시스코 Secure Email Gateway 제로데이 CVE-2026-76519(CVSS 9.8) 실제 악용, CISA KEV 등재

✅ 권고 조치즉시 업데이트하고 Content Scanner Tools 버전을 확인할 것. 침해 흔적과 로그도 점검.

팔로알토 PAN-OS 관리 인터페이스 RCE CVE-2026-0322(CVSS 8.6) 실제 악용

✅ 권고 조치수정 버전(10.2·11.1·11.2·12.1·12.2 계열)을 적용하고 관리 인터페이스 접근을 통제. 공개된 IoC로 점검.

금융권 AI 해킹 연쇄 침해: OK저축은행 고객 250명 정보 유출 확인, 피해 금융사 총 16개사

✅ 권고 조치대외 영업지원 등 주변 자산의 노출을 점검. AI 해킹도구(ARTEX)의 스캔 폭주 패턴도 탐지 대상에 반영.

프랑스 슈퍼마켓 약 700곳 냉장설비 OT 해킹, 공격 대상이 Copeland·Dixell 컨트롤러로 확대

✅ 권고 조치인터넷에 노출된 냉장·HVAC 컨트롤러를 차단하고 펌웨어를 업데이트. 망 분리도 적용.

Candiru 스파이웨어, 온라인 광고로 제로클릭 감염 확인(Citizen Lab 'AdFection' 보고서)

LG유플러스 해킹 증거인멸 의혹·KISA 대응체계 부실, 국감서 질타(홍범식 대표 증인 채택)

BeyondTrust Remote Support 치명적 결함, 8월 말부터 제로데이로 실제 악용된 뒤 패치 공개

✅ 권고 조치사내 BeyondTrust Remote Support(RS) 사용 여부 확인 후 즉시 패치 적용, 8월 말 이후 접속 로그와 침해 흔적 점검

CISA, 아틀라시안 취약점 CVE-2026-21589(CVSS 9.3) KEV 등재10월 초부터 실제 악용

✅ 권고 조치사내 아틀라시안 제품이 영향을 받는지 확인하고 즉시 보안 업데이트를 적용. 10월 초 이후 접속 로그와 침해 흔적도 점검.

OK저축은행 고객 250명 정보 유출, 은행·저축은행·캐피탈 등 16개사 침해

금융사 555곳 중 130곳이 자체 보안점검에서 '미흡' 보고(박민규 의원)

KISA 침해대응 시스템 50.7%가 교체 대상, 유지보수 예산은 4년 새 25.1% 감소

공공기관 개인정보 901만 건 유출 처분, 10건 중 6건이 업무과실

농촌진흥청, 농민 개인정보 57만5천 건 유출 관련 용역업체 관리 부실 지적

따릉이 회원정보 약 462만 건 유출, 보상 쿠폰 사용률 0.38%

배민 라이더 201명 개인정보가 인증 없이 외부에 노출된 정황

무신사, 모의해킹 지적 75건 조치하고도 29CM 유출 못 막아(국감)

정보보호 투자 우수기업 47곳이 개인정보 유출로 처분받아, 공시제도 개선 촉구

국민연금공단 해킹 시도 하루 787건(전년 대비 275% 증가), 전담인력은 기준의 절반

해킹으로 결제된 피해금, 책임 판단 전 '선구제' 환불 검토(금융당국)

금융권 해킹 시도 올해만 4,200만 건 넘어, 금융투자업권 984만 건으로 최다

ISMS-P 인증 시 개인정보 유출 과징금 최대 30% 감경, 인증 사후관리·실효성 강화 요구(국감)

카메라 달린 중국산 전기차 200대 군 시설 자유 출입, 국방부는 보안 취약점 결론 내리고도 대책 미비

올해 은행 정보보호예산 KB국민은행 최다, 신한·우리는 10% 이상 감소(신한은행은 해킹으로 고객 약 2만5천명 정보 유출, 은행권 최대 피해)

고팍스, 침해사고 공식 확인 이후에도 사고 경위·개인정보 유출 여부·이용자 보호 조치 미공개

식약처 개인정보 1,195명 유출 사태, 의약품안전나라 등 폐쇄적 정보 운영이 원인으로 지적

최근 5년여간 사이버침해 사고 10건 중 8건 이상이 중소기업에서 발생, AI 공격 대응체계 구축 시급(국감)

예가람저축은행 고객 5만명 정보 유출, 10년 된 DB 사용 등 보안 관리 허술 지적

시청자미디어재단, 내부자료를 5,857명에게 오발송해 개인정보 유출 우려(피해 신고는 없다고 설명)

개인정보위, KT 유출 과징금 감경률을 사무처안 30~40%에서 상한 50%로 높였으나 속기록에 근거 없음(쿠팡도 감경률 상향)

농협은행 계좌를 이용한 보이스피싱 등 이상거래가 5년 새 2배 가까이 증가, 대포통장 등 사기이용계좌는 3배 넘게 늘어(국감)

이훈기 의원, AI 해킹 위협 커지는데 과기정통부·KISA 대응 준비 미흡 지적, 금융권 연쇄 공격의 AI 활용은 아르텍스(ARTEX) 흔적에 근거한 추정 단계

방송미디어통신심의위원회, 유명 기관을 사칭한 사이트 적발, 개인정보 유출·금융사기 등 2차 피해 우려로 공식 사이트 여부 확인 권고

현대글로비스 소유 유조선 해킹 의혹으로 미 연방정부 조사, 선박 관리사는 추진계통 침해 증거가 없다면서도 사이버 공격 시도 자체는 부인하지 않아

중국 IP, 금융권 고객정보 탈취에 이어 DB저축은행에서 대출 시도

금융권 연쇄 해킹에 쓰인 IP에서 흔적이 나온 AI 해킹도구 '아르텍스', 중국에서 유료 출시 예고(경찰청 사이버수사국 조사 중)

금감원, 해킹 유출정보를 악용한 보이스피싱 우려로 은행 고객 전체에 카카오톡 소비자경보 발송을 추진했으나 은행들이 반대

김현 의원, KISA가 해킹사고 증가 원인으로 AI를 지목하면서도 기존 사이버공격 탐지·대응 예산은 대폭 줄였다고 지적(국감)

신한은행, 국내 고객정보 유출 넉 달 전 중국에서 보안 관련 제재받은 것으로 확인

CJ그룹 전 직원, 여직원 등 330명의 사진·연락처 유포 혐의로 기소(내부 접속기록 분석 결과 외부 해킹이 아닌 내부자 소행으로 판단, 5월 경찰 고발)

해킹 피해 저축은행 4곳 중 3곳, 올해 상반기 전산업무비를 최대 35% 늘렸고 일부는 사고 전 취약점 점검도 했으나 공격 못 막아

금융당국, 고객정보를 다루면서도 보안 사각지대인 GA·대부업 보안 관리 강화 추진(과거 영업지원 IT업체 개발자 PC 악성코드 감염으로 GA 관리자 계정 유출 사례)

국회 대상 해킹 시도 1만 건 넘어 역대 최대, 국회사이버안전센터 정기 보안점검은 2021년부터 연 2회로 제자리

침해사고 금융사 16곳 중 6곳이 금융보안원 미가입, 중소 금융사 보안 공백 지적

금융권 연쇄 해킹에 금융당국이 CEO 보안책임 강화 추진, 신용정보법과의 관계 정리·이사회 없는 전자금융업자의 CISO 임면 절차가 보완 과제로 꼽혀 국회 입법 논의 주목

제주항공 여권정보 유출 조사 지지부진 지적, 회사는 해킹범을 아직 잡지 못했다면서도 DB 직접 탈취 같은 해킹은 아니라는 입장

최근 6년여간 국내 의료기관 사이버 침해사고 114건, 이 가운데 약 90%가 랜섬웨어 공격

리뷰 아르바이트로 위장한 '팀미션 사기'로 억대 피해, 가담하면 보이스피싱 현금 수거책이나 자금세탁 공범으로 입건될 위험(경찰 주의 당부)

전력거래소, 시스템 개발 과정에서 노출된 관리자 계정과 비밀번호 인증 우회 취약점을 약 1년간 발견하지 못했고, 그사이 신원미상의 원격접속이 수차례 있었던 것으로 드러남(이용우 의원, 국감)

리눅스 KVM 고위험 취약점 공개, 가상서버 간 격리를 넘어 물리 서버까지 접근 가능, AWS는 보안 공지를 내고 가상화 환경 이용자에게 업데이트 권고

박대출 의원, AI 활용 사이버 공격 고도화 속 금융사 IT 비용 중 정보보안 비중이 충분치 않다고 지적(국감)

온라인 교육시스템 공급업체 M사 서버가 외부 공격을 받아 해킹, 이 업체에 학습관리시스템(LMS) 운영을 위탁한 치과계 학회 온라인 교육사이트에 보안 비상

'샤이니헌터스 창립자 이지스(Aegis)'를 자칭한 계정, 해외 포럼에 한국 국방부·국군방첩사령부 해킹 데이터 1TB를 30만 달러에 판매한다는 글 게시(실제 조직과의 관계와 데이터 진위는 미확인)

경찰, 지방선거 유권자 개인정보 유출 의혹으로 경북 예천군청 압수수색(개인정보보호법 위반 소지, 공직선거법 위반 혐의와는 무관하다고 설명)

보험사, 정보보호 투자 공시 사각지대 지적(서울보증보험은 랜섬웨어로 일부 전산 중단, KB라이프생명은 피싱형 해킹 시도로 일부 기능 일시 차단)

빗썸, 이름·전화번호·과거 이용 내역을 제시하며 유출 보상이나 보안 점검을 사칭하는 맞춤형 2차 피싱 확산 경고

중고거래 가짜 카카오톡 안전결제창에 속아 900만원 피해, 현행 피해구제 법제가 보이스피싱·스미싱 위주라 중고거래 사기는 포함되지 않는다는 지적

경찰청 국가수사본부, 딥페이크 성범죄·투자사기·보이스피싱 등 AI 악용 범죄에 대응하는 'AI 불법 조작물 탐지·분석체계 고도화 기본계획' 시행, 'AI 전문분석관' 전국 배치

서울 학교 구글 계정 약 3만 개의 비밀번호가 무단 변경돼 계정 탈취, 해외 IP 차단은 탈취 이후에야 도입돼 사전 관리 부실 지적(강경숙 의원)

G7 재무장관·중앙은행 총재, AI 악용 사이버 공격으로 글로벌 금융시스템이 마비되는 사태에 대비해 합동 도상훈련 실시 합의(로이터 보도)

국민건강보험공단 사칭 스미싱 범죄, 공단의 자체 현황관리와 예방대응체계가 미흡하다는 지적(국회)

서천호 의원, KISA 사이버 위기대응 훈련에서 드러난 민간기업 보안 취약점이 5년간 1천여 건인데 개선 이행 관리는 미흡하다고 지적(국감)

김기웅 의원, 건강보험공단이 개인정보 유출 사건에서 수사 진행을 이유로 피해자 통보 등 법적 의무를 이행하지 않은 것은 위법이라고 질타(국감)

전 세계 가상화폐 해킹 피해액 올해 3분기 55% 급증, 피해액의 77%가 외부 시스템 등의 보안 취약점에서 발생

더존비즈온 자격시험 사이트 개인정보 유출(약 237만 건 규모 해킹 사태), 금융정보는 수집·보관하지 않았다는 설명이지만 식별정보·연락처 노출로 사칭·피싱 2차 피해 우려

국가데이터기본법, 납세·신용·보건 등 민감정보를 공공·민간 간 연계하는 과정의 유출·오남용 위험에 대비해 개인정보 보호 대책 보완 필요(안도걸 의원)

보이스피싱과 무관한 계좌의 지급정지('통장 묶기') 해제를 쉽게 한 금감원 개선책 시행 5개월, 보이스피싱 신고를 빌미로 한 금전 갈취 피해 호소 여전

고팍스·프라뱅 침해사고 이후 가상자산 거래소 보안점검 결과 아직 확인 중, 고팍스는 기존 타 사이트 유출 계정의 이메일·비밀번호를 이용한 로그인 시도였다고 설명

랜섬웨어 조직 클롭(Cl0p)의 다크웹 사이트, 경쟁 해킹 조직 샤이니헌터스(ShinyHunters)에 해킹당해

슬로우미스트, 레저(Ledger) 공급망 사건을 악용한 가짜 펌웨어 업데이트 피싱 경고

금융당국, 사기범이 피해자에게 직접 신용카드 결제를 유도하는 카드결제형 보이스피싱 차단을 위해 FDS 룰 테스트 중, 연내 적용 계획

전남·광주 학교들도 구글 계정 탈취 피해, 다른 사이트에서 유출된 계정 정보를 대입하는 크리덴셜 스터핑 수법이 쓰인 것으로 알려져(개인정보 유출 여부는 확인 중)

은행권, 개인정보 유출 보상안 마련 고심, 피해자가 정보 유출과 보이스피싱 피해의 연관성을 직접 입증하기 어려워 입증 기준이 쟁점

미 연방기관 32%가 OT 기초 자산 목록조차 갖추지 못해, 7월 말 미네소타주 수자원 시설 30여 곳은 공격자가 인터넷에 노출된 PLC에 원격 접속해 IP·비밀번호를 바꾸면서 제어 시스템이 마비

OK저축은행, 정밀조사 중 15일 모바일 수신서비스 페이지 해킹으로 고객 268명 정보 추가 유출 확인, 누적 518명(해킹 의심 IP 차단·계좌조회서비스 방어로직 패치 완료)

시청 공무원, 민원 처리로 위장해 내부 전산망에서 조회한 주민 주소를 '보복대행' 일당에 유출한 혐의(개인정보보호법 위반)

금융권 연쇄 해킹에 쓰인 IP를 한 AI 보안업체가 추적해 스마트폰 단말기 1대를 특정, 접속 위치가 5초 만에 서울에서 중국으로 바뀌었고 해킹범이 한국 직장에서 근무한 흔적도 나왔다는 보도(JTBC 단독)

중국, 수출통제 기술 목록에 AI·바이오·태양광 등 40개 기술 추가 추진, AI가 자율적으로 악성코드를 생성·변형하는 기술과 악성코드 탐지기·백신 소프트웨어·샌드박스 탈출·국가 인프라 공격 기술 등도 수출 금지 대상

가상자산 거래소의 신규 이용자 출금 지연 제도에도 보이스피싱 사기계좌의 59%가 예외로 빠져나가, 송금했다면 은행·거래소에 즉시 신고해야

미국에서 보안 우려로 쓰지 않는 화상회의 장비가 육군 화상회의 장비 6대 중 1대꼴로 쓰이는 것으로 확인(TV조선 단독), 군은 방첩사가 코덱 보안검사를 했고 사이버작전사령부가 전용망 운용실태를 점검했다는 입장

가상자산 보안단체 SEAL, 업무용 화상회의로 위장한 북한 연계 해킹 공격으로 38만5천 달러 탈취 피해 분석

미국 BBB, 여권 갱신 대행을 사칭한 피싱 업체의 온라인 활동 경고, 가짜 사이트를 이용했다면 FTC·국무부에 즉시 신고 권고

CVE-2026-76519 시스코 Secure Email Gateway치명(CVSS 9.8), 인증 없이 루트 권한 명령 실행, 실제 악용·KEV 등재

CVE-2026-0322 팔로알토 PAN-OS높음(CVSS 8.6), 관리 인터페이스 RCE, 실제 악용

CVE-2026-96951 마이크로소프트 Windows ShellCVSS 8.8, 명령어 주입, 악용 확인으로 CISA KEV 등재

CVE-2026-104935 Ivanti Connect Secure높음, 인증 우회와 RCE, 제로데이 악용 후 패치

CVE-2026-105740 Langflow치명(CVSS 9.9), 인증 후 RCE, 실제 공격 시도 확인

CVE-2026-105133·CVE-2026-105134 AhsayCBS인증 우회와 RCE 연계, 웹셸·XMRig 설치에 악용, 불완전 패치 이후 재수정

CVE-2026-110812 Amazon Neptune치명(CVSS 9.9), Gremlin 임포트 역직렬화로 임의 코드 실행

CVE-2026-89111 SAP Cloud SDK for Python최고 등급, 권한 없는 원격 공격자의 인증정보 탈취

CVE-2026-92392 curl/libcurl 8.12.0~8.22.0HTTP/2 업로드 use-after-free, 8.23.0에서 수정

CVE-2026-35029·CVE-2026-59823 LiteLLM고위험, 기업에서 널리 쓰는 LLM 게이트웨이

CVE-2026-84731 Nutanix AOS Prism Gateway인증 전 관리자 우회와 RCE, 인증 없는 원격 공격자가 조작한 내부 관리용 HTTP 헤더로 관리 API 전체 접근

CVE-2026-55453·CVE-2026-55480·CVE-2026-61702 등 OpenPrinting CUPSipp 백엔드 상태줄 주입으로 조건부 RCE(lp 권한), 심볼릭 링크 TOCTOU로 lp에서 root로 권한 상승, 2.4.20에서 수정

CVE-2026-111105 Telegram rlottie숫자 절단 결함으로 원격 코드 실행, 악성 페이지 방문이나 파일 열람 등 사용자 상호작용 필요

CVE-2026-99999 리눅스 커널 'PwnEscape'치명, 네트워킹 코드 결함으로 게스트 VM 내부 코드가 호스트 메모리를 읽을 수 있음, Vercel 클라우드 샌드박스 대상 실증을 Vercel이 확인

CVE-2026-111234 SimplePie 1.9.0 이하악성 피드 서버가 리다이렉트·자동탐색 링크에 file:// 경로를 넣어 서버 로컬 파일을 읽을 수 있음

CVE-2026-106708 XXL-JOB 3.5.0-SNAPSHOT 이하CVSS 8.8 HIGH, 사용자 관리 엔드포인트(/user/insert·update·delete)에 CSRF 보호 없음

CVE-2026-106700 ELADMIN v2.7 이하비밀번호 초기화 엔드포인트(PUT /api/users/resetPwd)에 권한 검사 누락, 부적절한 접근 통제

CVE-2026-104198 ZoneMinder 1.34.0~1.36.38실패한 토큰 인증 처리 오류로 웹 인증 우회

CVE-2026-111357 Ivanti Connect Secure 22.8R2.4높음(CVSS 7.0), dsinvoked 브로커가 DSCache 설정 데이터를 신뢰하는 처리 결함으로 root 권한 상승, 2026년 10월 실제 악용 확인

CVE-2026-108450·CVE-2026-108446·CVE-2026-108452 등 마이크로소프트 OfficeCVSS 8.8 HIGH, Word 힙 버퍼 오버플로·Excel use-after-free로 인증 없는 원격 코드 실행, SharePoint 경로 조작으로 인증된 공격자의 원격 코드 실행. Outlook RCE와 Word·PowerPoint 정보 노출 결함도 함께 공개

CVE-2026-109468 ASP.NET CoreCVSS 7.5 HIGH, 자원 할당 제한 누락으로 인증 없는 원격 공격자가 서비스 거부 유발

CVE-2026-94134·CVE-2026-94135·CVE-2026-96806 등 Apache Airflow 프로바이더SSH·SFTP 훅이 기본 설정에서 호스트 키 검증을 꺼 중간자 공격 가능, Keycloak 인증 관리자는 로그아웃 후에도 세션이 유지되고 멀티팀 모드에서 모든 팀에 감사 로그 열람 권한 부여

CVE-2026-111356 MacCMS v10 2026.1000.4056 이하CVSS 9점대, 6자리 비밀번호 복구 코드에 시도 횟수 제한이 없어 인증 없는 공격자가 무차별 대입으로 회원 계정 탈취

CVE-2026-75941 Lenovo Legion Zone(중국 시장 전용)CVSS 8.6 HIGH, 같은 논리 네트워크에 있는 공격자가 임의 코드 실행

CVE-2026-84823 WildFly최하위 RBAC 역할(Monitor) 사용자가 take-snapshot 작업의 name 파라미터 경로 조작으로 서버 설정 사본을 임의 위치에 기록해 설정 정보 노출

CVE-2026-82079 닌텐도 스위치 ldn DHCP 서버스택 버퍼 오버플로, 무선 범위 내 공격자가 조작한 DHCP 프레임으로 리턴 주소를 덮어써 임의 코드 실행(ASLR 미적용)

CVE-2026-111382·CVE-2026-111378·CVE-2026-111381 등 FreeRDP악성 RDP 서버가 클라이언트 힙 범위 밖 쓰기 유발, 인증 없는 공격자가 NLA 처리로 서버 메모리 고갈 등 결함 다수, 3.32.0에서 수정

CVE-2026-111389 Frappe HRMS일부 엔드포인트 입력 검증 누락으로 SQL 인젝션, 저권한 계정을 포함한 인증된 공격자가 민감정보 추출 가능, 14.38.2·15.64.0·16.18.0에서 수정

CVE-2026-100159 WordPress Popup Box 플러그인 6.4.1~6.4.2인증 없는 공격자가 Client-IP·X-Forwarded-For 등 헤더를 조작해 임의 단축코드 실행

CVE-2026-111443·CVE-2026-111444 Wheels 4.1.2 이하인증 없는 클라이언트가 X-Wheels-Test-Context 헤더·쿠키나 URL 경로로 운영 환경에서도 테스트 애플리케이션 컨텍스트로 전환 가능, MySQL/MariaDB 백슬래시 이스케이프 환경에서 인라인 리터럴 경로 SQL 인젝션

CVE-2026-109813·CVE-2026-109812 Moxa 산업용 컴퓨팅 제품/usr/bin/sysman의 공유 하드코딩 루트 CA 개인키로 인접 네트워크의 인증 없는 공격자가 통신 기밀성·무결성 침해, 내부 API /api/v1/secrets/ 권한 검사 누락으로 저권한 인증 공격자가 민감정보 접근

CVE-2026-109219·CVE-2026-109998·CVE-2026-109512 등 WordPress Mang Board 플러그인 2.4.4 이하인증 없는 공격자가 image_path 파라미터의 확장자 검증 누락을 이용해 임의 파일 업로드 가능, 인증 없는 저장형 XSS 등 함께 공개

CVE-2026-103895 WordPress miniOrange OTP Login 플러그인 5.5.8 이하Delay OTP 유예 상태 처리 결함으로 비밀번호 검증 전에 인증 흐름이 끝나, 인증 없는 공격자가 로그인 우회 가능

CVE-2026-103911·CVE-2026-101335 WordPress Forminator Forms 플러그인 1.58.1 이하인증 없는 공격자가 검색 파라미터나 User-Agent 헤더·referer_url로 임의 단축코드 실행

CVE-2026-109515 WordPress MailOptin 플러그인 1.2.78.6 이하subscribe_to_email_list 엔드포인트가 공격자가 넣은 form_custom_field_mappings 값을 받아들여 인증 없는 권한 상승 가능

CVE-2026-109447·CVE-2026-100186 등 WordPress User Profile Builder 플러그인 4.0.3 이하회원가입 처리의 레거시 메타 이름 충돌로 인증 없는 공격자가 'role' 파라미터를 조작해 권한 상승, 이름 필드를 통한 인증 없는 저장형 XSS 등 함께 공개

CVE-2026-89079 WordPress Theme My Login 플러그인 7.2.1 이하비밀번호 변경 전 사용자 신원 검증 누락으로 인증 없는 공격자가 임의 사용자 비밀번호를 바꿔 계정 탈취·권한 상승

CVE-2026-103768 WordPress ELEX HelpDesk & Customer Ticketing System 플러그인 3.3.7 이하IMAP 이메일 첨부파일 저장 시 파일 형식 검증 부족으로 인증 없는 공격자가 임의 파일 업로드

CVE-2026-104932 WordPress Search Regex 플러그인 3.5replace_all 함수의 신뢰할 수 없는 입력 역직렬화로 구독자 이상 권한 공격자가 PHP 객체 주입, POP 체인과 결합 시 원격 코드 실행

CVE-2026-96570 WordPress Schema & Structured Data for WP & AMP 플러그인 1.67 이하'saswp_review_text' 파라미터 입력 검증·출력 이스케이프 부족으로 인증 없는 공격자의 저장형 XSS

CVE-2026-111458 ssldumpFAN/1 X.509 인증서 지문 포맷팅 시 버퍼 크기 계산 오류(고정 문자 33자를 31자로 계산)로 힙 버퍼 오버플로

CVE-2026-94169 WordPress The Grid 플러그인 2.8.1 이하CVSS 10.0 CRITICAL, 코드 인젝션으로 명령 실행(RCE)

CVE-2026-94388 WordPress Green Popups 플러그인 7.6.3 미만CVSS 9.3 CRITICAL, 블라인드 SQL 인젝션

CVE-2026-75903 WordPress Vulnity Security 플러그인 1.4.3 이하Nginx 기반 설치에서 위임 로그인 페어링 자격증명 파일이 보호되지 않아 인증 없는 공격자가 관리자 권한으로 인증 우회

CVE-2026-97296 WordPress Gravity Forms 플러그인 3.1.1 미만CVSS 8.1 HIGH, 신뢰할 수 없는 데이터 역직렬화로 PHP 객체 주입

CVE-2026-92553 WordPress YaySMTP 플러그인 2.7.7 이하putFile 함수의 파일 형식 검증 부족으로 구독자 이상 권한 공격자가 임의 파일 업로드

CVE-2026-18551·CVE-2026-19541·CVE-2026-19601 등 Mattermost 11.9·11.10중간 등급, 멤버 역할 API를 통한 게스트 계정 권한 상승, 연결 검증 과정의 OAuth 클라이언트 시크릿·AD/LDAP 바인드 비밀번호 노출 등 결함 다수

CVE-2026-92766 WordPress Vitepos(WooCommerce POS) 플러그인 3.5.1 이하'src_by' 파라미터 이스케이프·쿼리 준비 부족으로 인증 없는 공격자의 SQL 인젝션

CVE-2026-111311 WordPress DoubleScale All-in-One CRM 플러그인 1.5.1 이하포털 'ticketless' 첨부 엔드포인트의 확장자 허용 목록이 실패 시 허용(fail-open)으로 동작해 구독자 이상 권한 공격자가 임의 파일 업로드

CVE-2026-109224 WordPress SureCart 플러그인 4.9.4 이하댓글 내 sc-cart-loader 'template' 속성의 입력 검증·출력 이스케이프 부족으로 인증 없는 공격자의 저장형 XSS

CVE-2026-111391 SGLang 0.5.10~0.5.22디버그 덤퍼 필터의 eval() 샌드박스 탈출로 인증 없는 원격 공격자가 /dumper/configure 엔드포인트를 통해 Python 코드 실행(덤퍼 서버 기능 활성화 시)

CVE-2026-68571·CVE-2026-64959·CVE-2026-64610 Apache KylinJDBC URL 화이트리스트 검증 우회로 코드 인젝션, 일부 캐시 API 엔드포인트 인증 누락·SQL 인젝션, Redis 역직렬화 결함, 5.0.5 업그레이드 권고(주로 공용망에 직접 노출된 서비스 영향)

CVE-2026-105958·CVE-2026-105959 spice-serverVM 라이브 마이그레이션 중 인증된 악성 SPICE 클라이언트가 검증 없는 마이그레이션 데이터 오프셋과 정수 절단을 이용해 힙 범위 밖 읽기·쓰기와 힙 버퍼 오버플로 유발

CVE-2026-111399·CVE-2026-111405·CVE-2026-111397 WordPress MapSVG 플러그인 8.16.1 이하CVSS 8.5 HIGH SQL 인젝션, 저장형 XSS와 권한 검사 누락에 따른 민감정보 노출 함께 공개

CVE-2026-111390 Erupt 2.3.0 이하데이터 테이블 API(POST /erupt-api/data/table/{erupt})의 linkTreeVal 파라미터 HQL 인젝션으로 조회 권한이 있는 인증 사용자가 트리 범위 데이터 필터 우회

CVE-2026-107648 WordPress WP Sessions Time Monitoring Full Automatic 플러그인 1.1.5 이하'action' 등 파라미터의 입력 검증·출력 이스케이프 부족으로 인증 없는 공격자의 저장형 XSS

CVE-2026-21589 아틀라시안치명(CVSS 9.3), 10월 초부터 실제 악용, CISA KEV 등재

CVE-2026-18516·CVE-2026-90821 Crafty ControllerCVSS 9.6 CRITICAL, 인증 없는 원격 공격자가 HTTP 헤더 인젝션으로 감사 로그에 저장형 XSS 삽입, 인증 사용자가 Webhook URL 필드로 저장형 XSS를 넣는 결함도 함께 공개

CVE-2026-107617·CVE-2026-97858 등 Guangzhou Juan IoT EseeCloudCVSS 9.8 CRITICAL, 하드코딩 자격증명으로 기기에 로그인 가능, 대상 기기를 기존 소유자에게서 해제해 공격자 계정에 재연결하고 전체 시리얼 ID를 얻는 결함 등

CVE-2026-110804·CVE-2026-110805·CVE-2026-110806 등 Devolutions Server 2026.3.8.0 이하PAM 체크아웃 권한 사용자가 JIT 승격 설정을 조작해 임의 AD 그룹을 삭제하거나 승격 권한을 유지, 저권한 사용자가 SSRF로 PingOne 앱 시크릿 유출, 보기 권한만으로 애드온 비밀번호 획득 등

CVE-2026-97851·CVE-2026-101021·CVE-2026-105273 등 J4Care dcm4che스토리지 상태 변경 REST 서비스의 권한 검사 누락으로 DB 레코드가 남은 DICOM 객체의 삭제 유발, 조작된 multipart·MP4·JPEG 입력으로 서비스 거부(CVSS 7.5 HIGH)

CVE-2026-85985·CVE-2026-85746·CVE-2026-85748 등 MariaDB 서버CONNECT 엔진 파일 접근 UDF의 FILE 권한 검사 누락으로 무단 파일 접근, 중첩 GeometryCollection 처리 시 버퍼 범위 밖 쓰기, 저권한 공격자의 SYS_REFCURSOR use-after-free 등 결함 다수

CVE-2026-96424·CVE-2026-96425 lomiri-download-managerCVSS 7.8 HIGH, 잘못된 DBus 정책으로 임의 로컬 사용자가 root 권한으로 임의 파일을 읽거나 명령 실행

CVE-2026-57488·CVE-2026-57487·CVE-2026-55862 등 pupnp(libupnp) UPnP SDKContent-Length 정수 절단으로 요청 스머글링, chunked 본문의 크기 제한 우회, CVE-2021-28302 불완전 수정에 따른 재귀 스택 오버플로 등 결함 다수, 2.0.2 등에서 수정

CVE-2026-68908·CVE-2026-57446·CVE-2026-48741 등 libIEC61850(IEC 61850 MMS·GOOSE 구현)서버측 잘못된 해제·이중 해제, 원격 NULL 역참조에 따른 서비스 거부 등 결함 다수, 1.6.2에서 수정

CVE-2026-55836·CVE-2026-54657 Open Zaak(네덜란드 공공 사건처리 데이터 계층)문서 가져오기 CSV 필드 경로 탐색으로 서버 임의 파일 읽기, 검색 엔드포인트가 토큰 권한에 따라 결과를 거르지 않음, 1.27.2·1.28.2·1.29.0에서 수정

CVE-2026-108082 Symfony HeaderUtils::split()조작한 Cache-Control 헤더 요청 하나로 CPU를 수 초간 점유하는 ReDoS, 4.1부터 6.4·7.4·8.1 계열 최신 패치 이전 버전 영향