Ivanti Connect Secure 제로데이 3종 연쇄 악용, 인증 없이 root 권한 획득CVE-2026-104935(CVSS 8.6) CISA KEV 등재

✅ 권고 조치ICS를 최신 버전으로 즉시 업데이트하세요. 세 번째 권한상승 결함은 아직 패치가 나오지 않았으므로 침해 흔적도 함께 점검해야 합니다.

MS 10월 정기패치 역대 최대 1,411건실공격 중인 윈도우 제로데이 CVE-2026-96951 포함

✅ 권고 조치윈도우 업데이트를 즉시 적용하세요. 실제 악용 중인 CVE-2026-96951을 최우선으로 처리해야 합니다.

금융권 연쇄 해킹 피해 16개사로 확대, 개인정보 약 10만건 유출은행·저축은행·캐피탈·가상자산거래소 포함, 점검 대상 555개사 중 130곳 보안 미흡

✅ 권고 조치유출 정보를 악용한 보이스피싱·스미싱 등 2차 피해에 주의하세요.

프랑스 대형마트 약 700곳 냉장설비 해킹으로 냉장고 온도 50도까지 상승Danfoss·Dixell 원격제어 장치 침해 (OT 공격)

✅ 권고 조치냉장·공조 설비 원격제어 장치가 인터넷에 노출돼 있는지 확인하세요. 지원이 끝난 구형 장비는 따로 점검해야 합니다.

레저(Ledger) 하드웨어 지갑 공급망 공격 의혹아시아 7개국 판매 중단, 내부 칩이 복구 문구를 탈취해 전송한다는 주장

✅ 권고 조치공식 채널에서 구매한 기기만 사용하세요. 기기에 개봉·변조 흔적이 있는지도 확인해야 합니다.

MS·일본 경찰청 등 국제 공조로 중국어권 피싱 플랫폼 YAM Store·CoGUI·Iron Man 차단피싱 메시지 10억건 이상

美 FTC, 오픈AI·앤트로픽의 AI 에이전트 해킹 논란 등 보안 사고 조사 착수관련 자료 제출 요구·경영진 소환 추진, 오픈AI 모델이 탈취한 인증정보와 알려지지 않은 취약점으로 허깅페이스 서버에 접근한 사고 등이 배경

금융사 16곳 해킹·약 10만건 유출금융위, 보안관리 전수점검 착수

새마을금고, 해킹 사실을 이틀 뒤에야 인지이미 차단했던 IP로 고객정보 유출

경찰, 금융권 해킹 수사 美 FBI와 공조

쿠팡, 개인정보 유출 과징금 6,246억원 불복소송국회 규탄 기자회견

공공기관 개인정보 901만건 유출, 10건 중 6건이 업무과실징계 권고는 6%에 그쳐

농촌진흥청 농민 개인정보 57만5천건 유출폐기 확약서 17차례 받고도 관리 부실

정보보호 투자 우수기업 47곳, 개인정보 유출로 행정처분

국민연금공단 해킹 시도 하루 787건, 보안 전담인력은 기준의 절반 수준

KISA 전산시스템 절반이 교체 대상인데 관련 예산은 감소

국가 연구기관 서버 10대 중 9대에 백신 미설치

LG 스마트TV 루트 권한 탈취 취약점보안 패치 배포, 자동 업데이트 권고

해외 보이스피싱 전화를 '010' 번호로 바꿔준 불법 중계기 일당 17명 검거

AI 연구자 406명, 사이버공격 능력 갖춘 최첨단 AI 모델의 인터넷 격리 시험과 AI 보안사고 기록·공개 국제기구 설립 촉구

금융사 IT자산 전산 관리 추진관리대상 누락 자산을 통한 해킹 재발 막기 위해 취약점 점검 사각지대 해소, IT자산 정보 집중이 단일 공격 지점이 될 수 있다는 우려도

보이스피싱 수거책이 범죄 연루를 의심해 스스로 경찰서를 찾았지만 경찰이 돌려보내이후 농협 창구 직원이 피싱을 알아채

정부, 침해사고 조사 중 확보한 기업 보안자료의 파기 여부를 확인하지 못해서버 구성·시스템 취약점·공격 경로 등 민감 정보 관리 공백, 연내 예규 제정 추진

금융당국, AI 활용 사이버공격 고도화에 망분리 규제 개선 추진전문가들은 망을 일부 열되 시스템 중요도에 따라 통제해야 한다고 지적

금융권 연쇄 해킹에 증권업계도 IP 차단·비상 점검으로 대응일본에서는 피싱으로 빼낸 증권계좌 로그인 정보로 보유 주식을 임의 매도하는 피해 발생

中 텐센트 클라우드에서 AI 에이전트들 일탈, 알리바바 지도 서비스 보안 우회연구진 보고

15억원 들인 보이스피싱 탐지 앱 '시티즌코난' 부실 의혹개발 과정·탐지 실효성·개인정보 수집 적절성 논란, 경찰대는 선긋기

마케팅 활용 동의만으로 개인정보가 제3자에게 유상 판매제공 시 유상 거래 사실까지 명확히 고지해야 한다는 지적

금융권 해킹 피해 16곳 중 12곳이 비은행산은캐피탈 고객 848명 주민등록번호 등 유출, 당국은 전자금융거래법 적용 밖인 GA·대부업 보안 대책도 검토

개인정보 유출 2년새 1,026건지난해 이후 대형 유출 사고 피해 규모 단순 합산 시 8,500만명분 넘어

5대 금융지주·은행 사외이사 66명 중 IT보안 전문가 0명해킹·유출 사고 잇따르는데 이사회에 정보보안 전문성 부재

英 MI5 "이란·러시아 하이브리드 위협 4배 급증"폴란드 에너지 인프라 사이버공격·독일 공항 화물기 드론 공격 시도 등을 러시아 하이브리드전 사례로 제시

티오리, 금융권 연쇄 침해에 쓰인 AI 공격도구 'ARTEX' 분석 백서 공개CyberStrikeAI 등 AI 기반 공격도구의 동작 방식과 위협 수준을 분석하고 탐지·방어 가이드 제시

OK저축은행, 해킹 공격으로 대출신청 고객 250명 개인정보 유출 확인11일 밤~12일 새벽 대출신청 웹페이지 공격, 이름·생년월일·휴대폰번호·연소득 등 유출, 피해 고객 개별 통지

KT, 2024년 3월 악성코드 감염 서버 38대를 인지하고도 정부에 미신고, 일부 서버 로그 삭제개인정보위 조사 결과, 신규 가입자 모집 금지 제재 거론

배달의민족 라이더 약 201명 개인정보, 배달대행 협력사 추정 사이트에서 인증 없이 노출 정황웹주소 경로만 바꾸면 이름·전화번호가 담긴 폴더 열람 가능

무신사, 모의해킹에서 취약점을 전부 고쳤다고 밝혔으나 자사 플랫폼 29CM는 기본 취약점에 뚫려8월 개인정보 유출사고 관련

NH농협은행 계좌 이용 보이스피싱 등 이상거래 5년간 2배 가까이 증가대포통장 등 사기이용계좌는 3배 넘게 늘어

일본농구협회(JBA) 랜섬웨어 공격으로 공식 홈페이지 마비

신한은행 고객정보 유출 건, 개인정보보호법상 유출신고 미접수 확인개인정보위는 국정감사에서 금융권 유출 사고를 중점 조사하겠다고 밝혀

관세청 대상 사이버 해킹 시도 올해 급증국정감사 제출 자료, 현재까지 실제 피해 사례는 없어

日 IT업체 해킹 피해 확산지자체에 이어 경찰·소방의 비상소집망·신고시스템 정보까지 유출 가능성, 마쓰다·파나소닉도 피해

식약처 의약품안전나라 이용자 개인정보 1,195명 유출사과문 게시, 명의도용·보이스피싱 등 2차 피해 주의 안내

캄보디아 피살 대학생 사건 관련 보이스피싱 조직 팀장, 항소심서 감형대학생에게 계좌를 개설하게 한 뒤 캄보디아 조직에 넘긴 혐의, 대구고법 판결

부산경찰, 투자리딩방 사기 피해금 287억원을 카지노로 세탁한 일당 54명 검거14명 구속, 고액 수수료를 미끼로 현금·수표 인출·전달을 요구하면 범죄자금일 가능성 경고

금융당국, 중대 보안 취약점을 방치하면 CEO 책임금융사 16곳 침해사고 후속으로 내부통제 강화, CEO·CIO·CISO 책임이 핵심

경찰청 국가수사본부, AI 불법 조작물 탐지·분석체계 고도화 착수딥페이크 탐지를 넘어 생성·유포 경로까지 추적, 투자사기·보이스피싱 등으로 번지는 AI 악용 범죄 대응 위해 기술·시스템·인력·조직 4개 분야 8대 과제 추진

저축은행 해킹 잇따르자 1,400억원 규모 차세대 공동전산망 주목중앙회와 개별 저축은행의 보안 관리 범위를 명확히 하고, 점검에서 발견한 취약점의 개선 여부까지 확인하는 체계가 필요하다는 지적

전문가 83.6% "기업의 사이버 위험 대비 보험 가입 수준 낮다"89.4%는 국가 배후 사이버공격·주요 기반시설 마비 등 민간보험만으로 감당하기 어려운 위험을 정부·민간이 공동 분담해야 한다고 응답

정부가 667억원 들인 화이트해커 양성 사업, 성과 평가 0건수행기관 재무상태 점검도 미흡, 국정감사에서 지적

해킹 피해 은행권, 고객 대상 '위자료성 보상' 검토유출 정보를 악용한 보이스피싱·스미싱 2차 피해는 전액 보상 원칙, 당국은 유출 경로를 특정하기 어려워도 이번 사고와 관련된 2차 피해 기준 마련 과제

카스퍼스키 "3분기 국내 PC 사이버 위협 444만건 탐지"악성 웹사이트 접속만으로 감염되는 웹 기반 위협 주의, USB 등 이동식 저장장치를 통한 악성코드 감염 위험도 여전

경남경찰청, 연 2만% 이자로 332명에게 수십억원 뜯은 불법사채 조직 검거대출 과정에서 확보한 개인정보를 추심에 악용, 가족 계좌에 보이스피싱 피해금을 입금해 계좌를 막겠다고 협박

카카오뱅크, 보안예산 294억원 미집행인터넷전문은행 중 집행률 최저

NICE그룹 계열사 임직원 개인정보 10년간 외부 노출개인 연락처 포함, 스팸 문자·보이스피싱 주의 당부

KISA, 사이버 위기대응 훈련에서 민간기업 보안 취약점 5년간 1,332건 발견해킹메일·디도스·모의침투 훈련 결과, 서천호 의원 국정감사 자료

홍범식 LG유플러스 대표, 해킹 은폐 의혹으로 국정감사 증인 채택회사는 침해 흔적과 공격 경로 확인이 어려웠다고 설명, 과기정통부는 KISA의 침해 정황 통보 이후 조치를 문제 삼아

과기정통부, 화이트해커 제도화 추진현재 법으로 막힌 화이트해커의 공격 활동을 허용하는 방향, 사이버보안 특화 AI 파운데이션 모델(특파모)은 내년 활용

정부 "AI 해킹은 초단기에 동시다발로 쏟아지고 AI 활용 여부 판별도 어려워"금융당국은 금융권 해킹 사고에 AI가 쓰였는지와 동일 공격자 소행 가능성을 조사 중

군, 무기체계에서 새어 나오는 전자파 보안 대책 추진누설 전자파를 통한 정보 유출, 부채널 공격, 전자파를 이용한 시스템 공격에 대응

방미심위, 상호·로고를 도용한 사칭 사이트 71건 시정요구대출·복권·보험사 등을 사칭해 개인정보 입력을 유도하는 사례 포함

샌즈랩, 생성형 AI가 변형한 악성코드에서 AI 모델별 코드 특징 확인코드가 바뀌어도 모델별 흔적이 남는다는 연구 결과, VB 2026에서 발표

국내 통신사 차원의 악성 URL 차단 도입 지지부진유출 개인정보를 악용한 스미싱·피싱 우려가 커지는데, 기존 후후·스미싱 지킴이 등은 별도 앱 설치와 접근 권한 설정이 필요해 대응에 한계

듀오정보 대표, 회원 42만여 명 개인정보 유출 관련 국정감사 증인 채택개인정보위 제재에 이어 광고 근거 부족으로도 제재

구글, 해외 협업 기관 프로젝트 사이트를 통한 한국 디지털 성범죄 피해자 개인정보 유출 건윤구 사장이 22일 방송미디어통신위원회 종합감사에 증인으로 출석할 예정

예가람저축은행, 개인정보 5만건 유출에도 배상보험 보장 못 받을 처지저축은행중앙회를 통해 개인정보유출 배상보험에 가입했지만 이번 사고에는 보험금 지급이 어려운 것으로 파악

금융권 연쇄 해킹에 드러난 감독 한계금융당국 IT 검사 인력 21명뿐, 금융사 자체점검과 정기검사에 의존하는 방식으로는 고도화하는 사이버 위협 대응이 어렵다는 지적

따릉이 개인정보 유출 이후 인사조치 0건2024년 민간 공유 모빌리티 업체 디도스 공격 수사 과정에서 드러난 유출, 아이디·휴대전화번호·생년월일·주소 등 포함

KISA, AI 보안 위협 대응 조직 신설24시간 사이버 감시체계 강화

성평등가족부 대상 해킹 시도 3년 새 9배 넘게 증가여성·아동·청소년 민감 개인정보를 다수 보유해 보안 대응 역량 강화가 필요하다는 지적

더존비즈온 '더존 자격시험' 홈페이지 개인정보 유출아이디·암호화된 비밀번호·성명·생년월일·성별·이메일 등, 지난달 25일 공지 후 관리 책임 논란

고팍스, 해킹 피해 공지·사과 없어같은 시기 피해를 본 프라뱅은 9일 고객 약 20명 개인정보 유출 사과문 게시

4년 만에 5대 은행장 국정감사 동시 출석금융권 연쇄 해킹 속 보안 책임 추궁 전망, 은행별 AI 방어체계 실효성도 검증 대상

NBA 공식 인스타그램 계정 해킹공격자가 의심 토큰을 홍보하는 게시물 게시

금융권 대상 해킹 시도 올해 약 4,000만건금융투자업권 984만건으로 최다, 보험 937만건·카드 627만건·중소서민금융 562만건·은행 474만건 순

일부 정부 부처, 수천 건의 사이버 공격 시도에도 보안 전담 인력은 1명AI 기반 자동화로 규모·속도가 커진 공격에 대응하기 어렵다는 지적

금융당국, AI 해킹으로 인한 온라인 부정결제 피해 시 즉시 환불 추진보이스피싱 초기처럼 책임 기준이 없어 피해자가 손실을 떠안지 않도록 미리 기준을 정비해야 한다는 자문위원 지적 반영

국세청 사칭 해킹메일 주의공식 안내문 양식을 모방해 본문 링크로 가짜 웹사이트에 유인하거나 압축 파일 첨부로 악성코드 유포

스미싱으로 빼돌린 개인정보로 받은 명의도용 대출, 금융사가 본인확인 절차를 충실히 거쳤다면 계약 유효 판단피해자는 지인 부친의 부고 문자메시지 링크를 눌렀다가 스미싱 당해

올해 상반기 민간 사이버 침해사고 1,236건으로 전년보다 20% 가까이 증가디도스 56.7%·랜섬웨어 76.8% 늘어, 과방위 국정감사에서 KISA 24시간 감시체계 문제 지적

LG유플러스, 해킹 의심 서버 대신 다른 서버 자료 제출 의혹한준호 의원 국정감사 지적, 침해 경위와 공격 흔적을 확인할 디지털 포렌식 핵심 증거를 두고 이통사 증거인멸 의혹 제기

UAE 샤르자 경찰, 국경 간 가상자산 범죄조직 4곳 적발사이버공격·데이터 탈취, 가상자산 자금세탁, 사회공학을 이용한 디지털 지갑 절도, 피해자를 위협해 지갑 비밀번호를 받아낸 혐의

시스코 탈로스, 중앙아시아·CIS 정부기관 노린 사이버 첩보 조직 UAT-6275 공개공식 문서로 위장한 악성파일, 깃허브에 올린 공격 스크립트, WinRAR 취약점으로 침투, 레코디드퓨처는 같은 활동을 TAG-193으로 명명

쿠팡, 개인정보 유출 피해자에 대한 소비자분쟁조정위원회 집단분쟁조정 결정 불수용국정감사에서 이강일 의원이 보상안 전체 제출 요구

일본 버거킹 운영사 BK재팬, 앱 회원정보 관리 시스템 해킹으로 회원 정보 1,118만건 유출이달 2일부터 7일까지 공격받아

청소년 휴대전화로 불법 도박·대출 광고와 스미싱 문자를 보내게 하는 '무료문자 알바' 확산이연희 의원 국정감사 지적

암호화폐 카지노·스포츠북 감돔, 10월 13일 핫월렛 해킹으로 300만달러 이상 피해자동화 서버 무단 접근과 관련된 공격으로 전해져

서천호 의원 "민관 해킹 대응 국가 컨트롤타워 없어"사이버 침해사고 지난해 26.3%, 개인정보 유출 건수 45.6% 증가(2024년 대비)

구글 플레이에 가짜 크롬 앱이 '10만+ 다운로드'로 표시돼 유통게임 앱 시절의 설치 수가 표시된 것, 해외 보안매체들은 브라우저 비밀번호 탈취 등 악성 기능 보고

명령과 데이터를 구분하지 못하는 AI 에이전트, 해킹에 취약웹사이트에 심은 문구로 장기 기억 조작 가능, 대화 이력·위치·계정 정보 유출 우려로 보안 기준 구체화 필요 지적

강원 도내 외국인 노동자, 저금리 대출 미끼 보이스피싱 표적언어장벽으로 금융지식이 부족한 점을 노려, 일부는 피싱 사건에 연루돼 경찰에 검거

CVE-2026-104935 Ivanti Connect Secure 인증 우회CVSS 8.6, 실공격 확인, CISA KEV 등재

CVE-2026-96951 Windows 보안 기능 우회실공격 중인 제로데이, 10월 정기패치로 수정

Cisco Secure Email Gateway 제로데이인증 없이 root 권한으로 명령 실행, 실공격 확인

SAP Cloud SDK for PythonCVSS 10, OAuth2 자격증명 탈취(SSRF) 가능, 0.55.1 이상으로 업그레이드 필요

CVE-2026-39919 Ghostscript 힙 버퍼 오버플로조작된 PDF 업로드로 서버 원격코드실행 가능

CVE-2026-74580 Linux vhost 'Vghost'로컬 사용자 root 권한 상승 및 VM 탈출 가능

CVE-2026-92392 curl HTTP/2 업로드 UAFPoC로 클라이언트 측 코드실행 시연, curl 8.23.0에서 수정

CVE-2026-105445 Docker Hub다른 사용자 명의로 이미지 push·pull·삭제 가능, 서버 측 수정 완료

CVE-2026-83498 Windows VBS 엔클레이브(SmartScreen)격리 영역 안에서 코드실행 PoC 공개, 패치 완료

CVE-2026-103572 Visual Studio Copilot·SSMS 원격코드실행파일명 정규화 우회

CVE-2026-88164 Microsoft SharePoint 권한 상승CVSS 8.8(HIGH)

CVE-2026-86848 DPDK vhost-crypto TOCTOU게스트가 호스트 메모리를 범위 밖에서 접근 가능, CVSS 8.8(HIGH)

CVE-2026-105133·CVE-2026-105134 AhsayCBS API 인증 우회·경로 조작연계 시 관리자 계정 생성·웹셸 업로드로 SYSTEM/root 권한 원격코드실행, 실공격 확인, 10월 패치

CVE-2026-54525 VS Code 확장 Markdown Preview Enhanced 원클릭 원격코드실행윈도우에서 조작된 마크다운 링크를 열면 명령 주입, 0.8.28에서 수정

CVE-2026-110310 Amazon S3 Encryption Client for .NET객체 메타데이터의 패딩 방식을 구형 PKCS#1 v1.5로 바꿔 Bleichenbacher 패딩 오라클 공격 가능

CVE-2026-96540 SonicWall Network Security Manager(온프레미스) 접근통제 결함내보내기 설정을 통해 인증된 원격 공격자가 민감정보를 얻어 관리자 권한으로 상승 가능

CVE-2026-57489·CVE-2026-57492·CVE-2026-61843 등 자체호스팅 파일관리자 FileRise 취약점 묶음 공개프록시 헤더 신뢰로 인증 우회, 사용자 저장소가 비면 인증 없이 관리자 생성, 공유 링크로 비인증 파일 덮어쓰기 등, 최신 버전(3.24.0 이상) 적용 필요

CVE-2026-0315 Palo Alto GlobalProtect 앱(macOS) 로컬 권한 상승비관리자 사용자가 root 권한으로 임의 명령 실행 가능, 같은 날 Cortex XSOAR·XSIAM 명령 주입(CVE-2026-0313, CVSS 6.1)·PAN-OS 저장형 XSS 등도 공개

CVE-2026-0322 Palo Alto PAN-OS 원격코드실행 제로데이고위험(High), 방화벽 대상 실공격 확인, 보안 업데이트 배포

CVE-2026-110852 n8n 동적 경로 웹훅 인증 우회비인증 공격자가 워크플로 실행 가능, 하위 워크플로 권한 우회(CVE-2026-110853)·파일 미리보기 저장형 XSS 등도 함께 공개, 1.123.83·2.41.4·2.42.1에서 수정

CVE-2026-110864·CVE-2026-110862 Better Auth 인증 우회OAuth Proxy 프로필 위조, OAuth state 값의 Magic Link 토큰 재사용으로 비인증 공격자가 다른 사용자로 로그인 가능, SSO·레이트리밋 결함 등도 함께 공개, 1.7.7에서 수정

CVE-2026-110858·CVE-2026-110857 GitPython 원격 명령 실행조작된 refspec(--upload-pack=)이나 ext:: URL로 OS 명령 실행 가능, 브랜치명 인자 주입을 통한 임의 파일 읽기 등도 함께 공개, 3.2.0에서 수정

CVE-2026-110868 Renovate SSRF프리셋·customDatasources로 내부 URL을 요청해 인스턴스 메타데이터에서 AWS 자격증명 탈취 가능, 공유 프리셋을 통한 환경변수 허용목록 우회(CVE-2026-110867) 등도 함께 공개, 44.79.0에서 수정

CVE-2026-92388·CVE-2026-87866·CVE-2026-86410 등 curl 취약점 묶음 공개FTP 와일드카드 LIST 실패 후 핸들 재사용 시 UAF, wolfSSL 사용 시 공개키 피닝 우회로 중간자 공격 가능, HTTPS→SFTP 리다이렉트 시 SSH 호스트키 검증 누락 등, 리다이렉트를 통한 자격증명 유출 결함도 함께 공개

CVE-2026-76660·CVE-2026-76661 등 HPE NonStop 취약점 묶음 공개CIPSAM·QIOMON 범위 밖 쓰기로 메모리 손상(최고 CVSS 8.7 HIGH), TCP/IP UTILITIES finger 데몬의 비인증 원격 서비스거부(CVE-2026-76659), SNMP Trap Multiplexer 메모리 손상 등

CVE-2026-109430 Ellucian WebAdvisor 3.2 비인증 XXE 인젝션조작된 XML POST 요청을 /WebAdvisor/WebAdvisor 엔드포인트로 보내 외부 엔티티 처리 강제 가능

CVE-2026-76066 AI 에이전트 프레임워크 IntentKit 권한 우회실행기가 요청별로 제한된 도구 목록이 아닌 전체 레지스트리로 검증해 지갑 송금·게시 등 소유자 전용 도구 호출 가능, 2.6.3까지 영향

CVE-2026-77931 MoviePilot 명령 주입웹페이지·검색결과·토렌트 메타데이터 등 외부 콘텐츠에 심은 지시가 ExecuteCommandTool로 전달돼 임의 OS 명령 실행 가능, 3.1.5까지 영향

CVE-2026-110908 Netgate pfSense FRR 패키지 OS 명령 주입FRR 상태 페이지 권한(page-status-frr)만 가진 인증 사용자가 필터 값으로 sed 표현식을 벗어나 명령 실행 가능, pfSense-pkg-frr 2.0.2_1 영향

CVE-2026-93483·CVE-2026-93484 Znuny 인증 우회·SQL 인젝션특정 HTTP 요청 헤더를 신뢰하는 결함으로 관리자를 포함한 임의 사용자로 위장 가능, 티켓 검색 쿼리에 입력값을 그대로 연결해 SQL 인젝션 가능, 7.3.6까지 영향

CVE-2026-110911 CFML 프레임워크 Wheels SQL 인젝션findOneByEmail 같은 동적 finder와 where() 쿼리 빌더가 따옴표 처리된 값을 SQL로 다시 해석해 주입 가능, 1.1.8~4.1.1 영향

CVE-2026-108587 WordPress 플러그인 10Web Booster 비인증 임의 파일 업로드page_id 파라미터의 파일 형식·확장자 검증 누락, 2.34.10까지 영향

CVE-2026-3712 WordPress 플러그인 PhastPress 비인증 SSRF공격자가 조작한 Host 헤더로 URL 허용목록이 구성돼 임의 요청 가능, 3.10까지 영향

CVE-2026-76665·CVE-2026-76666·CVE-2026-76667 HPE NonStop EXPAND 범위 밖 메모리 읽기최고 CVSS 7.1(HIGH) 버퍼 오버플로 등

CVE-2026-110923·CVE-2026-110925·CVE-2026-110926 등 OpenSSH 취약점 묶음 공개악성 서버가 sftp 복사 때 사용자가 지정한 디렉터리 밖에 파일을 쓸 수 있음(CVSS 6.5 MEDIUM), ProxyCommand·Match exec에서 %u 확장 시 사용자명 특수문자가 셸로 전달됨, 압축 사용 시 채널 간 평문 유출 등

CVE-2026-15090 WordPress 플러그인 Link Library 비인증 SQL 인젝션'link_url' 파라미터를 통한 시간 기반 SQL 인젝션, 7.9.2까지 영향

CVE-2026-86803 WordPress 플러그인 Ocean Extra 비인증 임의 숏코드 실행do_shortcode 실행 전 값 검증 누락, 2.6.0까지 영향

CVE-2026-88043 WordPress 플러그인 Mang Board WP 비인증 저장형 XSS'data_type' 파라미터의 입력값 검증·출력 이스케이프 누락, 2.4.0까지 영향

CVE-2026-101307·CVE-2026-101305·CVE-2026-101306 등 FreeBSD 커널 취약점 묶음 공개tcp_rack 스택의 16비트 카운터 래핑으로 원격 피어가 버퍼 오버플로 유발 가능, 디스크립터 전달·renameat(2)를 통한 jail 루트 탈출, 수신측 커널 TLS 원격 서비스거부(CVE-2026-101302) 등

CVE-2026-39993·CVE-2026-41544·CVE-2025-68404 등 QNAP 취약점 묶음 공개Download Station 경로 조작으로 root 원격코드실행 가능(사용자 계정 필요), QcalAgent 경로 조작을 통한 Docker 탈출·호스트 RCE, QuRouter 관리 인터페이스 경쟁조건 인증 우회 등, Video Station·File Station 5·Qsync Central도 패치

CVE-2026-19377 Cato Client 터널 핸드셰이크 인증서 검증 미흡중간자 공격자가 Cato PoP 서버로 위장해 터널 트래픽 가로채기·변조 가능, CVSS 6.0(MEDIUM)

CVE-2026-102469·CVE-2026-102467·CVE-2026-102477 등 Eclipse Vert.x 취약점 묶음 공개DB2 클라이언트가 UDT 컬럼 데이터를 필터 없이 역직렬화, WebSocket·gRPC 압축 해제 크기 제한 누락으로 원격 서비스거부, MySQL·PostgreSQL·Redis 클라이언트는 악성 서버 응답으로 메모리 고갈 등, 4.5.34·5.0.12·5.1.9·5.2.0까지 영향

CVE-2026-101310·CVE-2026-101309·CVE-2026-101311 FreeBSD bhyve 장치 모델 취약점 묶음악성 게스트가 HDA 오디오 장치의 길이 0 BDL 항목으로 범위 밖 읽기·쓰기 유발, xHCI 이벤트 링 크기 미검증 경쟁조건, 프레임버퍼 해상도 미검증 등

CVE-2024-22031 Rancher 프로젝트 권한 우회프로젝트 생성 권한을 가진 사용자가 다른 클러스터에 있는 같은 이름의 프로젝트에 접근 가능, 같은 날 Steve의 TLS 인증서 미검증(CVE-2023-32198)·Fleet의 SSH 서버 인증서 자동 신뢰(CVE-2025-23390) 중간자 공격 결함도 공개

CVE-2026-92429 WordPress 플러그인 Rede Itaú for WooCommerce 비인증 주문 상태 조작결제 웹훅 진위 검증 누락으로 미결제 주문을 결제 완료로 바꾸거나 주문 취소 가능, 3.7.1~5.5.2 영향, 5.5.3에서 수정

CVE-2026-96537 WordPress 플러그인 Tutor LMS 권한 검사 누락비인증 사용자가 관리 페이지 재생성 루틴을 호출해 미공개 페이지 강제 게시·내용 덮어쓰기 가능, 4.1.1에서 수정

CVE-2026-105740 Langflow 인증 후 원격코드실행CVSS 9.9, 실제 악용 진행 중이며 허니팟에서 악용 시도 1,423건 관측(Previdian 경보)

CVE-2026-35029·CVE-2026-59823 LiteLLM 고위험 취약점기업이 AI 애플리케이션을 OpenAI·Anthropic 등 제공사에 연결할 때 널리 쓰는 LLM 게이트웨이

CVE-2026-79829·CVE-2026-79824 등 HPE NonStop 추가 취약점 묶음 공개HTTP WEBSERVER 메모리 손상으로 시스템 중단 가능(CVSS 8.2 HIGH), Python 3.x TAR 압축 경로 조작으로 임의 파일 덮어쓰기(CVSS 8.0), Debug Utilities·Inspect·OCAX·NDSREST 힙 버퍼 오버플로(CVSS 7.1) 등

CVE-2026-50619·CVE-2026-47786·CVE-2026-34006 등 QNAP 추가 취약점 묶음 공개Qsirch 경로 조작으로 원격 파일 읽기(CVSS 9.3 CRITICAL), HybridDesk Station 비인증 OS 명령 주입, sMedio DTCP MOVE 인증 누락으로 원격 시스템 접근 등, Notes Station 3·QuMagie·Virtualization Station도 패치

Drupal 코어 Field UI 모듈 원격코드실행 결함(Critical)코어 단독으로는 도달할 수 없지만 기여 모듈을 통한 악용 경로가 여럿 있고 일부는 로그인 불필요, 11.4.10·11.3.19·10.6.19에서 수정

CVE-2026-109686·CVE-2026-109688 등 WordPress 플러그인 Link Whisper Free 취약점 묶음역직렬화를 통한 PHP 객체 주입(CVSS 9.8 CRITICAL), 블라인드 SQL 인젝션(CVSS 9.3), 반사형 XSS 등, 0.9.7까지 영향

CVE-2026-109892 WordPress 플러그인 Frontend Admin by DynamiApps 권한 상승잘못된 권한 할당, CVSS 9.8 CRITICAL, 3.29.13까지 영향

CVE-2026-109698 WordPress 플러그인 Mang Board WP SQL 인젝션CVSS 9.3 CRITICAL, 2.4.4까지 영향

CVE-2026-109693 WordPress 플러그인 Fluent CRM 권한 상승잘못된 권한 할당, CVSS 8.8 HIGH, 3.2.5까지 영향

CVE-2026-79834·CVE-2026-79833 등 HPE NonStop SQL/MX 취약점 추가 공개SQLCAT 비인증 명령 실행(CVSS 7.4 HIGH), ANSI SQLUTIL 비인증 원격 서비스거부(CVSS 7.5), UDR SERVER 메모리 손상 등

CVE-2026-104025 PeaZip 압축 항목 미리보기 경로 조작조작된 압축파일 항목을 '연결 프로그램으로 미리보기'하면 임의 프로그램 실행 가능, 윈도우용 11.2.0 이하 영향

Next.js 대역 외 긴급 보안 업데이트비인증 원격코드실행 치명 결함 2건(React Server Components, sharp가 SVG 처리에 쓰는 librsvg)과 고위험 서비스거부 결함 수정

NGINX 1.30.6·1.31.7에서 취약점 5건 수정특정 설정에서 워커 크래시 또는 코드실행 가능한 메모리 결함 3건, TLS 세션 위조로 클라이언트 인증서 검증을 건너뛸 수 있는 결함 등, 2005년 5월 이후 전 버전에 존재한 결함 포함

CVE-2026-108116·CVE-2026-106160·CVE-2026-106163 등 Progress Kendo UI for jQuery 취약점 묶음 공개PivotGrid XMLA 필터 값으로 MDX 조건 변경·SOAP 요청 XML 주입(CVSS 7.5 HIGH), Model.accept 프로토타입 오염, FileBrowser 등 다수 컴포넌트 XSS 등, 2026.3.1015에서 수정

CVE-2026-9703 Grafana 데이터소스 프록시 권한 검사 누락Viewer 역할 사용자가 Loki 규칙 API로 POST·PUT·DELETE 요청을 보내 알림 규칙 생성·수정·삭제 가능

CVE-2026-110746 TotalAV 로컬 권한 상승비권한 사용자가 IPC.dll을 로드해 gRPC IPC 인증 토큰을 위조하고 SYSTEM 서비스를 악용해 SYSTEM 권한으로 코드 실행 가능

CVE-2026-104024 PeaZip 위험 확장자 목록 불완전조작된 압축파일 항목을 열면 확인 없이 프로그램·명령 실행 가능, 윈도우용 10.5.0~11.2.0 영향

CVE-2026-110812 Amazon Neptune Gremlin 그래프 가져오기 역직렬화일반 DB 권한을 가진 인증 사용자가 임의 코드 실행 및 내부 서비스 자격증명 접근 가능, 자동 업데이트 미등록 사용자는 엔진 업데이트 필요

CVE-2026-55414·CVE-2026-54683 네덜란드 정부 포털용 NL Portal Backend Libraries비인증 GraphQL 리졸버가 권한 있는 Objecten-API 토큰을 공격자 지정 URL로 전송(SSRF), 로그인 사용자 누구나 문서 내용 다운로드 가능(기존 수정 불완전), 3.0.4 등에서 수정

CVE-2026-77470·CVE-2026-77466·CVE-2026-62679 등 사진관리 도구 Lychee 취약점 묶음 공개웹숍 결제 금액 조작·테스트용 Dummy 결제 게이트웨이 선택으로 결제 우회, 경로 조작을 통한 인증 사용자 임의 파일 읽기, 앨범 비밀번호 우회·SSRF·저장형 XSS 등, 7.7.1에서 수정

CVE-2026-85634 wildfly-core 배포 이름 경로 조작Deployer RBAC 역할 사용자가 권한 상승 가능, WildFly·JBoss EAP 영향

CVE-2026-102631 authd 계정 탈취IdP에서 이메일이 재할당되면 사용자명 대체 매칭으로 다른 사용자 계정에 로그인 가능, 0.7.1에서 수정

CVE-2026-100409 OpenNext Cloudflare 캐시 가로채기 미들웨어 우회enableCacheInterception 사용 시 인코딩된 경로로 미들웨어 접근통제를 건너뛰고 캐시된 보호 경로 열람 가능, 0.3.0~1.20.2 영향