PHP2Shell(CVE-2026-109618·109619, CVSS 9.2) 인증 없이 원격 코드 실행, 실제 공격 진행 중공개 4일 전부터 악용 시도, 정부 사이버위기 경보 '주의'로 격상

✅ 권고 조치PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35로 즉시 업데이트, 10/17 이후 웹서버 로그 소급 점검

깃랩 CVE-2026-110264(CVSS 10.0) 로그인 없이 원격 코드 실행2014년 7.0 이후 전 버전 영향, KISA 패치 권고

✅ 권고 조치자체 관리형 GitLab 최신 패치 버전으로 즉시 업그레이드(10/12 패치를 적용한 서버도 다시 업데이트)

LiteLLM 1.107.0 공급망 공격(PyPI·Docker)자격증명 탈취 악성코드와 백도어 유포

✅ 권고 조치1.106.2로 되돌리고, 클라우드·API 자격증명 교체 및 유출 흔적 점검

중국 Storm-0940, AI 에이전트 'ARTEX'로 ConnectWise 공급망 침해클라우드 테넌트 2,250곳 노출, 한국 금융권 공격에 쓰인 도구와 동일

✅ 권고 조치ConnectWise 연동 OAuth 앱 권한 점검(Microsoft 권고 참고)

연세대 포털 해킹재학생·졸업생·교직원 1만5천여 명의 학번·연락처 유출

국립항공박물관 회원 1만1,029명 개인정보 유출교육 안내번호로 스미싱 문자까지 발송(국감 지적)

북한 인터넷 접속 장애 원인은 디도스(DDoS) 공격미 네트워크 모니터링 업체 켄틱 분석, 20일부터 베트남·베네수엘라 등에서 대규모 트래픽이 같은 시점에 급증, 공격 주체는 미확인

과기정통부·KISA, PHP2Shell 대응해 민간 사이버위기 경보 '관심'→'주의' 격상, 기업 대응 수칙 배포

금융보안원, PHP 취약점 관련 금융사에 보안권고 발령웹 API·대고객 포털 즉시 점검

개인정보위, PHP2Shell 관련 개인정보처리자에 DB 접근권한 최소화 등 보호조치 권고

한국국제교류재단 대량메일 서버 침해이메일 약 22만7천 건 유출 조사

놀유니버스, 시스템 취약점 악용으로 임직원 개인정보 유출

학교·교육청 구글 계정 11만 개 해킹 피해, ID·비밀번호 유출

웅진컴퍼스 '놀이의발견' 회원 6만여 명 정보 유출, 수사 의뢰

한전 협력업체 직원 1만 명 추가 유출 확인전체 피해 3만5천여 명으로 늘어

롯데케미칼 ECOMS 유출 피해자 가운데 퇴직자 5,022명 포함, 일부는 통지 누락

개인정보위, 원주시 주민 개인정보 유출 사실 확인 착수(72시간 초과 신고 경위 포함)

해커조직 N0n, 한진정보통신 정보 탈취 주장

북한 IT 인력의 한국 기업 취업 첫 확인, 수사 중

KT 해킹 피해자 4,719명, 유심 교체·보호서비스 모두 미적용(국감)

금융권 정보보호 인력이 IT 인력의 9.6%에 그쳐, CISO 4명 중 1명은 겸직

의료기관 해킹의 89%가 병·의원, 보안관제 가입은 7만5,560곳 중 5곳

KB국민은행·신한은행, 고객 개인정보 유출 사고 전 보안 자체점검에서 '취약점 없음'으로 당국에 보고한 것으로 드러나금융당국 점검 실효성 논란

삼성 스마트TV, 추적 거부 버튼을 눌러도 백그라운드에서 추적 서버와 통신 지속데이터가 암호화돼 실제 개인정보 유출 여부는 미확인

금융당국, 금융권 해킹 사고에 과징금 제재 본격화제재 대응에 인력·예산이 쏠려 예방 투자가 밀릴 수 있다는 우려도

할리스 고객 개인정보 276만 건 유출과거 데이터 관리 부실 논란

청와대, PHP2Shell 대응 민·관·군 사이버안보 긴급대책회의 개최국가안보실 3차장 주재

중수청, 금융권 연쇄 해킹 사건 '수사 불개시' 결정사이버수사과의 수사 범위를 주요 판단 근거로 삼은 것으로 파악

금감원, KB금융·국민은행 정기검사 2주 연장국민은행은 9월 30일 직원용 모바일 업무지원시스템에 대한 외부의 비정상 접근으로 고객 119명 개인(신용)정보 유출 확인

정부출연연구기관, 올해 보안 취약점 점검 대상 서버가 전체 보유 서버의 15.9%에 그쳐연례 점검 지침에도 대상 선정 방식 탓에 서버 80% 이상이 점검에서 빠져

국가아동권리보장원, 실종아동·입양인 117만명 개인정보 분실수사 진행, 국회서 유출 신고·통지 의무 지적

네트워크·보안기업 태광네트웍정보, 해킹에 따른 정보유출 공식 확인랜섬웨어 조직 에베레스트(Everest)가 내부 자료 약 263GB 탈취 주장

해킹에 따른 중소기업·소상공인 개인정보 유출 과징금·과태료 1년 새 27배 가까이 급증클라우드 공급망 해킹으로 영세 업체 연쇄 피해

과기정통부 산하기관 15곳, 비공개 처리한 PDF 문서의 가림 부분이 생성형 AI로 판독돼 개인정보·평가정보 노출국감 지적

금융권 국감, 해킹 인지까지 신한은행 15시간·국민은행 67시간 걸린 늑장 대응 지적유출 정보의 보이스피싱 악용 우려, 피해 보상 시 고객에 입증 책임 전가 문제도 제기

행안부, PHP2Shell 관련 지자체·공공기관에 PHP 보안 패치 적용 안내 긴급 공문 발송

수원 도심 도로에 흩어져 수사기록 유출 우려를 낳은 '검찰 서류', 시험 출제 참고용 가상 자료로 확인실제 개인정보가 없어 경찰 불송치, 배출처는 미확인

해킹 사태 이후 은행 사칭 신종 피싱 잇따라하나은행 이름·로고를 도용한 피싱 시도 확인, 고객 주의 당부

한국은행 대상 해킹 공격 시도 2020년 이후 3,076건, 지난해 30건에서 올해 9개월간 136건으로 급증정보보호 인력은 14명에 그쳐(국감 지적), 한은은 거액결제망 분리 방침 밝혀

해수부·항만공사, 민간 컨테이너터미널 운영시스템(TOS) 사이버보안 사각지대 방치국감 지적, 2023년 나고야항 랜섬웨어로 화물 반출입이 이틀 넘게 중단된 사례 거론

PHP2Shell 패치 공개 36시간 뒤 국내 기업 패치 대상 서버의 적용률 약 3.8%, 96%는 아직 미적용(보안뉴스·에스케어 조사, 23일 오전 11시 기준)

국회 과방위 종합감사, PHP2Shell 정부 대응이 느리고 안일하다고 여야 질타KISA는 공공기관 PHP 취약 버전 사용 현황을 아직 파악하지 못했다고 답변, 배경훈 부총리는 범부처 종합대책 마련 방침 밝혀

국내 PHP 취약 우려 서버 약 11만 건 추산보안업계, 보안 업데이트와 함께 침해 흔적 점검 필요

국내 학회·협회 회원 개인정보 외부 해킹으로 유출이름·이메일·휴대전화번호·주소 등, 피해 규모 약 3만~5만명 추정

해킹 사고로 유출된 유심을 교체하지 않고 쓰는 사용자 157만명KT는 악성코드가 확인된 서버에 로그가 남지 않아 추가 유출 가능성을 배제하지 못하는 상황

캄보디아에서 국내 송환된 '노쇼 사기' 조직원 10명 전원 실형 선고

롯데카드, ISMS-P 인증을 받은 지 2주 만에 해킹으로 고객 297만명 신용정보 유출과방위 종합감사에서 정보보호 인증제도 실효성 지적(최형두 의원)

개인정보 유출 기업이 피해자 배상·보상에 먼저 나서면 과징금을 줄여주는 '피해구제형 과징금 감면제도' 도입 논의, 학계·법조계 중심으로 본격화

KB국민은행·우리은행, PHP 사용 확인돼 PHP2Shell 보안 패치 적용 중5대 시중은행 중 2곳

PHP2Shell 공격 재현 코드 깃허브에 빠르게 확산안랩 분석 결과 관련 저장소 대부분이 하루 새 만들어졌고 36개는 공격 재현용, 정부 대응에서 영세업체는 사각지대로 지적

iM뱅크, 8월 28일 악성코드 감염 관련 취약점을 이용한 이상거래탐지시스템(FDS) 공격받아고객 정보보호 취약점 592건 '깜깜이' 지적(박준태 의원실, 금감원 제출 자료)

신용정보법 과징금 산정 기준 개편부과기준 세분화·감경 사유 확대, 사후 대책 마련·이행이 감경 판단 변수로 AI 해킹 정보유출 금융사의 과징금 부담에 영향 전망

중소기업기술정보진흥원(TIPA), 회원 중소기업에 PHP 보안취약점 보안수칙 안내 긴급 발송자사 홈페이지 PHP 사용 여부 우선 확인 권고

LG유플러스 홍범식 대표, 국감서 해킹 은폐 의혹 사과해킹 의심 서버를 폐기·재설치해 당국의 포렌식 조사를 방해했다는 의혹으로 경찰 수사 중, '은폐 확인 시 마땅한 책임을 지겠다'고 답변

재계, PHP2Shell 해킹 우려에 선제 점검·대응외부 공격 여부를 모니터링하며 필요 시 신속 조치, 현재까지 확인된 침해 사례는 없어

출시 전인 두나무 블록체인 '기와'를 사칭한 가짜 체인 사기 주의보금감원, 공식 계정에 없는 '기습출시'·'에어드랍'·'사전참여 이벤트' 홍보는 대표적 사기·피싱 수법이라며 수상하면 즉시 거래·자산 전송 중단 당부

현직 경찰관, 112 신고 출동 관련 자료를 외부에 유출한 혐의로 수사지인 폭행 혐의로도 입건, 서울 관악경찰서가 개인정보 보호법 위반 혐의 적용

과방위 종합감사, 정부 침해사고 대응이 부처별로 분산돼 조사정보 공유·공동 대응에 한계 지적AI 해킹 위협에 대응할 범정부 협력체계 강화 촉구(이주희 의원)

기초자치단체·교육지원청, 국정원 정기 사이버보안 실태평가 대상에서 빠져 PHP2Shell 대응 사각지대 우려보안 지원이 끝난 구버전 PHP를 방치한 지자체 시스템이 공격의 1차 표적이 될 수 있다는 지적

개인정보위, KT를 조사방해 혐의로 고발지난해 4월 악성코드 감염 전수점검 과정에서 침해 서버 10대의 로그를 삭제하고, 조사 초기에는 관련 자료가 없다고 설명한 것으로 드러나

과기정통부, PHP2Shell 대응해 국내 PHP 사용 현황 파악 추진호스팅업체·홈페이지 제작업체 등 관련 업계와 협의해 기업·기관이 쓰는 PHP 버전 확인

대한항공 고객 예약번호 등 개인정보 유출수탁사인 글로벌 항공 IT 업체 관련 유출로, 대상 고객에게 유출 사실 공지

의료정보보호센터 전산망 대상 외부 해킹 시도·디도스 탐지 3,000건 넘어2024년 900건에서 급증(허종식 의원실 국감 자료)

재외공관 IoT 기기, 보안 패치 미적용으로 해킹에 노출악성코드 설치 시 인쇄·복사한 외교 문서 등 정보 유출 가능성 제기

CVE-2026-109618 / CVE-2026-109619 PHP2ShellCVSS 9.2, 인증 없는 원격 코드 실행, 실제 공격 진행 중

CVE-2026-110264 GitLab CE/EE 정규식 엔진CVSS 10.0, 비인증 원격 코드 실행

Arista VeloCloud Orchestrator(On-Prem) 제로데이실제 악용 확인, 보안 업데이트 배포

Plex Media Server 취약점 4건 연계 'Plex2Shell'CISA가 실제 악용 경고

CVE-2026-113380 Signal RingRTCCVSS 9.3, 통화 종료 후에도 마이크·카메라가 켜진 상태로 남을 수 있음(2.72.0 이상으로 업데이트)

Node.js Brotli 디코더 범위 밖 쓰기원격 코드 실행 가능(22.23.4 / 24.22.1 / 26.12.1로 업데이트)

CVE-2026-94300 BIND 9 GSS-TSIG 메모리 손상고위험, 원격 코드 실행 가능(9.20.30 / 9.21.27로 업데이트)

CVE-2026-97631 EDK II PXE 드라이버CVSS 9.5, 부팅 전 단계 원격 코드 실행

Oracle 10월 CPU 1,295건 패치, Java CVE-2026-91403(9.1) 포함

Cisco 34건 패치Expressway·IOS XR·Snort 3 등에서 치명적 원격 코드 실행 포함

CVE-2026-115419 Amazon Strands Agents SDK A2A 서버 세션 격리 미흡인증된 원격 사용자가 다른 테넌트의 대화 기록을 읽고 지속형 지시를 주입할 수 있음(Python 1.43.0 / TypeScript 1.5.0 이상으로 업데이트)

HPE Aruba AOS-8/AOS-10 취약점 21건 공개최고 CVSS 7.5, 웹 관리 인터페이스 인증 우회 후 원격 코드 실행(CVE-2026-95711), 비인증 서비스 거부(CVE-2026-79955·CVE-2026-79895) 등

Microsoft 클라우드 서비스 CVE 6건 공개AAD App Proxy(CVE-2026-97785)·Azure Kubernetes 구성 서비스(CVE-2026-83938)·Azure VM Inspector(CVE-2026-110063) 권한 상승 CVSS 10.0, Azure Pipelines 원격 코드 실행(CVE-2026-105014, 9.1) 등, 상세 설명은 미공개

CVE-2026-111594 InterSystems IRIS for HealthCVSS 8.1 HIGH, TLS/SSL 암호화가 기본 비활성화돼 공격자가 전송 데이터를 엿보고 이를 이용해 로그인 가능

Kiloview E3 NDI 인코더 펌웨어 취약점 8건 공개인증된 사용자가 웹 관리 API로 root 권한 OS 명령 실행(CVE-2026-109122 등), ONVIF 서비스에서 비인증 원격 공격자가 호스트명·DNS·NTP 설정 변경(CVE-2026-110825) 등

Authlib(Python OAuth·OpenID Connect 라이브러리) 취약점 5건JAR request_uri 미검증 요청으로 SSRF(CVE-2026-114620), JWT bearer grant가 다른 대상(aud)의 assertion 수용(CVE-2026-114618) 등(1.9.0으로 업데이트)

CVE-2026-114583 Python tarfilefilter='tar' 우회, 빈 이름 심볼릭 링크 등 조작된 링크 항목으로 압축 해제 대상 디렉터리 밖에 파일 쓰기 가능

CVE-2026-114616 / CVE-2026-114615 Authlib JWS/JWT 서명 위조빈 HMAC 키 허용, 알고리즘 혼동 수정이 불완전해 1.9.0도 영향(1.9.1로 업데이트)

CVE-2026-115221 FreeIPA인증서 소유 확인을 주체 CN 일치만으로 처리해, 인증된 호스트가 다른 사용자·서비스의 인증서를 조회·폐기 가능

CVE-2026-115424 OpenShift 클라이언트 ococ image extract의 심볼릭·하드 링크 대상 검증 우회로, 악성 컨테이너 이미지가 추출 대상 디렉터리 밖에 파일 쓰기 가능

CVE-2026-19677 / CVE-2026-19678 onPhase(frevvo) Forms 11.0.14공개 등록 폼 인증 우회로 비인증 원격 공격자가 임의 테넌트 사용자로 로그인해 TenantAdmin 권한 획득·OS 명령 실행 가능, 비인증 폼 서비스 SSRF로 내부 Apache Solr 데이터 노출(CVSS 8.7 HIGH)

CVE-2026-115485 등 open-iscsi iscsiuio 취약점 3건같은 네트워크 공격자가 조작한 DHCP·IPv6 ND 패킷으로 힙 범위 밖 읽기·1바이트 쓰기, 데몬 중단, ARP 테이블 오염 가능

CVE-2026-115547 / CVE-2026-115546 Okta Access Gateway관리 콘솔 입력 검증 미흡으로 인증된 관리자가 OAG 서비스 계정 권한으로 시스템 명령 실행(CVSS 9.1 CRITICAL), 로그인 시 인증 소스를 검증하지 않아 세션을 가진 사용자가 관리 콘솔 접근용 SAML assertion 획득 가능(8.1 HIGH)

Part-DB(전자부품 재고관리 오픈소스) 취약점 4건저장소·공식 Docker 이미지에 하드코딩된 APP_SECRET으로 remember-me 쿠키 위조(CVE-2026-54631), 인증된 사용자가 .phar 첨부파일 업로드로 원격 코드 실행(CVE-2026-54630), 저장형 XSS 등(2.12.2 이상으로 업데이트)

CVE-2026-114509 Laravel Framework 부적절한 인증 취약점KISA 보안 업데이트 권고(12.68.0 이상, 13.x는 13.29.0 이상으로 업데이트)

CVE-2026-86055 등 Part-DB 추가 취약점 5건Host 헤더 조작으로 비밀번호 재설정 링크를 오염시켜 비인증 계정 탈취 가능, 첨부 SVG 확장자 위장으로 저장형 XSS(CVE-2026-59188), XLSX 내보내기 수식 주입 등(2.13.3 이상으로 업데이트)

Node.js 보안 업데이트 KISA 권고인증서 호스트 불일치 검증 미흡(CVE-2026-105483·CVE-2026-106069), 널 바이트 처리 미흡(CVE-2026-105482) 등, 영향 버전 사용자는 최신 버전으로 업데이트

CVE-2026-94267 / CVE-2026-94268 Advanced Custom Fields: Extended(워드프레스 플러그인) 취약점 4건프런트엔드 폼의 권한 검사 누락으로 비인증 원격 코드 실행, 비인증 관리자 계정 탈취 등(0.9.2.8로 업데이트)

CVE-2026-113500 / CVE-2026-113499 LiteSpeed Cache(워드프레스 플러그인)HTML 최적화 루틴 결함으로 비인증 사용자가 게시된 댓글을 통해 저장형 XSS 가능 등 3건(7.9.2로 업데이트)

CVE-2026-109936 등 Otter Blocks(워드프레스 플러그인) 취약점 4건비인증 저장형 XSS, REST API로 접근 제한·비공개 콘텐츠를 비인증 열람(CVE-2026-109935·CVE-2026-109934) 등(3.2.8로 업데이트)

CVE-2026-107858 Google Agent Development Kit(ADK) for Java 개발 서버(ADK Web)WebSocket Origin 검증 누락과 과도한 CORS 허용으로 교차 사이트 WebSocket 하이재킹 가능(google-adk-dev 1.13.0 이상으로 업데이트)

CVE-2026-76268 Splunk Enterprise Patroni REST API 인증 누락치명적 비인증 원격 코드 실행, 10.4.0~10.4.2·10.2.0~10.2.6 영향(업그레이드가 어려우면 PostgreSQL 사이드카 비활성화로 우회)

Atlassian 10월 보안 공지Data Center·Server 제품의 서드파티 구성요소 취약점 75건 패치, 치명적 등급 14건 포함

CVE-2025-30046 / CVE-2025-30047 등 CGM CLININET(병원정보시스템) 취약점 11건인접 네트워크 공격자가 HL7 처리 프로세스·Java 직렬화 API를 통해 root 권한 원격 코드 실행, 비인증 환자 문서 목록 조회·다운로드(CVE-2025-30043) 등

CVE-2026-75775 등 ASUS 공유기 취약점 3건초기화 상태 기기에 조작된 파라미터로 root 권한 명령 실행, 근거리 비인증 사용자가 접근 티켓을 위조해 관리자 작업 수행(CVE-2026-93489) 등(ASUS 보안 권고에 따라 펌웨어 업데이트)

CVE-2026-112862 / CVE-2026-112860 Participants Database(워드프레스 플러그인)PHP 객체 주입(CVSS 9.8 CRITICAL), 블라인드 SQL 인젝션(9.3 CRITICAL), 2.7.8.5 이하 영향

CVE-2026-112837 GamiPress(워드프레스 플러그인) 블라인드 SQL 인젝션CVSS 8.5 HIGH, 8.0.7 이하 영향

CVE-2026-63244 WizLearn Technologies LMS 인증 우회비인증 원격 공격자가 조작한 POST 요청으로 비밀번호·OAuth 인증 절차를 건너뛰고 사용자 계정에 무단 접근 가능

CVE-2026-115560 PHP 추가 원격 코드 실행 취약점(미패치)특수한 구성의 웹 애플리케이션만 영향, PHP는 위험이 낮다고 보고 긴급 패치 대신 관련 기능 비활성화 권고

CVE-2026-112900 Python Pillow EPS 이미지 처리파일 이름을 검증 없이 Ghostscript에 넘겨, 조작된 파일 이름으로 서버에서 OS 명령 실행 가능(치명적 등급)

CVE-2026-105963 Elixir plug_crypto잘못된 타입의 인자를 넘기면 오류 스택 트레이스에 secret key base가 담겨, 비인증 원격 공격자가 애플리케이션 로그를 통해 비밀키 노출 가능

CVE-2026-89320 등 gose(Go JOSE 라이브러리) 취약점 7건HMAC 함수가 입력을 해시하지 않아 AES-CBC-HMAC JWE 인증 태그가 메시지와 무관한 상수가 돼 무결성 보호 무력화, 조작된 JWE로 패닉·무제한 메모리 할당(CVE-2026-89319·CVE-2026-89318) 등

CVE-2026-25784 / CVE-2026-25716 BlueSpice(위키)컨테이너 이미지의 서비스 토큰 인증 기본 설정 미흡으로 sysop 권한 상승, 일반 인증 사용자가 REST 엔드포인트로 관리자 포함 임의 계정 차단·해제 가능

CVE-2026-55888 / CVE-2026-55889 XDG Desktop Portal악성 샌드박스 앱이 SaveFiles 경로 조작으로 호스트의 아직 없는 파일에 임의 접근, 예측 가능한 FileTransfer 키로 다른 앱 대상 드래그앤드롭·복사 데이터 가로채기 가능(1.22.1로 업데이트)

CVE-2026-55190 Event Schedule(오픈소스 이벤트·티켓 플랫폼) SSRF이벤트 가져오기 URL 검사(isUrlSafe)를 괄호 표기 IPv6 주소 등으로 우회해 내부·localhost 서비스에 접근 가능, 1.0.0 이하 영향

CVE-2026-50053 등 Zimbra Collaboration Suite 취약점 15건 공개비인증 요청이 /h/* 경로에서 인증 토큰·대상 계정 등 내부 전용 서블릿 속성을 덮어쓸 수 있음, zimbra 계정의 sudo 설정 미흡으로 root 권한 상승(CVE-2026-50057·CVE-2026-50056), 비인증 발신자의 일정 초대·취소 위조 등

CVE-2026-53921 등 OpenWrt odhcpd DHCPv6 취약점 4건인접 네트워크 공격자가 조작한 DHCPv6 REQUEST로 스택 버퍼 오버플로, 해제 후 사용(CVE-2026-53918), 스택 정보 노출 등

CVE-2026-53942 conda/conda GitHub Actions 'Pwn Request'issue_comment로 트리거되는 update 워크플로에서 PR이 제어하는 템플릿이 SYNC_TOKEN 권한으로 렌더링될 수 있음(커밋 9c0f238에서 수정)

CVE-2026-57207 NetBox MCP ServerHTTP 전송 모드(TRANSPORT=http)에 인증이 없어 포트에 접근 가능한 누구나 NetBox 전체 데이터 조회 가능(1.2.1로 업데이트)

CVE-2026-55826 GTM Server Side(stape.io 워드프레스 플러그인)쿠키 조작으로 비인증 공격자가 다른 고객의 WooCommerce 주문 데이터(개인정보 포함) 열람 가능(2.1.48로 업데이트)

CVE-2026-102786 Joomla 확장 Phoca GalleryHTML 속성 주입을 통한 인증 사용자 저장형 XSS, CVSS 8.6 HIGH, 4.5.0~6.1.5 영향

CVE-2026-55222 Isar(루트 파일시스템 자동 생성 도구)부트스트랩 시 신뢰 저장소 GPG 공개키 디렉터리(/etc/apt/trusted.gpg.d)가 root가 아닌 실행 사용자 소유로 생성돼 비권한 사용자가 신뢰 키를 변조할 수 있음(0.11 이상 영향)

CVE-2026-57845 Hugging Face Datasets 5.1.0 이하폐기 예정인 pandas 패키지 빌더가 pickle 파일을 역직렬화해, 조작된 데이터셋으로 임의 Python 코드 실행 가능

CVE-2026-58497 Uni-CLI 레거시 HTTP MCP 전송루프백에서 브라우저 Origin 헤더를 검증하지 않아 악성 웹사이트가 로컬 MCP 요청을 보낼 수 있음, 0.225.2 이전 버전 영향

CVE-2026-55457 등 Goobi viewer(디지털 자료 열람 웹앱) 취약점 7건webapi.authorization.token 미설정 시 빈 문자열 기본값으로 비인증 권한 우회, 비인증 REST 엔드포인트 Solr 인젝션(CVE-2026-55465), WebSocket 엔드포인트 인증·Origin 검증 누락(CVE-2026-55463) 등(26.05로 업데이트)

CVE-2026-110355 Imperia CMS SiteActive/cgi-bin/site_active.pl의 TEMPLATE 파라미터로 비인증 서버 측 템플릿 인젝션·원격 코드 실행, 11.5.4 이하 영향(11.8.0으로 업데이트)