Plex Media Server 'Plex2Shell' 4종 취약점 체인 실공격, PoC 공개 하루 만에 암호화폐 채굴기·리눅스 프록시 백도어 유포

✅ 권고 조치Plex Media Server 최신 버전 업데이트, 외부 노출 서버 점검 및 채굴·프록시 프로세스 확인

커넥트와이즈 클라우드 백업 앱 신원 7개 탈취, 고객사 MS 365 테넌트 침해 (MS "진행 중인 공급망 공격")Cloud Backup·SaaS Security·Cloud Management 서비스 중단

✅ 권고 조치ConnectWise 클라우드 서비스 사용 시 M365 엔터프라이즈 앱 권한·토큰 회수, 감사 로그 점검

금융권 연쇄 해킹(16개사 약 10만건) 국감5대 은행장 사과, 금감원장 "CEO 책임 다루는 첫 사안", 유출 금융정보 건당 8천원 거래 정황

✅ 권고 조치금융사 사칭 보이스피싱·스미싱 주의, 의심 시 1394 신고

할리스 멤버십 해킹, 개인정보 276만건 유출 (아이디·비밀번호·이름·생년월일·전화번호·주소, 2020년 2월 11일 이전 가입자)

✅ 권고 조치할리스와 같은 비밀번호를 쓰는 다른 계정 비밀번호 변경, 스미싱 주의

OpenCode Console 레거시 시스템 침해, 저장된 OpenAI·Anthropic·Google API 키 노출 가능성

✅ 권고 조치OpenCode Console에 저장했던 AI 제공사 API 키 즉시 폐기·재발급, 사용량 이상 여부 확인

한전 직원 2만4000여명 개인정보 노출…안면인증 정보·CCTV 비밀번호 유출 축소 발표 지적, 국감서 사과

레코디드 퓨처 "국내 금융권 연쇄 해킹 배후 'TAG-217', 8월부터 공격 준비·AI로 공격 범위 확대"

금융권 침해사고 '늑장 인지' 91건…최장 902일 지나서야 발견

금융권 모의해킹 훈련, 실제 뚫린 대출모집인·영업지원 시스템은 대상서 빠져

금감원장 "금융권 버그바운티 KISA 수준으로 상향, 노출표면 전수조사 재실시"

예가람저축은행 개인정보 5만24건 유출…계열사 전산 위탁 보안관리 국감 지적

의료기관 침해사고 89%가 병·의원, 91%가 랜섬웨어…정부 보안관제 가입률 0.006%

과기정통부, 랜섬웨어 악용 취약점 등 출연연 보안 권고 19건 중 1건만 사후점검

한국가스기술공사, 관리자 MFA 미적용에도 긴급 보안점검 '취약점 0건' 보고

학교 구글 계정 11만여개 탈취 피해, 서울·대전 외 경기·전남·광주로 확인

美 매체 "KT, 해킹 세 차례 숨기고 로그 삭제" 보도 (BPF도어 등 서버 38대 감염 미신고 주장)

랜섬웨어 조직, HMM 관련 터미널 등 해운·항만업체 38곳 해킹 주장

군 지휘통제실 중국산 화상회의 장비 군단·사단급 60여대 운용 지적

우리은행·국민권익위, 외주업체에 고객 개인정보 넘기고 파기 확인은 허술우리은행은 외주사 사무실 점검서 누락, 위탁기관 관리·감독 책임 강화 지적

복지부, 비대면진료 위반 처분 기준 마련…환자 개인정보 영리 목적 유출 시 퇴출, 영업정지 15일~최대 12개월 차등

현대·롯데카드, 카드 배송 시 운전면허증 암호일련번호 일방 요구…금융권 유출 사고 잇따르는 가운데 과도한 개인정보 수집 지적

국내 군사기지 출입 등록된 중국산 차량 190대…차량 카메라 영상의 외부 유출 가능성 등 보안 우려 제기

국립암센터 환자 67명 개인정보 깃허브 유출연구 목적으로 승인받아 반출한 자료를 소속 연구자가 깃허브에 올려, 연구자료 보관원칙 위반

한국전력기술, '보안사고 제로' 내세웠으나 원전 설계자료 5년 방치 감사서 드러나…반복된 보안 취약점에 대한 경영진 대응 실효성 쟁점

스포츠윤리센터, 신고자 신분증·신고 내용을 마스킹 없이 관리…체육계 인권침해 신고자 신원 노출 시 2차 피해 우려

통일부, 탈북민 131명 개인정보 유출(2023년 확인) 단체에 통일사업 보조금 지급 지적…"제도 개선하겠다"

Sh수협은행 금융사기 피해 90%가 법인계좌, 한 영업점서 321건…법인계좌 개설 심사·FDS 개선 요구

산업부, 기술유출 범정부 공조체계 가동…취약 협력사 취약점 진단 지원·국가핵심기술 R&D 보안관리 강화

한국 금융권 공격에 쓰인 중국산 AI 해킹 도구, 일본 보험·금융·물류업체 80개사 연쇄 공격에도 사용 정황 (보안업체 분석)

AI 에이전트를 활용한 해커 1명이 기업 100곳 이상 침해, AI 사용료는 약 670만원 (보안업체 노르포지 분석, 로이터 보도)

지난해 보이스피싱 피해액 1조2578억원으로 사상 처음 1조원 넘어 역대 최대, 1인당 피해액은 10년 새 5배 증가

일본, 데이터센터·클라우드 '안전 인증제' 신설, 중국계 사업자 사실상 배제

한국연구재단 학술지 관리시스템(JAMS) 해킹으로 12만533명 개인정보 유출(주민등록번호 116건 포함)취약점이 2013년부터 존재, 1600여개 개별 학회 페이지 미점검 국감 지적

국책연구소 서버 백신 설치율 8.8%…핵심 자료 유출 우려, 보안 점검 실효성 강화 필요 국감 지적

해외 보이스피싱 인터넷전화를 010 번호로 바꿔준 중계기 운영 조직 101명 적발(16명 구속)중계기 400대·유심 5256개 압수, 피해액 15억원

정보보호 공시 의무, 코스피·코스닥 전 상장사(약 2600곳)로 확대

정부, 국가정상화 2차 과제에 화이트해커가 선의로 발견한 취약점을 신고하는 '대외개방 취약점 상시신고제' 도입 포함

개인정보위원장 "실효적 보상안 아니면 피해 보상 이유로 과징금 감경 반영 어려워"

부천 경찰 지구대 단체대화방에 외부인 잘못 초대돼 경찰관 개인정보·내부 업무자료 노출

온투업체 PFCT·모우다 2곳 침해사고로 고객 1만9214명(잠정) 개인정보 유출, 금감원 침해사고 신고서로 확인

개인정보 관리수준 평가 2년 연속 낙제 공공기관 18곳…평가 종료 후 확인된 유출 사고 감점은 다음 해에 반영돼 사고 대응과 평가 사이 시차

일본 사이버공격 피해 잇따라백화점 고객정보 126만건 유출(이메일 900만건 추가 유출 우려), 차량공유 타임즈카 660만건 유출, 소프트뱅크 자회사 IDC프론티어 랜섬웨어로 기업·지자체 최소 495곳 영향

OK저축은행, '긴급 대응 완료' 이후 추가 해킹으로 고객정보 유출…2차 공격 IP는 금융보안원이 사전 공유한 해킹 의심 IP와 달라

랜섬웨어 그룹 '논'(N0n), 국내 철강·해운 기업 12곳에서 탈취한 데이터 다크웹 유출 사이트에 공개…협상 결렬 후 추가 공개 협박

신한·하나은행, 해킹 정보유출 고객에 VIP 혜택 제공·피싱 보상보험 가입 검토…현금 보상은 없어

신한은행 정보유출 피해자들, 이달 손해배상 소송 제기 예정…금전 피해 없는 고객의 법정손해배상(300만원 이하) 인정 여부 쟁점

취약점 검증용 PoC 코드로 보안 연구자 분석 환경에 악성코드 심는 신종 공급망 공격 확인 (S2W, VB2026 발표)

무선 바코드 스캐너 악용 공격 가능성 발견블루투스 주소 확보 후 키보드 입력으로 위장한 페이로드 전송, 연결 PC가 명령을 실행해 물류망 침투 경로 우려

테무, 텍사스주와 합의금 300만달러 지급·미국 서버 이전 합의…독립기관이 매년 앱의 악성코드·스파이웨어·미고지 데이터 수집 코드 검사

금융위 "연쇄 해킹당한 금융사 시스템, 전자금융기반시설 해당 가능성" 유권해석…경찰, 이를 근거로 국가핵심기반 해킹 사건으로 보고 중수청 이첩 검토

KB국민은행, 해킹 후 유출 정황 확인까지 약 80시간 걸려 추가 유출 못 막아…국감서 해킹 관련 로그 삭제 의혹도 제기

롯데케미칼 개인정보 유출 피해자의 60%가 퇴직자·협력업체 직원…법령 허용 범위를 넘어 불필요한 개인정보를 보유·방치했다는 국감 지적

한병도 민주당 원내대표 "은행 해킹 피해 입증 책임을 고객에게 떠넘겨선 안 돼"…개인정보 유출 피해자 보호 입법 추진

하나은행, 해킹 후 42시간 동안 침입 인지 못 해…영업지원시스템 고객정보 유출 기간 탐지 실패 이후 '이상행위 자동차단체계' 구축

북한 'kp' 도메인 웹사이트 무더기 접속장애…대규모 해킹 공격 가능성 거론되나 구체적 해킹 정황은 아직 포착 안 돼

은행 대상 해킹 공격은 줄고 보험·카드사 등 2금융권 대상 해킹 시도는 역대 최대 수준으로 급증

다크웹에 유출된 국내 카드정보 8만건…보안이 약한 소규모 가맹점 결제 단계에 가짜 결제창을 띄워 카드번호·유효기간·CVC·비밀번호 탈취

경찰, 금융권 연쇄 해킹을 중대범죄로 판단해 중수청 통보 결정전자금융거래법 위반 혐의 추가 인지, 공격에 쓰인 IP 28개 중 상당수는 흔적을 감추기 위한 세탁용으로 확인

명함관리 서비스 리멤버(사용자 약 500만명)에서 개인정보 유출 사고 발생…개인정보위, 해킹 여부 조사

예비군 정보 시스템, 부대 담당자가 전화번호·주소 등 개인정보를 조회해도 접속·조회 기록이 남지 않아 무단 열람에 무방비 노출

정보통신기획평가원(IITP), 지난해 12월 보안사고에 이어 올해 7월 다시 해킹 공격 받아 국감 지적

보험대리점(GA), 개인신용정보를 대량 취급하지만 보안 규제 사각지대…금융권 AI 해킹 확산 속 GA발 정보유출 우려

원주시, 공동주택 건설 관련 주민의견서를 비식별 처리 없이 사업시행자에 보내 주민 1014명 개인정보 유출…담당 과장·팀장·담당자 직위해제

AI를 활용한 금융권 정보유출 등 해킹이 고도화되는데도 농협·수협·산림조합은 정보보호 투자가 저조하다는 지적

통신사기피해환급법 개정안, 가상자산도 피해환급 대상에 포함…거래소에 금융회사 수준의 보이스피싱 방지·피해구제 의무(거래 목적 확인·의심 자금 상시 감시·범죄 의심 시 계정 지급정지)

Plex2Shell Plex Media Server 취약점 4종 체인실공격 확인, 채굴기·프록시 설치

CVE-2026-102764 비욘드트러스트 Remote Support제로데이 실공격(중국 연계 의심 조직), 패치·완화책 공개

CVE-2026-106931 SiteGuard Server EditionOS 명령 주입, root/SYSTEM 권한 실행, 실공격 중

CVE-2026-99999 Linux KVM 'PwnEscape'게스트→호스트 탈출, CVSS 9.3

Broadcom Wi-Fi 설정 SW 취약점(미패치)무선 범위 내 공격자가 비밀번호 없이 라우터 root 코드 실행, 2010년부터 SDK에 존재

F5 NGINX코드 실행 가능한 치명적 취약점 3건 포함 긴급(OOB) 패치

Drupal 코어Entity List·Field UI 모듈 치명적 RCE, 빠른 악용 위험 경고

CVE-2026-112159 JumpServer(4.10.19 이하)템플릿 렌더링 OS 명령 주입, 익스플로잇 공개, 5.0.0으로 업그레이드

CVE-2026-12665 IBM MQTLS 인증서 처리 스택 버퍼 오버플로로 원격 코드 실행, CVSS 8.1

CVE-2026-12148 IBM MQ OperatorJava 역직렬화로 DoS·코드 실행 가능, CVSS 7.5

CVE-2026-109437 Cognition(0.13.0 미만)에이전트 샌드박스 기본값이 로컬 실행이고 REST/SSE API에 인증이 없어 비인증 원격 코드 실행 가능, 0.13.0으로 업그레이드

CVE-2026-110680·CVE-2026-110686·CVE-2026-110673 등 Perl Cpanel::JSON::XS(4.80 미만)범위 밖 쓰기, 해제된 콜백 사용, 중첩 태그 스택 고갈 등 메모리 안전성·DoS 취약점 다수, 4.80으로 업데이트

CVE-2026-112393·CVE-2026-112402·CVE-2026-112395 등 Pillow(13.0.0 미만)TIFF 저장 시 힙 버퍼 오버플로, 이중 해제, 범위 밖 읽기 및 GIF·APNG·PDF 처리 DoS 등 취약점 다수, 13.0.0으로 업데이트

CVE-2026-76788 Zephyr RTOS OSDP 제어판 응답 파서주변장치 응답 길이 검증 미흡으로 스택 범위 밖 쓰기 가능

CVE-2026-112370·CVE-2026-112371·CVE-2026-112373 등 H3C Magic NX15 라우터OS 명령 주입·코드 주입·스택 버퍼 오버플로 등 원격 공격 가능, 익스플로잇 공개

CVE-2026-53995 MLflow(3.17.1 이하)FileStore 추적 백엔드 경로 탐색, 비인증 공격자가 조작된 trace ID로 파일시스템 경로 제어 가능

CVE-2026-86961·CVE-2026-86949·CVE-2026-86977 등 Apple iOS·iPadOS·macOS·Xcode경쟁 조건을 이용한 샌드박스 탈출, 앱의 무단 통화·메시지 발신, 민감 데이터 접근 등 다수 취약점, iOS 27·macOS Golden Gate 27·Xcode 27 등에서 수정

CVE-2026-113380 Signal RingRTC(2.72.0 미만)상대방이 통화 상태머신 큐를 포화시켜 로컬 통화 종료를 방해, 음성·영상 트랙이 유지될 수 있음, CVSS 9.3 CRITICAL

CVE-2026-113386 Roundcube Webmail(1.6.20·1.7.5 미만)_uid 파라미터 CRLF 주입으로 인증된 원격 공격자가 임의 IMAP 명령 실행, CVSS 7.1 HIGH

OpenEye Apex숨겨진 복구 계정·고정 자격증명·명령 주입 등 CVE 4건 체인으로 원격 공격자가 관리자 비밀번호 재설정 후 root 획득 (Securifera 공개)

CVE-2026-102438 ASUS Armoury CrateDLL 하이재킹으로 로컬 사용자가 SYSTEM 권한 코드 실행, ASUS 보안 업데이트 공개

CVE-2026-93300 WordPress EventON - Subscriber 플러그인(1.4.5 이하)'email' 파라미터 처리 미흡으로 비인증 공격자가 SQL 인젝션 가능

CVE-2026-97627·CVE-2026-100737 Atsumi Electric DVR 다수 모델숨겨진 기능으로 관리자 권한 사용자가 임의 OS 명령 실행(CVSS 7.2 HIGH)·비인가 펌웨어 업그레이드 가능

CVE-2026-113404 Uniong WebITR하드코딩된 암호화 키를 이용한 안전하지 않은 역직렬화로 인증된 원격 공격자가 서버에서 임의 코드 실행, CVSS 8.8 HIGH

CVE-2026-113403·CVE-2026-113402 ArmorX Spam명령 주입으로 악성코드 업로드, 경로 탐색 기반 로컬 파일 포함(LFI) 가능, 인증된 원격 공격자 대상, CVSS 7.1 HIGH

CVE-2026-110725·CVE-2026-110306·CVE-2026-110180 등 Node.js fast-uri(4.2.2 이하 등)스킴 주입, 퍼센트 인코딩 스킴 위장, 호스트 혼동 등 URI 파싱 취약점 다수, 최신 버전으로 업데이트

CVE-2026-112148 LINE LIFF SDK(2.20.0~2.31.0)DOM 기반 XSS, 조작된 URL을 외부 브라우저로 열면 LIFF 앱 엔드포인트 출처에서 임의 자바스크립트 실행

CVE-2026-81983 Adobe Acrobat·Acrobat Reader범위 밖 쓰기(Out-of-bounds Write) 취약점, Acrobat 2024는 24.001.30429 이상 등 최신 버전으로 업데이트 (KISA 권고)

CVE-2026-96889 Vercel Next.js(15.5.28·16.4.1 미만)Use After Free 취약점, 15.5.28·16.4.1 이상으로 업데이트 (KISA 권고)

GLPI(11.0.8 이하)front/planning.php 비인증 SQL 인젝션(시간 기반)으로 민감 데이터 접근 가능, 익스플로잇 공개, 11.0.9로 업데이트

CVE-2026-113469·CVE-2026-113465 Stormshield SNS자동 업데이트 시 동적 데이터 파일 서명 검증 로직 오류로 미인증 업데이트 수용(CVSS 7.5 HIGH), 웹 관리 포털 DOM 기반 XSS

CVE-2026-92287 Apache Arrow C++·PyArrow(4.0.0~25.0.1)Parquet 복호화 시 파일이 지정한 KMS URL을 호스트 검증 없이 KmsClient로 전달, KmsClient 구현을 쓰는 환경 영향

CVE-2026-43836·CVE-2026-43844·CVE-2026-43838 등 연번 CVE 19건 일괄 공개(피드에 제품명 미기재, EdgeLink 언급)조작 패킷으로 최고 권한 명령 실행(CVSS 9.3), 자체 프로토콜 인증 우회(9.3), 로그인 스택 버퍼 오버플로 코드 실행(9.2) 등

CVE-2026-108087·CVE-2026-108086·CVE-2026-108089 등 Apache Cocoon(전 버전, CVE 지정 시점에 지원 종료)SQL 프로세서 SQL 인젝션, fp: 폼 프로세서 XML 엔티티 확장으로 SSRF·서버 파일 노출, 비인증 진단 인터페이스 접근 등

CVE-2026-113356 DokuWiki(2026-07-14c 이전)Draft::getDraftText()가 초안 파일을 클래스 제한 없이 unserialize, 편집 권한 사용자가 경쟁 조건으로 PHP 객체 주입 가능, 2026-07-14c로 업데이트

CVE-2026-113351 libexpat(2.7.2~2.9.0)XML_ParserReset이 힙 할당 추적값을 초기화하지 않아 대용량 XML 처리 후 같은 파서의 이후 문서가 메모리 오류로 실패하는 DoS

CVE-2026-113354 Dockhand(1.0.46 미만)stacks:edit 권한의 비관리자가 /api/system/files/content 경로 파라미터로 /etc/shadow·SSH 키 등 임의 파일 읽기, 1.0.46으로 업데이트

CVE-2026-113358 LavaLite CMS(10.1.2 이하)Filer 모듈 다운로드·표시 경로에 인증 누락, 비인증 공격자가 임의 디스크명·경로를 지정해 비공개 업로드 파일 탈취 가능

CVE-2026-113350 react-admin(5.15.5 미만)UrlField·FileField가 javascript: URI를 그대로 렌더링해 저장형 XSS, 관리자 인증 세션에서 스크립트 실행, 5.15.5로 업데이트

CVE-2026-9589 Unblu Spark(7.0~8.36.1-hotfix.0, 온프레미스·클라우드)Collaboration Server 설정 캐스케이드 작업의 권한 검증 누락, 인증된 원격 공격자가 권한 없는 엔터티의 설정 속성 조회·변경

CVE-2026-112786·CVE-2026-112785·CVE-2026-113349 등 OpenCATS(0.10.0 미만)권한 검증 누락 다수, READ 권한 사용자가 가져오기 데이터 일괄 롤백·삭제, 저장 목록·일정·활동 수정·삭제, SMTP 릴레이로 임의 메일 발송 등, 0.10.0으로 업데이트

CVE-2026-113352 uTox(0.18.1 이하)자동 수락된 파일 전송의 경로 탐색으로 Tox 친구가 쉘 시작 파일 덮어쓰기 등 임의 파일 쓰기 가능

CVE-2026-113390·CVE-2026-113391·CVE-2026-113389 등 DrayTek Vigor2960(1.5.1.6 Rev 8218)mainfunction.cgi OS 명령 주입·경로 탐색·무제한 파일 업로드 등 원격 공격 가능 취약점 6건, 익스플로잇 공개

CVE-2026-113620·CVE-2026-113619 Eclipse ioFog Controller(3.8.0~3.9.1)운영자 WebSocket이 JWT를 검증하지 않아 자체 발급 토큰으로 admin 권한 획득, 인증 전 Liquid 템플릿 렌더링

CVE-2026-105941 Kroxylicious Azure Key Vault KMS 제공자EDEK의 vaultName 검증 누락 SSRF로 프록시의 Azure 베어러 토큰 유출, 레코드 암호화 무력화

CVE-2026-34485·CVE-2026-34484 Nokia 1830 Global Express(GX)저권한 인증 사용자가 SSH 격리를 우회해 OS 셸 접근, 제한 셸에서 root 권한 상승 (기본 설정에서 발생)

CVE-2026-91041·CVE-2026-96582·CVE-2026-96406 FileX·USBX 임베디드 스택조작된 FAT 이미지 마운트 시 힙 범위 밖 쓰기로 명령 포인터 제어, USB 장치 디스크립터 파싱 범위 밖 읽기

CVE-2026-113470·CVE-2026-113399·CVE-2026-113400 등 Firefox 158.0.1손상된 eMudhra 중간 인증서 차단 목록(OneCRL) 내장, SVG 경계 조건 오류·cubeb 초기화되지 않은 메모리 등 수정

CVE-2026-14933 Unblu Spark(7.0~7.57.7, 8.0~8.39.2)임베디드 코브라우징 XSS, 비인증 방문자가 상담원 브라우저에서 임의 자바스크립트 실행

CVE-2026-113583 Cypht 웹메일(2.0.0~2.12.2)외부 이미지 허용 시 HTML 메일 이미지 태그의 alt·URL 값으로 DOM 기반 XSS, 원격 공격자가 임의 자바스크립트 실행

CVE-2026-106173 FortiSIEM비인증 gRPC 경로 탐색·널 바이트 주입으로 임의 파일 쓰기, /opt/charting/redishb.sh 등 스크립트 덮어써 코드 실행 가능한 치명적 취약점 (Horizon3 기술 분석 공개)

CVE-2026-113609 Bandizip(7.47 미만)압축 해제한 .ps1·.psm1 파일에 MotW(Mark-of-the-Web) 미전파, RemoteSigned 정책에서 서명 없는 PowerShell 스크립트가 실행돼 영역 기반 실행 보호 우회, 7.47로 업데이트

CVE-2026-113682 Networknt light-4j(2.1.5~2.4.0 미만)BasicAuthHandler가 빈 비밀번호로 비인증 LDAP 바인드를 유발해 알려진 사용자명만으로 LDAP/AD 위임 사용자로 로그인 가능, 2.4.0으로 업그레이드

CVE-2026-90800·CVE-2026-107755 Apache CouchDB(3.5.2 이하)접두어 붙은 _users·_replicator DB 전체를 비인가 API로 조회 가능(접두어 시스템 DB 사용은 드묾), 인증 사용자가 타인 복제 작업의 자격증명 열람, 3.5.3으로 업그레이드

CVE-2026-113610 Xen Orchestra(6.9.0 미만)xo-server user.set API 권한 우회로 저권한 인증 사용자가 다른 사용자의 TOTP 비밀값을 삭제해 2단계 인증 해제 가능, 6.9.0으로 업데이트

CVE-2026-113678·CVE-2026-113677·CVE-2026-113676 등 Froxlor(2.3.15 미만)root 권한 트래픽 cron의 심볼릭 링크 추종으로 고객 계정이 임의 호스트 디렉터리 소유권 획득, 리셀러 도메인 삭제·관리자 정보 열람 권한 우회, 2.3.15로 업데이트

CVE-2026-113606·CVE-2026-113605 Stirling-PDF(3.2.0 이하)처리 폴더를 서버 저장소로 지정해 인증 사용자가 타인 저장 파일 접근, 관리자가 조작된 SQL 백업 가져오기로 H2 제한 목록 우회

CVE-2026-113608·CVE-2026-113607 Moodle Configurable Reports 블록(5.3.1 미만)보고서 열람 권한 저권한 사용자의 filter_var 파라미터 SQL 인젝션, 권한 검사 실패 시에도 제한 보고서 데이터 반환, 5.3.1로 업데이트

CVE-2026-113613 FlexGet(3.20.7 미만)decompress 플러그인 Zip Slip, 피드로 전달된 악성 zip·rar 아카이브의 ../·절대 경로로 파이썬 파일 등 임의 파일 쓰기, 3.20.7로 업데이트

CVE-2026-0257 Palo Alto Networks PAN-OS·Prisma Access인증 우회로 비인가 VPN 연결 수립 가능, 5월 패치됐으나 6월부터 Qilin·INC 등 랜섬웨어 조직이 MFA 우회에 악용 중(Unit 42), CVSS 7.8

CVE-2026-113670·CVE-2026-113648·CVE-2026-113651 등 ApostropheCMS(4.33.0 미만 등)페이지 REST API 권한 우회로 비인증 방문자가 비공개 페이지 열람, import-export clean-export 경로 인증 누락, uploadfs 경로 탐색 등 취약점 다수, 4.34.0 등 최신 버전으로 업데이트

CVE-2026-113507·CVE-2026-113505 aaPanel(8.25.0 이하)X-Real-Ip 헤더 조작으로 접근 통제 우회, 다운로드 엔드포인트 filename 파라미터 경로 탐색 등 원격 공격 가능, 익스플로잇 공개

CVE-2026-92539 Grafana Enterprise(SCIM 활성화 시)한 조직의 사용자 관리 권한 서비스 계정이 SCIM API IDOR로 같은 인스턴스의 다른 조직 사용자를 조회·수정·비활성화·삭제 가능

CVE-2026-28328·CVE-2026-28329·CVE-2026-28330 SolarWinds Observability Self-Hosted권한 체계 결함으로 저권한 사용자가 권한 밖 정보 조회·수정(CVSS 8.8 HIGH), 인증 사용자의 SSRF·저장형 XSS