PHP2Shell(CVE-2026-109618·109619, CVSS 9.2) 미인증 원격코드실행: 긴급 패치 공개, 공격 시도 관측돼 유럽 공공기관 사이트 선제 차단

✅ 권고 조치PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35로 즉시 업데이트. 지원 종료 버전은 업그레이드하거나 외부 노출을 차단

팔로알토 PAN-OS 인증우회(CVE-2026-0257, KEV 등재): 패치 후에도 킬린·INC 랜섬웨어 조직이 MFA를 우회해 VPN으로 침투

✅ 권고 조치PAN-OS·Prisma Access 패치 여부 재확인, 비인가 VPN 세션과 측면 이동 흔적 위협 헌팅

LiteLLM 1.107.0 PyPI·Docker 공급망 공격: 자격증명 탈취기와 백도어 설치

✅ 권고 조치1.107.0 설치 여부를 점검하고 1.106.2로 고정. 감염 호스트의 SSH 키·클라우드 키·브라우저 비밀번호 등 자격증명 전면 교체

인도 인증기관 eMudhra 중간 CA 개인키 8개 유출: 구글·모질라·애플이 해당 인증서 차단

✅ 권고 조치브라우저·OS를 최신으로 업데이트하고, 자체 신뢰 저장소(trust store)에서 해당 중간 CA 제거 여부 확인

웅진컴퍼스 키즈 플랫폼 '놀이의발견' 관리 시스템 해킹: 회원 6만7000명 개인정보 유출

원주시 주민 1014명 개인정보 유출: 확인 후 닷새 뒤에야 시장 보고·개인정보위 신고

연세대 포털서비스 해킹: 재학생·졸업생 1만여명 학번·휴대전화번호·이메일 등 개인정보 유출, 수사 의뢰

웅진 '놀이의발견' 해킹으로 6만7000명 정보 유출, KISA·개인정보위 신고 및 경찰 수사 의뢰

원주시 주민 1014명 개인정보 유출, 늑장 보고 논란

[국감] 개인정보위 "유출 조사 전 자료 은닉·폐기에 제재 공백" (KT 서버 로그 삭제 사례), 법 개정 추진

북한 라자루스 '오퍼레이션 플래시홀': 국내 보안 프로그램 취약점으로 한국 기업 침투

리멤버, 명함 속 개인정보가 다른 회원 명함첩에 노출돼 개인정보위 조사 착수

CJ, 티빙 개인정보 유출 피해 보상 방안 지원 검토

코베이옥션 개인정보 유출 사과, 전체 회원정보 목록 조회돼

롯데카드 전·현직 CISO, 해킹 사고 '정직' 처분에 행정소송

국책연구기관 중요 서버 251대 중 21대 악성코드 감염, 연구보안 허점 지적

출연연 서버 100대 중 84대는 올해 보안취약점 점검 대상에서 빠져

중국발 AI 해킹도구 '아르텍스', 국내 금융권 침투 후 한국어 패치 변종 속출

최근 6년간 대학 해킹으로 유출된 개인정보 최소 297만 개

LG유플러스, 22일부터 유심 자동 보안 업데이트 시행 (사칭 스미싱 주의)

베트남에서 국내 항공사 여행기록 2480만건 노출 정황, KISA가 6월 확인했으나 베트남 당국은 넉 달째 '유출 정황 미확인' 회신만

경찰, 금융권 겨냥 연쇄 해킹을 중대범죄로 판단해 중대범죄수사청에 사건 통보

정보보호 공시 의무, 2027년부터 코스피·코스닥 전체 상장사와 공공기관·금융회사·전자금융업자로 확대 (시행령 국무회의 의결)

정부, 첨단산업 기술유출 차단 위해 산업통상부에 특별사법경찰 도입하고 범부처 수사 공조 강화 추진

한병도 민주당 원내대표 "은행 해킹 피해 입증 책임을 고객에게 떠넘겨선 안 돼", 피해자 보호 입법 추진

금융권 정보보호최고책임자(CISO) 10명 중 3명은 겸임, IT 인력 중 정보보호 인력 비중은 수년째 9%대에 머물러

OK저축은행, 해킹 이후 2차 정보 유출 발생: 금융위가 14일 전 금융사에 외부 접점 점검을 지시한 시점과 겹쳐 경영진 책임론

할리스, 고객 개인정보 276만건 유출 인지 후 늑장 신고 논란: 이주희 의원 "해킹 경위와 유출 인지 시점·신고 과정 철저히 조사해야"

해커 조직 N0n, 한진그룹 계열 IT 서비스 기업 한진정보통신 정보 탈취 주장: 랜섬웨어 추적 사이트 랜섬룩의 21일 게시 목록에 등록

개인정보처리방침의 수탁사 공개 의무를 두고 논쟁: 공개된 협력사 정보가 공급망 공격의 사전 정찰에 악용될 수 있다는 지적

스트라이커, 은행 공격 '사이버카르텔'의 AI 해킹 수법 분석: 클로드가 지휘하고 그록이 정찰하는 식으로 여러 AI 모델에 역할을 나눴고, 모델이 거부하면 악성코드 설치 방식으로 자동 전환

산업부, 산하기관엔 인증 점검 주문했으나 정작 본부 시스템은 다중인증 미흡 지적: AI 활용 대량 로그인 시도 등 자동화 공격은 별도 구분 없이 기존 홈페이지·디도스 통계에 포함해 집계

조정훈 의원, 국감서 공공기관 개인정보 유출 손해배상 책임 명확화와 사이버보험 가입 의무화 제안

AI 활용 해킹으로 금융권 정보 유출 잇따르자 예가람·OK저축은행 등 중소형 금융사, 금융보안원 사원사 가입 검토

통신 3사 유심 교체·업데이트 등 보호조치에도 상당수 이용자가 조치 미완료, 보호 사각지대 지적

홍범식 LG유플러스 대표 국감 재출석, 해킹 의혹 관련 서버 고의 폐기 의혹 질의 예정

신용정보법 과징금 부과기준 개편: 위반 정도에 따라 부과율 1~100% 차등화, 반복 위반·대규모 신용정보 유출은 가중하고 피해 복구 조치는 감경

롯데케미칼 공사관리시스템 'ECOMS' 유출 피해자 1만5,631명 중 퇴직자 5,022명 포함, 일부는 유출 통지 누락: 손명수 의원, 퇴직자 정보 보관 근거 지적

농협·수협·산림조합 중앙회·은행, 2025년 정보보호 예산 1,230억 원 중 887억 원만 집행(집행률 72.1%): 윤준병 의원 지적

무신사, 외부 모의해킹에서 발견한 취약점 75건을 개선했다고 보고했으나 29CM 개인정보 유출과의 연관성은 확인되지 않았다는 지적

원전 사이버보안 규제인력 19% 감소, 3년 연속 증원 승인 0명

연세대 포털 외부 비인가 접근으로 재학생·졸업생 1만여명 학번·휴대전화번호·이메일 등 유출, 주민등록번호·성적은 미포함, 유출 경로 차단 후 수사 의뢰

MS "중국 연계 해커, 한국 은행 공격에 쓰인 AI 모의침투 도구 '아르텍스'로 미 IT 서비스업체 커넥트와이즈 등 전 세계 수백 곳 침해"

금감원, 두나무 블록체인 '기와' 사칭 가짜 토큰 사기에 소비자경보: 개발사 공식 계정에 없는 '기습 출시'·에어드랍·사전참여 이벤트 홍보는 사기·피싱 수법 가능성

[국감] 국립항공박물관 회원 1만1029명 개인정보 유출, 박물관 교육 안내번호를 도용한 스미싱 문자 1만970건 발송 시도 중 1980건 실제 전송

뉴질랜드 의료기기 기업 피셔앤페이켈 헬스케어 사이버공격 피해, 조사 착수

트럼프 대통령, 백악관 사이버범죄 대책회의에서 2025년 미국인 사칭 사기·랜섬웨어·사기 콜센터 피해 200억달러 이상 언급: 외국 사기조직 연계 자금 10억달러 동결

놀유니버스, 외부 공격으로 임직원 개인정보 유출: 공격자가 시스템 취약점을 이용해 임직원 정보 조회 기능에 침투, 피해 명단에 2018년 퇴사자 정보도 포함

일본축구협회 공식 앱 'JFA 패스포트' 15시간 넘게 무단 접근 허용, 일부 서비스 일시 중단하고 개인정보 유출 여부 조사

부산고법, 판결문 비실명화 누락으로 개인정보 14건 유출: 명의도용·보이스피싱 등 2차 피해 주의 당부

빗썸, 기술지원이 끝난 운영체제를 아직 사용 중이며 전환 작업 진행 중, 가상자산사업자 첫 갱신 심사도 마무리 못 해

이찬진 금감원장, 은행 거래용 설치형 보안프로그램이 해킹 통로가 될 수 있다는 국감 지적에 "금융위·관계기관과 논의하겠다"고 답변

국방부 대상 사이버공격 5년간 7만5000건, 올해 침해 시도 1만8800여건으로 이미 지난해 연간 규모 수준이며 악성코드 악용 시도는 6배 증가

[국감] 은행권 IT 예산은 12% 늘었지만 보안 투자 비중은 오히려 감소

이찬진 금감원장, 보이스피싱 자율배상 비율이 낮다는 국감 지적에 "판례 기준을 적용하도록 금융권 지도하겠다"고 답변: 지난해 금융권 자율배상 실적은 10억8000만원에 그쳐

증권사 IT 투자는 늘었지만 정보보호 예산 비중은 금융업권 중 최하위, 일부 증권사는 보안 인력도 감축 (국회 국감 자료)

미래에셋자산운용, 정보보호 인력·예산 비중 모두 감소: 금융권 해킹·유출 잇따르는 가운데 대형 운용사 보안 체계 점검 필요성 제기

경찰, CFS 고소로 수사한 '쿠팡 블랙리스트' 문건 유출 사건에서 공익제보자 등 2명을 정보통신망법 위반 혐의로 송치

은행 19곳 중 9곳은 보안프로그램을 설치하지 않으면 인터넷뱅킹 이용 불가, 의무 설치 프로그램에서 취약점도 발견돼 공격 통로가 될 수 있다는 지적 (손명수 의원 자료)

일본 보안기업 분석: 한국·일본 기업과 금융권 공격에 쓰인 것으로 추정되는 AI 해킹도구 '아르텍스', 웹사이트 취약점 진단부터 개인정보 유출까지 약 15초 소요 (요미우리 보도)

정부 IP카메라 '전주기 보안' 대책, 설치업체가 여러 고객 장비에 같은 인증정보를 설정하는 관행 등 핵심 위험 관리가 빠졌다는 지적: 계정 하나만 유출돼도 다른 설치 현장까지 침입 가능

외교부 산하 한국국제교류재단(KF), 메일시스템 해킹으로 개인정보 유출: 19일 사이버 보안 점검 중 침해 정황 확인, 국립외교원에 이은 외교부 산하기관 해킹 피해

방미심위, 민원인 정보 외부 유출 건으로 개인정보 보호법 위반 혐의 검찰 송치된 직원을 기획조정실장에 보임한 뒤 9일 만에 수사의뢰 철회: 최형두 의원 지적

보이스피싱 콜센터 소재 비중이 높은 4개국으로 5년간 해외 송금 3조원, 해당 국가 송금인의 지급정지 계좌 현황도 집계 (한국일보 단독)

과기정통부·KISA, PHP2Shell 취약점 대규모 해킹 우려로 22일 정오부터 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 상향: 인터넷에 유포되는 가짜 공격 시험 코드(PoC)에 악성코드가 숨겨진 사례가 많아 실행 주의 당부

산업은행, AI 활용 공격에 대비한 모의해킹 연습 0건으로 정보보호 관리 미흡 지적

'따릉이' 개인정보 유출 관련 서울시설공단 상대 손해배상 소송, 11월 첫 변론: 원고 측은 공단이 유출 정황을 약 2년간 은폐해 개인정보 보호법상 통지의무를 위반했으며 최대 5배 징벌적 손해배상이 가능하다고 주장

금융보안원, 핀테크·온라인투자연계금융업자 등 중소금융사 약 300곳에 무료 보안 지원 추진: 금감원 공동 불시 모의훈련 참여, 사이버 훈련망에서 모의 공격 탐지·방어 능력 점검 등 검토

[국감] 김종철 "해킹 피해 보상 미흡하면 방미통위 개입": 해킹·개인정보 유출 담당 기관이 달라도 피해는 이용자에게 돌아간다며 방미통위가 이용자 보호에 적극 나서야 한다는 의원 지적에 답변

카스퍼스키, MS 보안 업데이트의 맹점을 노린 신종 부트킷 포착: 부트 섹터를 감염시켜 OS 부팅 전 단계부터 활동

금융권 AI 해킹 공격으로 현대캐피탈·산은캐피탈에서 개인정보 유출 사고가 발생하자 여신업계 전반이 보안 인력 확충과 인증 절차 개편에 나서

국가아동권리보장원장, 국감서 실종아동·입양인 등 개인정보 유출 사고 사과: 개인정보위는 8월 과징금 8억6300만원·과태료 2220만원 부과, 복지부도 관리·감독 책임 자성

우체국 우편물 도착안내서를 악용하는 '레터 피싱' 기승: 우정사업본부, 안내서에 '우체국은 개인정보를 요구하지 않는다' 문구 추가해 대응

베트남 우리은행 고객, OTP를 입력하거나 공유한 적 없는데 205만원 부정결제 피해 주장: 8월부터 부정결제 시도 문자가 이어졌으며, 은행은 'OTP 인증된 정상거래'라는 입장

충청권 대학 개인정보 1만5800명 유출·노출, 대학 사칭 피싱·신원 도용 등 2차 피해 우려

학교 구글 계정 11만2890개 해킹 피해에도 139만 개(전체 28%)는 비밀번호 미변경, 지역별로는 대전 7만4246개로 최다: 실제 개인정보 유출 여부·범위는 미확인

[국감] 이주희 의원 "구글에서 성착취 피해자 개인정보 여전히 검색돼": 구글의 유출 정보 삭제 시점과 피해자 통지 미흡 질타

한국전력기술, 원전 도면 방치·영업비밀 노출 등 기술정보 관리 허점 지적: 2024년 원자로 설계자료 무단 유출에 이어 지난해 엔지니어링 데이터베이스 접근권한 문제도 제기

개인정보위, PHP2Shell 관련 공공기관·민간기업 등 개인정보처리자에 긴급 보호조치 당부: 웹서버 장악 시 연계 DB의 개인정보 대량 유출 우려, 홈페이지 연계 개인정보 DB 접근권한 최소화 권고

PHP2Shell 영향 구버전 PHP를 쓰는 국내 인터넷 연결 서버 2만4천5백여 대, 상당수는 보안 수정판이 제공되지 않는 지원 종료 버전 (프랑스 보안업체 분석, 전 세계 88만3천여 대)

중국 연계 추정 해킹조직 '브론즈 샌드캐슬', 아시아·아프리카 기관·기업 대상 사이버 첩보 활동: 정상 프로그램으로 악성코드를 실행하고 암호화된 백도어를 메모리에서 구동해 탐지 회피, 한국도 피해 가능 국가로 지목 (소포스 분석)

새마을금고, 해킹으로 고객정보 400여건 유출(1차 공격은 차단, 2차 공격 방어 실패) 뒤 늦은 신고 논란, 이중 감독체계 문제 제기

'온라인 주민번호' 역할을 하는 연계정보(CI)는 한 번 정해지면 사실상 평생 못 바꿔, 유출 사고가 쌓이면 개인정보가 결합될 수 있다며 유출 즉시 변경할 수 있게 해야 한다는 지적

폴카닷 서드파티 지갑 Fearless 브라우저 확장 프로그램 3.0.1·3.0.3~3.0.5 버전에 악성코드 포함돼 개인키 유출 위험: 폴카닷 커뮤니티 재단 경고, 8명 신고·17,286 DOT 연루

윈도우 기본 명령어 'finger'를 악용한 신종 클릭픽스(ClickFix) 공격으로 정보탈취 악성코드 유포: 구글 검색으로 유입된 사용자를 가짜 보안 확인 페이지로 유도해 악성 명령을 직접 실행하도록 속여

캡콤, 해킹으로 CAPCOM ID 이메일 등 1177만 건 유출: 긴급 조치를 마치고 공격 수단을 파악해 대응했으며 피해 이용자에게 순차적으로 개별 연락

[단독] '금융상품 설명만 들어도 3만원 지급'을 내세운 농협 사칭 의심 전화 확인: 금융당국은 유출 개인정보로 금융회사 직원을 사칭하는 보이스피싱·스미싱 2차 피해에 대비해 소비자경보 '주의'와 특별대응기간 운영 중

저축은행 정보보호최고책임자(CISO) 56%가 겸임: AI 활용 사이버공격으로 금융사 정보 유출이 잇따르는 가운데 보안 인력 투자 강화 필요성 지적 (강민국 의원 자료)

북한 IT 인력이 국내 업체에 위장 취업해 개발 업무까지 맡은 사례 첫 확인, 수사 중: 개발한 소프트웨어에 악성코드를 심을 수 있다는 우려 제기

[단독] 한전 개인정보 유출 피해자, 당초 발표보다 1만여 명 더 많아: 2022년부터 올해 9월까지 탐지·차단된 사이버공격 시도는 123건

라이트닝 노드 구현체 이클레어, 자금 탈취로 이어질 수 있는 취약점 패치: 닷새 사이 두 번째 보안 릴리스, 노드 운영자는 채널을 닫지 않고 업그레이드 가능

의료기관 해킹 피해의 89%가 병·의원, 보안관제 가입은 7만5560곳 중 5곳: 누적 133건 중 121건이 랜섬웨어였고 원격 유지보수용 접속이 주된 침입 통로

보이스피싱 피해금을 가상자산으로 환급받는 길 열려: 가상자산 거래소도 보이스피싱 의심 자금 유통을 상시 감시하고 범죄 의심 시 즉시 계정 지급정지해야

일본 자민당, '사이버 유사시 전야' 인식하에 사이버 공격 대응 체계 전면 개편 제언: 불법 취득 암호자산 추적 강화 포함

CVE-2026-109618·CVE-2026-109619 PHP2ShellCVSS 9.2, 미인증 원격코드실행, 공격 시도 관측

CVE-2026-0257 팔로알토 PAN-OS·Prisma Access 인증우회CVSS 7.8, KEV 등재, 랜섬웨어 조직이 실제 악용

Plex Media Server 'Plex2Shell' 취약점 4건 (CVE-2026-96652 등)CISA KEV 등재, 연쇄 악용으로 원격코드실행

CVE-2026-106173 Fortinet FortiSIEM 경로 탐색CVSS 9.4, 미인증 원격코드실행, 공개 PoC 나와

CVE-2026-113380 Signal RingRTC통화 종료 후에도 마이크·카메라가 켜져 있을 수 있음, 2.72.0에서 수정

CVE-2026-114493 LocalAI v4.6.0~v4.11.0 SSRF 방어 우회CVSS 9.2 (CRITICAL)

CVE-2026-76490 Cisco Expressway 범위 밖 쓰기(Out-of-bounds Write)CVSS 8.6, 10월 하드닝 릴리스에서 수정

CVE-2026-76505 Cisco IOS XR (ASR 9000 계열) 조작된 IPv4 패킷으로 라인카드 리셋미인증 원격 서비스거부(DoS)

CVE-2026-110936 지멘스 소프트웨어 센터CVSS 4.0 8.4, 실제 악용 확인: 정식 서명 프로그램을 악성 파일과 결합해 악성코드 실행, 4.0.9.8에서 수정

CVE-2026-111811·CVE-2026-111813·CVE-2026-111812 등 Apache Traffic Server 취약점 6건실험적 플러그인의 미인증 캐시 읽기·쓰기·삭제, ImageMagick 인자 제어, 프록시 IAM 자격증명으로 공격자 지정 AWS 헤더 서명 등, 8.x~10.2.0 영향, 업그레이드 권고

CVE-2026-112408 Amazon SageMaker Python SDK default_bucket() 버킷 소유권 미검증버킷 선점으로 실행 환경 내 코드 실행·IAM 자격증명 탈취 가능, V3 3.10.0·V2 2.257.3에서 수정

CVE-2026-114438 Keycloak 필수 OTP 등록 우회렐름에서 'Update User Locale' 필수 작업이 'Configure OTP'보다 앞서 설정되면 로그인 시 MFA 등록 강제가 적용되지 않을 수 있음

CVE-2026-114509 Laravel TokenGuard 인증 우회 등 2건MySQL·MariaDB 환경에서 문자열이 아닌 조작된 API 자격증명으로 미인증 공격자가 기존 사용자로 인증될 수 있음. CVE-2026-114508은 읽기 권한 사용자가 연관 테이블 데이터 삭제 가능, 12.68.0·13.29.0으로 업데이트 권고

CVE-2026-96778·CVE-2026-96644·CVE-2026-96639 등 Pillow 취약점 9건JPEG 인코딩 힙 버퍼 오버플로, Windows WMF/EMF 힙 과다 읽기, 압축 폭탄 검사 우회 서비스거부 등, 13.0.0에서 수정

CVE-2026-82987 ViewSonic ViewBoard vCast 미인증 화면 캡처원격 공격자가 인증 없이 /snapshot·/screen 엔드포인트로 현재 화면 내용을 JPEG로 탈취 가능

CVE-2026-76298·CVE-2026-76297·CVE-2026-76295 등 Splunk Enterprise 10월 보안 업데이트admin·power 역할이 없는 사용자가 하드코딩 암호키로 PostgreSQL 사이드카 슈퍼유저 비밀번호를 유추해 서치헤드 클러스터에서 OS 명령 실행 가능, Federated Search CSRF·Secure Gateway SPL 인젝션 등, 10.4.4·10.2.8 등으로 업데이트 권고

CVE-2026-76406·CVE-2026-76307·CVE-2026-76306 등 Splunk SOAR 취약점 다수암호화된 자격증명 데이터를 확보한 미인증 사용자가 REST API로 복호화 가능, 저권한 사용자가 REST API 쿼리 필터로 타 사용자 인증 토큰·비밀번호 해시를 유추해 관리자 권한 획득 가능 등, 8.7.0에서 수정

CVE-2026-100420 TP-Link Deco BE63 클라우드 클라이언트 데몬 정보 노출인증된 공격자가 TP-Link ID 계정 비밀번호를 평문으로 획득해 연동 클라우드 계정 장악 가능

CVE-2026-105777·CVE-2026-112212·CVE-2026-15723 등 GitLab 취약점 11건미인증 사용자의 내부 서버 자격증명 탈취, 공유 캐시의 OAuth/OIDC 디스커버리 문서 오염, SAML·LDAP 자동 연결 시 기존 계정 탈취 등, 19.5.1·19.4.3·19.3.6에서 수정

CVE-2026-89052 TP-Link Archer C6 하드코딩 AES 키기기 공통 암호키 사용으로 암호화된 설정 파일을 확보한 공격자가 평문 자격증명 복구 가능

CVE-2026-114724·CVE-2026-114727·CVE-2026-114726 등 Roundcube Webmail 취약점 6건세션 역직렬화 PHP 객체 주입, 연락처 사진의 SVG·EPS를 ImageMagick에 넘기는 안전하지 않은 처리, 메일 헤더 인젝션 등, 1.6.20·1.7.5에서 수정

CVE-2026-114664 Frappe Framework get_events 블라인드 SQL 인젝션인증된 공격자가 조작된 입력으로 DB 쿼리 결과 유추 가능, 16.33.0에서 수정

CVE-2026-114639·CVE-2026-114656·CVE-2026-114635 등 Traefik 취약점 9건Negotiate 인증된 백엔드 연결 풀 공유로 미인증 공격자 인증 우회, 부정(!) Host 매처로 클라이언트 인증서(mTLS) 검사 우회, HTTP/2 :scheme 조작으로 SNI 검사 우회 등, 2.11.58·3.7.14로 업데이트 권고

CVE-2026-114658 Grav Login 플러그인 login.invite 권한 상승인가 검증 누락으로 페이지 작성자가 초대 양식을 정의해 슈퍼유저 계정 획득 가능, 3.9.13에서 수정. Grav 본체 CVE-2026-114657은 Twig로 방문자 HTTP Basic 자격증명 탈취 가능, 2.2.5에서 수정

CVE-2026-114634 WWBN AVideo 블라인드 SSRFgetHeaderContentTypeFromURL()이 리다이렉트 대상을 재검증하지 않아 인증된 업로더가 내부망 요청 유발 가능, 29.4.0에서 수정

CVE-2026-110354·CVE-2026-110353 HAProxy 서비스거부미인증 원격 공격자가 조작된 HTTP/1.1 청크 요청이나 잘린 HTTP/2 PING 프레임으로 워커 스레드 CPU 고갈 유발, 3.4.6에서 수정

CVE-2026-96376 Drupal Cloud 모듈 OS 명령 인젝션 등 Drupal 기여 모듈 보안 권고 19건Project Browser·Tawk.to CSRF(Critical 등급), REST & JSON API Authentication·Stop administrator login 인증 우회 등, 해당 모듈 최신 버전으로 업데이트 권고

CVE-2026-111958 Royal MCP 워드프레스 플러그인 인증 우회미리보기 링크 토큰이 발급된 미리보기에만 제한되지 않아 토큰을 얻은 누구나 소유 사용자(기본 설정에선 관리자)로 REST API 전체에 인증 가능, 1.5.7에서 수정

CVE-2026-109987 PixelYourSite(Free·Pro) 워드프레스 플러그인 미인증 저장형 XSS쿠키 값을 이스케이프 없이 출력해 전체 페이지 캐시를 쓰는 사이트에서 미인증 공격자가 캐시에 스크립트 저장 가능, Free 11.4.3·Pro 12.6.8에서 수정

CVE-2026-97328 WebP Express 워드프레스 플러그인 미인증 저장형 XSS기본값이 아닌 이미지 전송 모드에서 내장 HTML 파서가 속성 값을 이스케이프하지 않아 미인증 사용자가 저장형 스크립트 삽입 가능, 0.25.16에서 수정

CVE-2026-114219·CVE-2026-114221·CVE-2026-114222 등 NewType Infortech NT OneAPP 취약점 5건CVSS 9.1 CRITICAL, 하드코딩 암호키로 미인증 원격 공격자가 로그인 요청을 복호화해 평문 자격증명 획득 가능, 딥링크로 앱 PIN 잠금 우회, 서버 인증서 미검증 중간자 공격 등

CVE-2026-114570 WordPress Core 7.0.2 이하 Quick Edit 저장형 XSS사용자 표시 이름 이스케이프 미흡으로 기여자(Contributor) 이상 인증 사용자가 스크립트 삽입 가능

CVE-2026-100142 FluentCart 워드프레스 플러그인 IDOR체크아웃 시 선택한 저장 주소의 소유자를 검증하지 않아 미인증 공격자가 다른 고객의 우편 주소를 조회 가능, 2.2.0에서 수정

CVE-2026-112327 Amelia 워드프레스 예약 플러그인 SQL 인젝션CVSS 9.3 CRITICAL, 2.4.11 이하 영향

CVE-2026-114458·CVE-2026-114460·CVE-2026-114459 등 Apache mod_qos 취약점 4건미인증 원격 공격자가 연결 모니터링 배열 경계 미검증을 이용해 힙 버퍼 오버플로·서비스거부 유발, JSON 본문 병합 시 쿼리 문자열이 잘려 보안 규칙 검사 우회, 응답 본문 검사 중 범위 밖 읽기 등

CVE-2026-93471·CVE-2026-86696 dropbox esaml(Erlang SAML 라이브러리) 서비스거부미인증 공격자가 조작된 압축 SAMLResponse로 서버 메모리를 고갈시키거나 서명 없는 LogoutResponse 상태 코드로 atom 테이블을 고갈시켜 Erlang VM 중단 가능

CVE-2026-45266 Nextcloud Talk 교차 룸 시그널링 인젝션룸 참여 여부 검증 없이 세션 ID만 신뢰해 저권한 참가자가 다른 룸에 제어 메시지·WebRTC 시그널링을 주입, 도청·무단 접근 가능

CVE-2026-91403 Oracle JavaCVSS 9.1, 정기 업데이트(CPU)와 별도로 긴급 보안 경고(Security Alert) 발표

CVE-2026-115207 GNU patch 역적용(reversal) 대체 경로의 파일명 검증 우회조작된 패치 파일을 적용하도록 유도하면 패치 헤더의 절대 경로로 작업 디렉터리 밖에 임의 파일 생성 가능, 자동화 워크플로도 영향

CVE-2026-112832 Rootblox 워드프레스 플러그인 로컬 파일 포함(LFI)CVSS 9.8 CRITICAL, 1.0.6 이하 영향

CVE-2026-115330·CVE-2026-115333·CVE-2026-115334 등 Lotus(오픈소스 사용량 과금 플랫폼) 0.10.2 이하 취약점 6건인증된 조직 사용자가 커스텀 메트릭 쿼리로 임의 SQL 실행, API 키 접두사만 검증해 비밀값 없이 이벤트 전송 가능, 다른 조직 UUID로 조직 무단 가입 등

CVE-2026-115328 JSON-SCADA OPC HistoryRead API SQL 인젝션인증된 사용자가 NodeId·시작·종료 시간 파라미터로 다중 구문을 주입해 데이터 조회·변조 가능, 0.65-alpha에서 수정

CVE-2026-115324 mem0 Databricks 벡터 스토어 SQL 인젝션0.1.117~1.0.8 이전 버전, 공격자가 저장되는 메모리 텍스트·메타데이터를 조작해 이스케이프되지 않은 insert·update 쿼리에 SQL 주입 가능, 1.0.8에서 수정

CVE-2026-111079 Goose AI 에이전트 셸 기록 유출터미널 통합 기능 사용 시 셸 명령 기록을 정제 없이 LLM 제공자 엔드포인트로 전송해 명령에 입력한 API 토큰·비밀번호 등이 외부로 넘어갈 수 있음

CVE-2026-102785 YOOtheme Pro(Joomla 확장) 미인증 원격코드실행공개된 이미지 변환 처리기가 이미지 연산과 출력 경로를 요청 서명에 완전히 묶지 않아 미인증 원격 공격자가 악용 가능, 5.0.x 영향

CVE-2026-92709 Rsyslog omfile dynaFile 경로 탐색1.15.0~8.2610.0 영향, 동적 출력 경로 템플릿을 쓰는 배포에서 root 권한 임의 파일 쓰기를 거쳐 원격코드실행으로 이어질 수 있음

CVE-2026-94502·CVE-2026-85079 등 EmberZNet(Zigbee 스택) 9.1.1 이하 취약점CVSS 7.5 HIGH, 네트워크에 이미 가입한 장치가 조작된 메시지로 범위 밖 쓰기를 일으켜 원격코드실행 가능, 무한루프·무한재귀 서비스거부 등 함께 공개

CVE-2026-113582 Apache Abdera XXE공격자가 제어하는 Atom XML을 파싱하는 애플리케이션에서 민감 데이터 접근·서버측 요청 위조 가능, 전 버전 영향이나 은퇴한 프로젝트라 패치 없음

CVE-2026-114485·CVE-2026-114486·CVE-2026-114487 Devolutions Server 취약점 3건위임된 사용자 조회 권한을 가진 인증 사용자가 사용자 목록 API로 전 사용자의 MFA 비밀값 획득, 비관리자가 Devolutions Gateway 네트워크 접근 규칙 우회 등, 2026.3.10.0 이하 영향

CVE-2026-94482 Next.js App Router 서비스거부Server Action이 하나라도 있는 앱에 조작된 요청을 보내 CPU 과다 사용과 같은 프로세스의 후속 요청 처리 차단 유발, 13.0.0부터 영향, 15.5.28·16.4.1에서 수정

CVE-2026-111181 body-parser 서비스거부기본 설정에서도 압축된 요청 본문 뒤에 붙은 바이트로 단일 요청만으로 Node.js·Express 애플리케이션 중단 가능, 1.20.9·2.4.0에서 수정

CVE-2026-113872 multer 서비스거부비동기 fileFilter 사용 시 필터 처리 중 요청이 중단되면 단일 요청으로 Node.js 프로세스 중단 가능, 2.0.0부터 영향, 2.5.0에서 수정

CVE-2026-115482 lsquic HTTP/3 헤더 버퍼 메모리 고갈CVSS 7.5 HIGH, 버퍼링되는 헤더 세트 수 제한이 없어 QPACK 증폭 공격으로 과도한 메모리 사용 유발, 4.9.0에서 수정

CVE-2026-114603 OpenTelemetry Python(opentelemetry-api) tracestate 파싱 결함수신 W3C tracestate 헤더를 제한 없는 공백 정규식으로 파싱하는 문제, 1.45.1에서 수정

CVE-2026-16477 CleanShot X(macOS) .cleanshot 프로젝트 파일 안전하지 않은 역직렬화조작된 파일을 열도록 유도하면 내장된 페이로드가 자동 실행