ConnectWise 앱 ID 탈취 공급망 공격, MS 365 테넌트 173곳 침해… Cloud Backup 서비스 중단

✅ 권고 조치ConnectWise Cloud Backup(구 SkyKick) 등 연동 고객은 M365 테넌트의 해당 앱 ID 권한·감사 로그 즉시 점검

할리스 멤버십 해킹, 아이디·비밀번호·주소·DI 유출(9/3~10/7, 35일간 침입)

✅ 권고 조치2020년 2월 11일 이전 가입자는 비밀번호 변경, 같은 비밀번호를 쓴 다른 사이트도 변경

OK저축은행 2차 해킹으로 추가 유출… 금감원 현장점검, 외부 접점 전수 점검 추진

금융권 연쇄 해킹, 5대 은행장 오늘 정무위 국감 증인 출석(4년 만)

의료기관 해킹 89%가 중소 병·의원, 91%가 랜섬웨어… 보안관제 가입률 0.007%

✅ 권고 조치원격 유지보수용 외부 개방 포트·계정 점검

안랩, AI 자율 침투 도구 '아르텍스' 실험… 명령 한 줄로 내부망 침투·원격제어까지

이찬진 금감원장, 국감서 "금융권 연쇄 해킹 원인 철저 규명"… IT자산 식별·관리 의무화, AI 기반 침투 포함 모의해킹 훈련 확대, 불시 현장점검, 금융사 보안 예산·인력 투자 확대 유도 방침

✅ 권고 조치금융회사는 IT자산 목록과 외부 노출 시스템 현황을 정비하고 미조치 취약점 이력 점검(의무화 대비)

이찬진 금감원장 "금융권 연쇄 해킹, 사이버 보안 사고로 CEO 내부통제 관리의무 책임 묻는 첫 사례 될 것"… 책무구조도 도입 후 해킹 사고에 경영진 책임을 적용하는 첫 사안

✅ 권고 조치금융회사는 책무구조도상 정보보호 관련 내부통제 기준과 이행 점검 기록, 침해 인지·보고 절차를 정비

美 트럼프 행정부, 연방기관 시스템에서 中 딥시크 AI 모델 사용 금지… 국토안보부 '민감정보 이전 우려, 악성코드나 보안 취약점 포함 가능성' 지적, 완전 제거 시까지 정부 웹사이트 네트워크 트래픽 감시 지시

✅ 권고 조치공공기관·기업은 내부 시스템·단말의 딥시크 모델·앱 사용 현황을 점검하고 업무망 사용 정책 확인

5대 은행 FDS로 확인된 보이스피싱 사기 8760건, 1년 새 2배 증가

10억 원 이상 초고액 보이스피싱 피해자 지난해 77% 급증

수협 금융사고 5년간 200억 원 넘어, 수협은행 금융사기 피해 계좌 올해 85건 급증

따릉이 462만 명 개인정보 유출, 국감서 서울시 대응·보상(이용권 사용률 0.38%) 질타

한전 직원 2만4천 명 정보 유출 사고, 안면인증 정보·CCTV 비밀번호도 노출 지적

북향민 개인정보 대북풍선에 실어 유출한 단체, 늑장 신고로 과태료 720만 원

개인정보위, 조사 착수 전 증거 폐기 제재 공백 지적에 법 개정 요청(KT BPF도어 사례)

5대 은행 AI 해킹 대응 속도 제각각, 국민은행은 최초 이상징후 탐지 후 은행장 보고까지 81시간 소요

상반기 보이스피싱 악용 '통장묶기' 피해 추정 6천500건, 작년 연간치 육박… 지급정지 이의제기 처리 KB국민 평균 18.6일·신한 16.1일로 '5영업일' 가이드라인 미준수

금융권 연쇄 해킹 개인정보 유출 악용한 스미싱·보이스피싱 2차 피해 우려, 금융당국 소비자경보 '주의' 발령… 10월 한 달 특별대응기간 운영

AI 활용 해킹에 시중 홈캠 2시간 반 만에 뚫려, 대형 가전사는 이상 징후 시 연결 자동 차단으로 대응하나 중소 제조사 저가형 기기는 보안 사각지대

과기정통부, 랜섬웨어 공격에 실제 악용된 최고 위험등급 취약점 조치 권고를 사후점검 대상에서 누락… 국가 핵심 연구기술 보안관리·감독 체계 부실 지적

카드사 자체 시스템이 아닌 외부 결제망 관리 허점으로 정보 유출 우려, 카드사들은 금융권 해킹 이후 당국 지침에 따라 외부 노출 시스템 긴급 점검·공격자 IP 차단 진행

레코디드 퓨처 "국내 금융권 연쇄 해킹 배후 'TAG-217', 8월부터 공격 인프라·도구 준비"… AI로 다양한 시스템 취약점 탐색해 공격 범위 확대 정황

금융권 침해사고 지연 인지 실태, 롯데손보 902일·토스뱅크 670일 만에 인지… iM뱅크 178일, 토스뱅크는 지연 인지 9건으로 최다

경찰청 국가수사본부, 'AI 불법 조작물 탐지·분석체계 고도화 기본계획' 수립… 딥페이크 판별부터 제작·유포 추적까지 AI 악용 범죄 분석 강화

쿠코인·MEXC·비트마트 등 해외 가상자산거래소 미신고 불법영업 수사의뢰… 당국 "ISMS 등 보안요건 미비로 유출·해킹 위험, 자금세탁 악용 우려"

우체국 고객 개인정보를 사적보복 대행조직에 유출한 혐의로 수사·고발된 직원이 2명에서 3명으로 늘었으나, 앞서 실시한 내부점검 결과는 '이상없음'

한국가스기술공사 보안평가점수 2년 연속 하락, 같은 기간 사이버 공격 시도는 2배로 늘고 악성코드 공격은 3건에서 26건으로 증가… 금융권 해킹 사태 이후인 10월 6일 긴급 보안 점검 실시

육군 군단·사단급 상황실에서 중국산 화상회의 장비 사용 국감 지적, 미국 오클라호마주가 2024년 보안 우려로 퇴출한 제조사 장비로 군사정보 유출 우려

일본 버거킹 공식 앱 해킹으로 회원 정보 약 1118만 건 유출, 이름·생년월일·전화번호·이메일 포함(BK재팬 발표)

서울시 시금고 신한은행에서 약 2만5000명 개인정보 유출, 서울시의회서 금고 선정 보안평가 99.2% 받고도 사고 발생했다며 선정 평가·보안사고 보고체계 점검 요구

보이스피싱 현금 수거 등 하위 가담자에게도 실형 선고 잇따라

군 무기체계 21종, 북한 등 외부 사이버 공격에 취약… 해군 초계 자산·공군 전파교란 감시장비 등에서 보안 허점 확인

크라우드스트라이크 "북한 IT 위장취업 조직, 원격 근무 허점 노려 항공우주·에너지·금융·방위산업 등 다양한 산업 침투"… 공급망 공격 발판 마련 의도로 분석

금감원, 금융권 연쇄 해킹 공격 IP 정보를 보험GA협회에 전달하고 회원사 공격 시도 여부 확인 요청… 설계사 28만명 GA 판매망의 보험사 고객정보 보안관리 도마

국내 가상자산 거래소 6년간 사고 57건, 닥사 보안 모범규준 운영에도 거래소별 보안 투자·전문인력·침해사고 탐지 수준 편차 지적

가짜 클로드·챗GPT 설치 페이지로 개발자 노린 정보탈취 악성코드·RAT 유포, 애니런 6개월간 1258건 분석… 터미널 설치 명령 위장, 사칭 대상 클로드 60%·챗GPT·코덱스 33%

금감원, 금융사 보안 자체점검서 554곳 중 130곳 '미흡'… 이찬진 원장 국감서 외부 노출 표면 전수조사 재지시, 금융권 버그바운티 KISA 수준 이상으로 확대(올해 대상 34곳→70곳)

랜섬웨어 조직, HMM 관련 터미널 등 국내 해운·항만업체 38곳 해킹 주장… 19일 탈취 데이터 공개 예고

정부, 반도체 기술유출 처벌 강화 추진… 범죄수익 몰수·추징 대상 확대, 보안 취약 협력사 취약점 진단 지원 확대·국가핵심기술 R&D 보안관리 강화

두나무 사칭 가짜 체인 사기로 900억 원대 피해 국감서 지적, 이찬진 금감원장 "온체인 사기 속도 따라가기 어려워" 대응 역량 한계 인정

금융사 프로그램 오류 등 내부 전산오류 사고 국감서 지적, 이찬진 금감원장 "내부통제 가이드라인으로는 한계, 법 보완 협의"

북한 불법 사이버 활동 증가에 외교부가 2023년부터 인력 증원을 요구했으나 북한 핵 자금줄 차단 전담 인력은 0명

개인정보위, AI 악용 해킹 위협 대응해 기업에 미사용 API·계정 정리 권고… 이용자에는 개인정보 침해(118)·스미싱(1394) 신고, 금전 피해 시 지급정지 요청 안내

이찬진 금감원장, 국감서 우리·농협은행이 연쇄 해킹 피해를 피한 이유로 우리은행의 다중인증, 농협은행의 외부 접점(대출모집인용 외부 지원시스템) 부재를 꼽아… 농협은행은 AI 기반 이상행위 탐지·자동 차단 체계와 정기 모의해킹도 운영

금감원, 금융권 보안규제 강화 추진… 징벌적 과징금·정보보호 공시 도입, 보안 취약점 관리부터 금융회사 경영진 책임까지 감독 범위 확대(정무위 국감 업무현황 자료)

일본, 렌터카 160만 계정 등 차량 공유·외식 앱·온라인 쇼핑몰에서 대규모 개인정보 유출 잇따라… 신분증 사진까지 유출되자 은행들이 온라인 계좌 개설 시 '사진 찍어 본인확인' 방식 폐지

SC제일은행, 시중은행 중 전산장애 사고 최다·보안투자 비중 최저 지적(전산장애 집계에는 해킹 외 전산 오류·시스템 장애 포함)

한전, 정보보호 예산 2배 넘게 늘었지만 단독 기획 훈련 부재·AI 공격 대비 점검 실적 미확인 국감 지적… 남부·서부·남동발전은 AI 활용 취약점 점검·침투 대응훈련·국정원 AI 레드티밍 실시

고령층 금융사기 피해 5년간 8850억 원, 보이스피싱 고령층 피해액 2022년 673억 원에서 지난해 2045억 원으로 증가(금감원 자료)

보이스피싱 사기계좌 지급정지는 늘었지만 피해금 환급률 20%대 머물러, 서민금융연구원 "민간 신고정보 연계 필요"

프랑스 대형마트 냉장시설 사이버 공격으로 수백만 달러 피해, 전문가들 "미국 전력망 등 기반시설에도 이미 악성코드가 잠복해 있을 수 있다"며 기존 보안체계 취약성 경고(폭스뉴스 보도 인용)

해킹된 금융·개인정보가 일반 포털에서 건당 100원~8000원 수준에 거래 국감 지적, 이찬진 금감원장 "2차 피해 차단 위한 정보 공유 플랫폼 준비"

예가람저축은행, 금융권 연쇄 해킹으로 고객 4만3246명 정보 유출돼 전 금융권 최다… 99.3%는 성명·생년월일·연락처 등 단순 개인정보, 전산을 태광그룹 계열사에 의존한 구조 지적

FBI, 美 중간선거 앞두고 선거 악용 사기 경고… AI로 후보·선거캠프·정부기관 음성과 이미지를 사칭해 가짜 후원금 모금, 기념품 판매, 개인정보 탈취

금융당국 모의해킹 훈련, 디도스 대응·대표 웹서버·VPN·MDM 등만 대상… 최근 연쇄 해킹에 뚫린 대출모집인·영업지원 시스템은 훈련 대상에서 빠져

금융보안원, 금융권 대상 사이버공격 위협 고조에 내년 예산 약 10% 확대… 1100억원 육박, 5년 전보다 59.3% 증가

생성형 AI가 공격 전 과정을 조율·실행하는 '지휘관'으로 진화, 소규모 범죄조직·개인도 기계 속도로 다중 표적 해킹 가능해져 방어 골든타임 붕괴 분석(앤트로픽 2026년 9월 AI 악용 보고서 인용)

美 매체 "KT, 해킹 세 차례 숨기고 로그 삭제·고객에 거짓말" 보도… 2024년 IT서비스망 서버 38대에서 BPF도어 등 악성코드 발견됐으나 당국 미신고, 감염 서버 로그 삭제 지적

전남광주통합특별시교육청, 학교 구글 계정 탈취 사고 관련 "개인정보 유출 등 추가 피해 우려 낮아"… 교육용 계정 대부분 사고 확인 전 이용 종료, 이후 로그인 전면 차단

올해 3분기 글로벌 가상자산 해킹 피해액 11억8000만 달러, 전 분기 대비 55% 증가

KB국민은행, 금융권 연쇄 해킹 최초 공격(9월 27일 밤) 받고도 IP 차단에 그쳐 29일 2차 우회 공격으로 81명 추가 유출… 국감서 사고 직후 내부 로그 삭제 거론 은폐 의혹 제기, 이환주 행장 "지시한 적 없다"

금융당국 'AI 공격은 AI로 방어' 대응책에 현장 안착 과제 지적… AI 보안 도구가 정상 코드조차 '위험'으로 판단하는 사례

국립암센터 임상연구 참여자 67명 개인정보 온라인 노출, 질병관리청 제보로 처음 인지해 17일 개인정보위에 신고… 연구자가 수기로 받은 동의서 정보 관리체계 점검 필요 지적

이찬진 금감원장, 'AI 공격은 AI로 방어' 기조로 추진 중인 망분리 규제 완화에 "지금 전면 완화는 어려워, 단계별로 전환할 것"

한국가스기술공사, 관리자 계정 다중인증(MFA) 미적용 상태였는데도 긴급 보안 점검 결과 취약점 '0건' 보고… 점검 항목에 MFA 적용 여부가 포함돼 있어 점검 실효성 지적

인디 게임 개발자에게 '200달러 안 주면 AI로 게임을 복제해 먼저 판매' 협박 메시지 발송 사례, 스팸성 피싱 수법 가능성 분석… 해외 커뮤니티 공론화 이후 이를 모방한 피싱 우려

식약처, 국감 지적 자료 삭제 요구 논란… 이소희 의원, 식약처에 피해 기업 즉시 통보·유출 범위 전수조사와 등록 단계 공개·비공개 항목 분리, 개인정보 자동 비식별 체계 구축 요구

서울중앙지법, 보이스피싱 피해자를 상대로 낸 채무부존재확인 소송에서 확인의 이익 폭넓게 인정… 확인판결을 통신사기피해환급법상 이의제기 소명자료로 삼아 계좌 제한조치 해제 가능 판단

금융권 겨냥 해킹 급증 속 은행 정보보호 투자 2022년 대비 감소 국감 지적, 이환주 KB국민은행장 "2022년 일회성 투자가 늘었던 영향" 해명

Phala Cloud, dstack guest-agent 취약점 악용한 토큰 탈취 사고 사후 보고서 공개

2021년 유라늄 파이낸스 해킹(피해 약 5330만 달러) 재판, IP 추적 단서로 뉴욕 노드 운영자 법정 증언(美 법무부 기소 사건)

학교 구글 계정 전국 11만 건 탈취 국감 지적, 서울·대전·경기·전남 등 피해 교육청별 계정·비밀번호·이름 등 개인정보 유출 가능성 제기(교육부 자료)

지역 농·축협 금융사고 반복에도 회수액 10%대, 고객 정보 유출 14건·고객 개인정보 무단 조회 13건 포함… 횡령 발생부터 적발까지 평균 525일

iOS 악성코드 '다크소드(DarkSword)' 무기화 공개, 아이폰에서 웹페이지 접속만으로 가상자산 지갑 시드 구문 탈취 가능 경고(슬로우미스트 위협 정보 인용)

롯데카드 297만 명 CI 유출 이후 우리은행·CU·티빙에서도 CI 유출 잇따라, 국감서 'CI가 약 15년간 여러 온라인 서비스에서 폭넓게 쓰여 개별 기업 사고 대응만으로는 불충분' 지적

공식 유튜브 채널 해킹 후 '입금하면 두 배' 가상자산 사기 광고 송출 수법, KISA 채널 복구·보안수칙 안내(기기 보안패치·악성코드 점검, 출처 불명 이메일·첨부파일 열람 금지)

세르비아 대학 총장 아이폰에서 페가수스 스파이웨어 감염 확인, 제로클릭 취약점 이용… 총선 앞두고 감시 피해 사례 확인

SiteGuard Server Edition OS 명령 주입 취약점실공격 진행 중, root/SYSTEM 권한 명령 실행

✅ 권고 조치벤더 패치 즉시 적용

CVE-2026-74580 리눅스 커널 vhost '브이고스트'로컬 사용자 루트 권한 상승, 공격 시연 공개

✅ 권고 조치8월 3일 수정 패치 반영된 커널로 업데이트

Drupal 치명적 RCE 취약점 패치조기 익스플로잇 등장 경고

리눅스 커널 'PwnEscape'게스트 VM이 호스트 메모리 읽기 가능(Critical)

TP-Link Deco XE75 Pro V3 펌웨어 1.5.0인증 없이 루트 파일 읽기/쓰기, 미패치 상태

CVE-2026-109553 등 Gitea 취약점 12건 공개SSH 인증서 principal 처리 오류로 타 사용자 사칭(CVE-2026-109553), OpenID 계정 연결 시 세션 미검증(CVE-2026-104627), API로 비공개 사용자 공개키·팔로우 정보 노출(CVE-2026-97859) 등

CVE-2024-4457 WSO2 다수 제품 관리 콘솔 JDBC 사용자 저장소 설정 입력 검증 미흡조작된 입력으로 서버에서 임의 코드 실행 가능

Microsoft, 실공격에 악용된 Mark of the Web(MotW) 보안 경고 우회 취약점 수정

CVE-2026-112112 CZ.NIC BIRD 라우팅 데몬 IPv6 FlowSpec 검증 우회세션이 수립된 BGP 피어가 유니캐스트 경로 검증으로 허용된 범위 밖 목적지의 FlowSpec 규칙 주입 가능

CVE-2026-112030 diem 5.1.3 이하 dmDataLoad.php 기본 비밀번호 사용 취약점원격 공격 가능, 익스플로잇 공개

Broadcom Wi-Fi SDK 802.11 구현 취약점, 2010년부터 16년간 존재Wi-Fi 범위 내 공격자가 인증 없이 취약 라우터에서 코드 실행 가능(Hexacon 발표)

CVE-2026-112036 Artifex MuPDF 1.28.5 이하 서명 잠금(pdf-xref.c) 이중 해제원격 공격 가능, 익스플로잇 공개

CVE-2026-112032 등 aircheng-org iWebShop-5 5.16 이하 취약점 4건Util::search SQL 인젝션(CVE-2026-112032), 비밀번호 복구 취약(CVE-2026-112035) 등, 원격 공격 가능·익스플로잇 공개

CVE-2026-108983 GeoVision GV-ASManager 웹서버(GeoWebServer.exe) 명령 주입CVSS 9.8 CRITICAL, 기본 연결 포트 대상. 같은 구성요소의 버퍼 오버플로(CVE-2026-108984, CVSS 7.5)도 공개

CVE-2026-112043 cal.com·cal.diy 6.2.0 이하 웹훅 생성(createWebhookProcedure) 권한 우회ID 인자 조작으로 인가 우회, 원격 공격 가능

CVE-2026-112073 Tencent ncnn MatMul 레이어(matmul.cpp matmul_transb) 경계 밖 읽기원격 공격 가능

CVE-2026-112045 donetick 0.1.82 이하 이력 삭제 처리(CanDeleteHistory) 권한 검증 미흡AssignedTo 인자 조작으로 인가 우회, 원격 공격 가능

CVE-2026-102764 BeyondTrust Remote Support 제로데이중국 연계 의심 조직이 8월 말부터 실공격에 악용해 내부망 침투(BeyondTrust·맨디언트·GTIG 확인), 패치·완화책 공개

✅ 권고 조치BeyondTrust Remote Support 장비 즉시 패치 적용 및 8월 이후 침해 흔적 점검

CVE-2026-112078 RVC-Project Retrieval-based-Voice-Conversion-WebUI 2.3.260718 이하 webui.py change_info_ 코드 인젝션ckpt_path 인자 조작, 원격 공격 가능·익스플로잇 공개

CVE-2026-112079 hankcs HanLP 2.1.0-beta.64 이하 torch_util.py load_word2vec_as_vocab_tensor 역직렬화vectors.vocab 인자 조작, 원격 공격 가능

CVE-2026-112076 alexta69 MeTube 2026.09.28 이하 피드 메타데이터 썸네일 처리(ytdl.py) SSRF서버 측 요청 위조로 내부 자원 접근 가능

CVE-2026-94229 등 WordPress TrueBooker 예약 플러그인 1.3.0 미만 취약점 4건인증 없이 예약 고객 개인정보 열람(IDOR, CVE-2026-94229), 임의 가격 예약 생성(CVE-2026-94230), 플러그인 설정 전체 덮어쓰기(CVE-2026-94228) 등, CVSS 5.3

CVE-2026-94272 WordPress Snap Finance 플러그인 3.12.0 미만 권한 검증 누락인증 없이 WooCommerce 주문을 결제 완료 또는 실패 상태로 임의 변경, CVSS 5.3

CVE-2026-112086 ESPnet 202610.post2 이하 Inference Model 핸들러(inference_model.py build_model) 역직렬화_target_ 인자 조작, 원격 공격 가능

CVE-2026-94273 WordPress Snap Finance 플러그인 3.11.0 이하 결제 확인 위조결제사 응답의 승인 여부를 검증하지 않아 인증 없는 공격자가 결제 없이 임의 WooCommerce 주문을 결제 완료로 표시

CVE-2026-106014 WordPress Gateway for Vantiv on WC 플러그인 1.0.1 이하 결제 콜백 위조결제 알림 진위를 검증하지 않아 인증 없는 공격자가 결제 없이 주문을 결제 완료 처리

CVE-2026-89286 WordPress FormFlow for GoHighLevel 플러그인 1.0.0 이하 로그 파일 노출공개 업로드 디렉터리의 로그에 접근 제한이 없어 인증 없이 연동 CRM 식별자 등 민감정보 열람 가능

CVE-2026-86791 WordPress iPOSpays Payment Gateway for WooCommerce 플러그인 1.4.7 미만 결제 확인 위조실제 결제 완료를 검증하지 않아 인증 없는 공격자가 미결제 주문을 결제 완료로 표시하고 주문 금액도 변경 가능, CVSS 5.3

CVE-2026-106010 WordPress BDM Digital Payment Gateway 플러그인 1.3.12 이하 결제 확인 위조결제 상태 갱신 경로의 자격증명 미검증, 기본 설정에서 인증 없는 공격자가 결제 없이 임의 WooCommerce 주문을 결제 완료 처리

CVE-2026-103311 WordPress Coinbase Commerce Payment Gateway for WooCommerce 플러그인 1.4.1 이하 웹훅 서명 검증 우회공유 비밀키가 기본값으로 비어 있고 미설정 상태를 거부하지 않아 인증 없이 위조 결제 알림 전송 가능

CVE-2026-74922 등 WordPress Document Gallery 플러그인 5.1.1 이하 취약점 2건공유 비밀키 미설정(기본값) 시 웹훅 서명 미검증으로 인증 없이 문서 썸네일 교체(CVE-2026-74922), 기여자 권한 이상 숏코드 속성 저장형 XSS(CVE-2026-74921)

CVE-2026-16487 등 bootc 컨테이너 서명 정책 우회 취약점 2건기본 정책에서 가변 태그 업데이트 시 미서명 OS 이미지 적용 가능(CVE-2026-16487), 정책 강화 전 스테이징된 배포를 재검증 없이 확정(CVE-2026-16460)

CVE-2026-76740 HPE Compute Scale-up Server 3200·3250, Superdome Flex·Flex 280 RMC 원격 명령 실행CVSS 7.2 HIGH. RMC 파일시스템 열람·수정 취약점(CVE-2026-76739, CVSS 4.3)도 공개

CVE-2026-91047 등 WordPress ElementsReady Addons for Elementor 플러그인 6.7.2 이하 취약점 2건인증 없이 WooCommerce 유료 다운로드 파일 획득(CVE-2026-91047), 구독자 권한으로 플러그인 설정 덮어쓰기(CVE-2026-91046)

CVE-2026-111438 등 openGauss-server 취약점 2건HADR/SW 복제 연결 인증 시 내부 연결 제한·pg_hba 전체 정책 우회(CVE-2026-111438), 내장 함수 pg_read_binary_file_blocks 권한 검증 누락으로 일반 사용자가 relation 파일 블록 열람(CVE-2026-111439)

CVE-2026-112178 등 MISP 취약점 3건제안(shadow attribute) 접근통제에서 배포 수준 미검증으로 ACL 우회(CVE-2026-112178), 이벤트 동기화 시 비공개(non-exportable) 태그가 원격 인스턴스에 노출(CVE-2026-112179), 이벤트 삭제 후 민감 레코드 잔존(CVE-2026-112180)

CVE-2026-13695 Integratec 애플리케이션 로그인 엔드포인트(/login/ap_Login.aspx/start) sInfo 파라미터 UNION 기반 SQL 인젝션데이터베이스 정보 탈취 가능

CVE-2026-112098 DeepPavlov 1.7.0 이하 Config Reference Resolver(params.py resolve) 코드 인젝션원격 공격 가능, 익스플로잇 공개

CVE-2026-112094 mxml 4.0.5·4.0.6 mxml_load_data(mxml-file.c) 해제 후 사용원격 공격 가능, 익스플로잇 공개

CVE-2026-112161 MobaXterm Personal Edition(Portable) 26.4 GA 플러그인 무결성 미검증CygUtils64.plugin 쓰기 권한을 가진 로컬 공격자가 내부 cygwin1.dll을 악성 라이브러리로 교체해 피해자가 Local Shell 세션을 열 때 실행되게 할 수 있음

CVE-2026-104679 Yamaha VOCALOID6 Editor XML 외부 엔티티(XXE)조작된 프로젝트 파일을 열면 의도치 않은 통신이 발생해 설치 기기의 민감정보 유출 가능

CVE-2026-85301 등 Apache Camel 취약점 11건 공개Keycloak 컴포넌트 iss 클레임 누락 시 발급자 검증 우회(CVE-2026-85301), camel-smooks 외부 엔티티 기본 처리 XXE(CVE-2026-88901), HTTP OAuth2 토큰 캐시 혼동(CVE-2026-85317) 등, 4.18.5·4.22.1에서 수정

Plex Media Server 'Plex2Shell' 익스플로잇 체인, 공개 몇 시간 만에 실공격 악용공격자가 취약 서버에 암호화폐 채굴기·프록시 소프트웨어 설치

F5, NGINX 취약점 다수 비정기 긴급 패치치명적 등급 3건은 취약 시스템에서 원격 코드 실행 가능

OpenBSD 7.9 로컬 권한 상승 익스플로잇 공개37년 된 BSD 정수 오버플로와 별도 커널 결함을 연쇄해 보안 보호 우회·루트 획득, 패치 배포(Calif)

CVE-2026-103314 Red Hat Advanced Cluster Security(StackRox) Central SAML 응답 재사용사용된 SAML 어설션 식별자를 보관하지 않아, 유효한 서명 SAML 응답을 입수한 공격자가 반복 제출로 인증 토큰 다수 발급 가능

CVE-2026-112210 rhc 'rhc-canonical-facts.service' 심볼릭 링크 추종 로컬 권한 상승root로 동작하는 서비스가 비특권 시스템 사용자 소유 디렉터리 내 파일의 링크 여부를 검증하지 않음

CVE-2026-112108 등 ztxz16 fastllm 버퍼 오버플로 2건GGUF 문자열 파싱(CVE-2026-112108)·Safetensors 가중치 로딩(CVE-2026-112107)에서 조작된 인자로 발생, 원격 공격 가능

CVE-2026-112138 diem 5.1.3 이하 dmCodeEditor(actions.class.php dmOs::join) 경로 조작원격 공격 가능

CVE-2026-112214 GStreamer gst-plugins-ugly ASF 디먹서 Simple Index 파서 무제한 메모리 할당조작된 ASF·WMV·WMA 파일 처리 시 과도한 힙 할당 유발

CVE-2026-111831 등 WordPress 인기 플러그인 3종 취약점FluentForm 6.2.15 이하 권한 검증 누락(CVE-2026-111831, CVSS 5.3), LearnPress 4.4.10 이하 권한 검증 누락(CVE-2026-110363, CVSS 5.4), YITH WooCommerce Wishlist 4.18.1 이하 저장형 XSS(CVE-2026-112199, CVSS 6.5)

CVE-2026-109432 등 Camunda 7 취약점 3건orQueries 하위 쿼리 표현식 미검증으로 인증 사용자가 표현식 주입·원격 코드 실행(CVE-2026-109432), Cockpit 권한 비교 로직 반전으로 권한 우회(CVE-2026-109433), 태스크 댓글·첨부파일 인가 누락(CVE-2026-109431), 7.24.14·7.23.17에서 수정

CVE-2026-112296 등 FlyCms(커밋 edfdf724까지) 취약점 3건기본 슈퍼관리자 계정(flycms/admin123)으로 인증 없이 관리자 권한 획득(CVE-2026-112296), 계정 수정 시 대량 할당(CVE-2026-112295), 타 사용자 콘텐츠 변경 권한 검증 누락(CVE-2026-112294)

CVE-2026-112292 CheckCle 1.6.0 이하 PocketBase API 규칙 미설정인증 없이 레코드 열람·수정·삭제, server_token 등 탈취 가능

CVE-2026-8168 Qt SVG 모듈(QtSvg) 파서·렌더러 무제한 재귀깊게 중첩된 요소의 조작된 SVG 파일로 스택 고갈·애플리케이션 충돌, CVSS 7.1 HIGH

CVE-2026-112288 등 Krayin CRM 2.2.7 미만 취약점 2건웹훅 권한 사용자가 DNS 리바인딩으로 SSRF 필터 우회해 내부 주소 접근(CVE-2026-112288), 메일 모듈 객체 수준 인가 누락으로 타 사용자 이메일 수정·삭제(CVE-2026-112287)

CVE-2026-112329 등 WordPress Sensei LMS 플러그인 4.26.4 미만 접근통제 취약점 2건레거시 save_new_message 핸들러의 수강 여부 미검증(CVE-2026-112329), 강사 권한으로 임의 강좌에 모듈 분류 지정(CVE-2026-112328)

CVE-2026-112291 Flarum Extension Manager 2.0.0-beta.1~beta.8 미만 Task API 인증·관리자 확인 누락인증 없이 작업 출력 열람해 파일시스템 경로 등 노출

CVE-2026-12665 등 IBM MQ 취약점 13건 공개채널 연결 시 형식이 잘못된 TLS 인증서 DN 처리 스택 버퍼 오버플로로 원격 코드 실행(CVE-2026-12665, CVSS 8.1 HIGH), MQ Operator의 Java 역직렬화(CVE-2026-12148, CVSS 7.5) 등, 다수는 인증 사용자의 서비스 거부

CVE-2026-112159 JumpServer 4.10.19 이하 템플릿 렌더링 OS 명령 주입IP/HOST 인자 조작, 원격 공격 가능·익스플로잇 공개

CVE-2026-112195 FusionPBX 5.4.4·5.5.7·5.6.5 이하 Dialplan Editor(dialplan.php) OS 명령 주입원격 공격 가능

CVE-2026-4413 등 IBM Concert 1.0~3.0.0 취약점 8건 공개인증 없는 공격자가 웹 UI에 스크립트를 삽입하는 XSS(CVE-2026-4413, CVSS 6.1), 로그 주입(CVE-2026-15661, CVSS 5.3) 등

CVE-2026-112190 등 Webkul Aureus ERP 1.6.0 이하 취약점 2건composer.json 디버깅 코드에 민감정보 포함(CVE-2026-112190), 약한 비밀번호 요구조건(CVE-2026-112193), 원격 공격 가능·익스플로잇 공개