 가능. BGP EVPN 업데이트로 rpd 크래시(CVE-2026-101963, 7.5) 등 다수 동시 공개

CVE-2026-0322 Palo Alto Networks PAN-OS 관리 인터페이스 원격 코드 실행네트워크 접근이 가능한 인증 공격자가 방화벽에서 root 권한으로 임의 코드 실행, 관리 인터페이스 접근 제한 시 위험 완화

CVE-2026-107350 PgBouncer SCRAM 인증 우회auth_file 등록 사용자의 비밀번호를 아는 원격 공격자가 SCRAM 인증 중 두 번째 StartupMessage로 관리자·백엔드 슈퍼유저 등 다른 사용자로 로그인 가능(1.17.0~1.26.0). 미인증 무한 루프 서비스 거부(CVE-2026-107349) 등 동시 공개

CVE-2026-93635 Zimbra Collaboration Suite LDAP 필터 인젝션미인증 공격자가 외부 LDAP 검색 필터를 변조, 검색 필터 인증·lazy provisioning 사용 도메인에서 비밀번호 오라클로 악용 가능(10.1.0~10.1.21). GraphQL 별칭을 통한 인증 시도 제한 우회(CVE-2026-93637) 동시 공개

CVE-2026-86565 DPDK vhost 경계 밖 쓰기CVSS 8.2 HIGH, 게스트가 virtqueue 크기와 inflight 디스크립터 테이블 크기를 어긋나게 해 호스트 vhost 프로세스에서 경계 밖 쓰기 유발. VDUSE 제어 큐 이중 조회 힙 오버플로(CVE-2026-86562, 7.8) 등 동시 공개

CVE-2026-92153 F´(F Prime) FileUplink 임의 파일 쓰기우주비행·임베디드 소프트웨어 프레임워크에서 패킷이 지정한 목적지 경로를 정규화 없이 열어 임의 파일 쓰기 가능(4.3.0 이전). 어서션 기반 서비스 거부(CVE-2026-92160) 등 동시 공개