PHP2Shell(CVE-2026-109618·109619) 실공격 확산: 北 라자루스 연계 의심 세력이 韓 정부·금융을 표적으로 삼아, 기존 패치로 막히지 않는 세 번째 결함도 발견

✅ 권고 조치패치 적용 후 웹서비스를 재시작(구 프로세스가 메모리에 남음). 세 번째 결함은 KISA 임시 보안조치를 적용. 침해가 의심되는 서버는 재시작 전에 휘발성 증거를 보존

구글 Brotli 압축 라이브러리 원격코드실행 취약점(CVE-2026-111497, CVSS 4.0 9.2): Node.js·Bun·파이썬 패키지·프록시에 영향

✅ 권고 조치제품별 보안 업데이트를 적용하고 압축 해제 처리 경로 점검(24일 기준 실환경 악용 보고는 없음)

롯데 계열 모바일 상품권 '기프티엘' 해킹: 1만8359명의 이름·휴대전화·이메일·환불 계좌번호 유출

✅ 권고 조치이용자는 상품권·금융기관 사칭 스미싱·피싱에 주의

신한 등 금융사 16곳 AI 해킹으로 10만여건 유출: 수사 주체 3주째 표류, 국회는 보안투자·보상 기준 질타

랜섬웨어 범죄 다시 증가하는데 올해 경찰 검거 0건, 5년 8개월간 수사중지 183건

생성형 AI로 국내 업체 90여곳 해킹해 개인정보 820만건 탈취·금전 협박한 일당 7명 검거: IT 비전공 총책(32) 구속 송치, 최근 금융권 유출에 쓰인 'AI 자율 침투 테스트 시스템'도 활용(두 사건 연관성은 미확인), 피해 업체 중 75곳은 미신고

✅ 권고 조치웹 취약점 점검과 개인정보 DB 접근 통제를 강화하고, 유출 협박 메일을 받으면 응하지 말고 경찰·KISA에 신고

KB국민은행 해킹 정보유출 119명→2210명으로 확대: 기존 침해사고 정밀 재검증에서 고객 1631명·임직원 460명이 추가 확인됐고 유출 항목도 17개→39개로 늘어, 은행은 새로운 해킹 공격에 따른 유출은 아니라고 설명

✅ 권고 조치고객은 국민은행 홈페이지에서 개인별 유출 항목을 조회하고 개인정보 노출 등록·비대면 계좌개설 제한을 활용, 은행·금융당국 사칭 스미싱·보이스피싱에 주의

기프티엘 해킹, 1만8359명 개인정보·환불 계좌번호 유출

더존비즈온 APO 백업서버 침해: Ahsay 솔루션 취약점을 거쳐 암호화된 데이터가 외부로 반출된 정황, 유출 범위는 미확정

티켓베이 API 비정상 접근으로 회원 약 1만6천명의 이름·아이디·주문내역 유출

국립부경대 등록금 수납시스템(수협 캠퍼스e모아) 침해로 5,108명 유출, 공격자의 금전 요구로 사고 인지

한진정보통신 외주 유지보수 포털 뚫려 관리자 계정 탈취: 항공·물류 전산망 공급망 위협

놀유니버스 외부 해킹으로 임직원 이름·전화·회사 이메일·사번 유출

한국국제교류재단 대량메일 발송시스템 해킹, 개인정보 유출 정황

국제예술대 홈페이지 해킹: 회원정보 유출, 웹셸 발견

원주시 단구지구 주민정보 유출 1,957건으로 확대, 피해 주민 고소

KT 해킹 은폐 의혹(감염 서버 미신고·기록 삭제) 심의 임박

북한 IT인력 신분세탁 위장취업 국내 첫 포착, 서울경찰청 수사

농식품부·농식품 공공기관 해킹 시도 9월까지 4000만건 육박, 작년 연간 탐지 건수 초과

K방산, 중국 출입국 규정 변경에 '출장 시 임대폰' 보안 경계령

과기부 관련 기관 15곳, 공개 문서의 개인정보 가림 처리 미흡

주일미군, 26일부터 오키나와 가데나 공군기지에 중국 BYD 차량 출입 전면 금지차량이 수집하는 영상·위치정보 유출 우려

美 보안 연구자, 삼성 스마트TV 타이젠 코드 분석으로 시청 데이터 수집·정밀 타깃 광고 의혹 제기(톰스하드웨어 보도 인용)

美 CISA, 10월 산업제어시스템(ICS) 보안 권고 잇따라 공개지멘스 관련 권고만 하루 17건

앤트로픽 AI '클로드', 미국 조지아주 투표 데이터 무단 접근 보도AI 에이전트의 권한·보안 규칙 침해 우려 제기

개인정보위가 조사를 시작하고도 1년 넘게 결론을 내지 못한 개인정보 유출 사건 175건 계류(박홍배 의원 공개 자료)

캡콤 ID 계정 1170만개 이상 정보 침해: 외부 무단 접근으로 일부 계정 비밀번호가 무단 변경, 이용자 설정 비밀번호 유출은 미확인

한국전력기술, 원전 핵심 도면을 외부 파견직원에게 5년간 방치최근 3년 내부감사에서 원자로 설계자료 영업비밀 무단 유출(2024년), 엔지니어링 DB 접근권한 관리 미흡(2025년) 등 보안 취약점이 잇따라 적발

검사 사칭 '가짜 구속영장' 보이스피싱 조직원 12명 검거: 중국·태국·라오스 거점에서 카드사·법원·검찰·금감원을 사칭해 68명에게서 약 31억원 편취, 중국인 추정 총책 등 9명은 인터폴 공조로 추적 중

대한항공 고객 개인정보 유출 정황: 글로벌 항공 IT 운영사 아마데우스 시스템 계정의 로그인 인증정보를 이용한 비인가 접근이 원인, 20일 통보받았으나 피해 규모는 미파악

카카오픽코마, 일본 서비스 이메일 주소 100만건 유출: 외부 위탁사 해킹 경유, 유출 이메일을 악용한 스팸·피싱 등 2차 피해 차단 조치

인도 가상자산 거래소 코인DCX, 옛 운영 지갑의 보안 취약점과 자동 이체 서비스 장애로 약 1599만 USDT(약 1599만달러) 손실

보이스피싱 검거 인원 지난해 3만명 넘어 전년 대비 48% 증가, AI로 가족을 사칭하는 등 수법 진화(경찰청 금융범죄 현황 자료)

美 FCC, 화웨이 반도체 자회사 하이실리콘의 영상감시칩을 탑재한 무선 영상 송신기·차량용 블랙박스 2종의 미국 시장 진입 차단국가안보 위험 기업 부품이 들어갔다는 이유로 완제품을 제한한 첫 사례

아시아나항공도 고객정보 유출 정황: 대한항공과 같은 아마데우스 시스템 계정 로그인 인증정보를 이용한 비인가 접근이 원인, 2023년 8월~올해 9월 사이 공격 발생, 규모·범위는 파악 중

놀유니버스, 구 인터파크투어 국내 숙박 예약 고객 개인정보 유출 확인: 22일 오전 외부 공격자 침입, 홈페이지 공지로 안내

보이스피싱 조직, 사무보조 등 일반 아르바이트로 위장해 청년 구직자를 모집한 뒤 범죄에 가담시키는 사례 발생(금융감독원)

정부, 중소기업·협력사까지 기술보호 조치 강화: 보안 취약 협력사 대상 취약점 진단·지원 확대, 국가핵심기술 관련 R&D 과제 보안관리 강화

16년 묵은 브로드컴 공유기 칩 결함 공개: 와이파이 비밀번호 없이 전파가 닿는 거리에서 공격 가능, 보안 연구자 캉탱 카이저 공개, 브로드컴은 CVE 미등록·공식 입장 미표명

금융당국 대상 사이버공격, 올해 이미 지난해의 두 배 넘어: 악성코드 공격 1만1452건(지난해 5488건)으로 역시 두 배 이상, 공격에 쓰인 IP의 국가도 다변화

외부 AI가 사용자 대신 패턴·비밀번호를 입력하는 신종 악성코드 위협 제기: 8대 은행 앱 중 4곳이 거론됐으며, 악성코드 명칭은 비공개이고 국내 실제 침해 사례는 아직 미확인(더페어뉴스 단독)

방미통위, 연계정보(CI) 유효기간 1년 도입 가닥: 한 번 생성되면 바뀌지 않는 CI가 스미싱·명의도용 대출 등 2차 금융범죄로 이어질 우려, 연내 제도개선안 확정 예정

금감원, AI 보안 역량을 갖춘 금융사는 망분리 전면 해제 검토: AI 활용 사이버공격 대응을 위해 보안 목적 생성형 AI·SaaS 망분리 완화 테스트 진행, 6월 신청 49개사 중 10개사 1차 테스트

미래에셋생명, 사이버 공격으로 고객정보 유출: 유출 대상·항목은 파악 중, 명의도용·스미싱·피싱 등 2차 피해 주의 안내

한국수출입은행, 해킹 시도 8배 증가에도 핵심 서버는 집계에서 빠져: 2020~2025년 해킹 시도 230건 중 129건(56.1%)이 '기타'로 분류

대만 초음속 미사일 사업에 중국산 부품 사용 논란: 공급망 통제 실패 시 군사기밀 유출·보안 취약점 우려 제기, 연구원은 중국산 부품 사용 여부 점검 착수

해외 보이스피싱 전화를 국내 번호로 바꿔준 중계 조직원 등 무더기 검거, 연루된 사기 피해액 약 15억원

KB국민은행, 금융감독원 권고에 따라 PHP 보안 취약점 대응을 위해 지난주 중단했던 'KB 태블릿 브랜치' 서비스 26일 재개

유럽 유통매장 약 700곳이 한꺼번에 사이버공격 영향: 고객정보·결제시스템이 아니라 패치되지 않은 구형 냉장·냉동 설비 제어장치를 노려 OT 보안 위협 부각

말레이시아, 정부 정보·이용자 개인정보 오용 우려로 이스라엘산 내비게이션 앱 웨이즈 퇴출 추진: 실제 정보 유출은 공개적으로 입증되지 않았고 대안 토종 앱의 실효성 논란

같은 위탁업체 해킹에도 기관별 처분이 엇갈려 개인정보위 제재 원칙 논란: 농촌진흥청·국립농업과학원 사례, 전문가들은 개인정보보호법 보강 필요 제언

과기정통부, 기관 평가에서 보안 관리 비중을 강화해 성과급에 반영 추진(파이낸셜뉴스 단독)

PHP 이어 Node.js에서도 보안 취약점 발견: 조작된 파일 하나로 서버 탈취 가능, 수정판 배포 5시간 만에 깃허브에 분석 글이 올라오고 이튿날 미 보안업체 임퍼바가 원격 제어 가능성 입증

금융보안원, 미국·일본과 금융권 AI 해킹·PHP 취약점 관련 내용 공유: 국제 정보 공유 채널이 미·일 중심으로 집중된 점은 한계로 지적

日 LCC 피치항공 개인정보 유출 사고: 고객에게 유출된 이메일 주소를 악용한 스팸·사칭 피싱 메일 주의를 당부, 피해 규모는 확인 중

일본, 올해 사이버보안 사고 723건으로 지난해 연간 594건을 이미 넘어서자 정부가 긴급 대책 마련에 착수: 대규모 개인정보 유출·금융거래 피해가 잇따르며 기업들은 고객 피해보상 확대(트렌드AI 집계 기준)

글로벌 컨택센터 솔루션 기업 제네시스(Genesys) 해킹: 16일 외부 공격자가 내부 고객관계관리시스템(CRM)·교육관리시스템(LMS)에 무단 접근해 일부 정보를 열람·반출한 사실 확인

한전, 체납 고객의 대출 잔액까지 신용정보 자동 조회 논란: 국회에서 신용정보법·개인정보보호법 위반 소지 지적, 김성환 "위법성 검토할 것"

CVE-2026-109618·CVE-2026-109619 PHP2Shell: 치명적 원격코드실행, 실공격 확인. 패치 후 서비스 재시작 필수

CVE-2026-111497 구글 Brotli: 압축 해제 시 경계 밖 메모리 기록으로 RCE 가능(CVSS 4.0 9.2)

CVE-2026-110447 Collabora Online 내장 CODE Server: CISA KEV 등재(CVSS 9.2), 실악용 중

CVE-2026-116199 Snipe-IT 8.6.3 미만: Google SSO 인증 우회로 비활성 계정이 관리자 세션 재획득(CRITICAL 9.2)

CVE-2026-116207 YesWiki 4.7.0 미만: 비인증 SQL 인젝션으로 비밀번호 해시 탈취(CRITICAL 9.1). 4.7.0으로 업데이트

CVE-2026-115817 외 Starman(Perl) 0.4019 미만: 요청 본문 처리 결함으로 소수 연결만으로 서비스 거부

CVE-2026-116063 DedeCMS 5.7.118 이하 update_guide.php 코드 인젝션vtime 인자 조작으로 원격 코드 주입 가능, 공개 익스플로잇 존재

CVE-2026-115635·CVE-2026-115627 등 Elixir Ash 프레임워크(ash·ash_postgres) 인가 결함스킵된 upsert 반환, many_to_many·through 관계 로딩 시 테넌트 격리가 무시돼 다른 테넌트나 무관한 레코드 조회 가능

CVE-2026-116102 QuantGeekDev docker-mcp 0.1.0/0.2.0 docker_executor.py OS 명령어 인젝션CVSS 7.5 HIGH, project_name 인자 조작으로 원격에서 명령 실행 가능

CVE-2026-106173 Fortinet FortiSIEM gRPC QueryResultReq 경로 탐색비인증 원격코드실행, 메타데이터 경로 탐색과 NUL 바이트 주입으로 임의 파일을 쓴 뒤 명령 실행 가능, Horizon3 공개 PoC 존재

CVE-2026-116109 continuedev Continue 2.0.0 MCP Server Transport OS 명령어 인젝션ConfigHandler.ts의 MCPManagerSingleton.setConnections 조작으로 원격 명령 실행 가능, 공개 익스플로잇 존재

CVE-2026-116119·CVE-2026-116121 등 NocoDB 2026.08.0 이하 인증 흐름 결함 5건비밀번호 재설정·회원가입 경쟁 조건, 로그인 엔드포인트 정보 노출, 인증 시도 제한 미흡 등 원격 공격 가능(공격 복잡도 높음)

CVE-2026-116118 Z.ai Zcode 3.14.3/3.15.1 이하 Sed 명령 필터 OS 명령어 인젝션원격 악용 가능, 공개 익스플로잇 존재

CVE-2026-116117 halo-dev Halo 2.27.0-beta.1 이하 View Name Resolver 경로 탐색DefaultViewNameResolver의 뷰 이름 처리 조작으로 경로 탐색 가능

CVE-2026-107894·CVE-2026-107895 등 후지전기 V-SFT(HMI 화면 편집 소프트웨어) 메모리 결함 7건CVSS 8.4 HIGH, 조작된 V7 파일을 열면 정보 노출·임의 코드 실행 가능

CVE-2026-103381·CVE-2026-103300 등 WooCommerce 결제 게이트웨이 플러그인 6종(Mintpay·Eurobank·CCAvenue 등) 콜백 위조기본 설치 시 검증 비밀값이 비어 있거나 검증이 없어 비인증 공격자가 결제 없이 주문을 결제 완료로 처리 가능

CVE-2026-96581 Elixir Ash 프레임워크 기본키 upsert 시 속성 기반 멀티테넌시 무시upsert 생성 액션으로 한 테넌트 사용자가 다른 테넌트 레코드를 조회·덮어쓰기·탈취 가능

CVE-2026-116230 Ndemic Creations Plague Inc: Evolved 1.24.0.3 이하 Workshop 시나리오 로더 역직렬화원격 악용 가능, 1.24.0.4로 업데이트

CVE-2026-70388 SOEM(Simple Open EtherCAT Master) 2.0.0 이하 메시지 길이 검증 정수 언더플로네트워크상 악성 장치가 조작된 메시지로 마스터의 할당 메모리 경계 밖 쓰기 유발

CVE-2026-116234·CVE-2026-116232 등 Oray Pugongying X5 Pro 7.6.1 CRLF 인젝션 4건IPsec·SNMP·Dnsmasq·Ser2net 처리 인자 조작으로 원격 악용 가능, 공개 익스플로잇 존재

CVE-2026-115425 OPNsense 방화벽 26.7.1_1 이하 다수 XSSCVSS 5.6 MEDIUM, 저권한 공격자가 조작된 링크로 다른 사용자 브라우저에서 스크립트 실행 가능

CVE-2026-113438 Pleasanter LDAP 인증 우회특정 설정에서 조작된 요청 처리 시 비밀번호 검증이 누락돼 유효한 로그인 ID만으로 인증 우회, 데이터 열람·변조 가능

CVE-2026-95664·CVE-2026-95663 등 Apache Camel 컴포넌트 결함 4건AWS2-S3 프로듀서가 CamelAwsS3Key 헤더의 신뢰할 수 없는 객체 키를 Simple 표현식으로 평가, Keycloak 보안 정책이 만료된 액세스 토큰 수용, Docling 경로 탐색 등. 4.18.5·4.22.2에서 수정

CVE-2026-82944·CVE-2026-82945 등 SOEM(Simple Open EtherCAT Master) 2.0.0 이하 추가 메모리 결함 5건악성 장치가 다중 세그먼트 전송 버퍼 오버플로, FMMU 설정 테이블 오버플로, 경계 밖 읽기, 널 포인터 역참조로 마스터의 메모리 손상·중단 유발

CVE-2026-116253 DedeCMS 5.7.118 광고 렌더링(plus/ad_js.php) 코드 인젝션aid 인자 조작으로 원격 코드 주입 가능

CVE-2026-116236 Oray Pugongying X5 Pro 7.6.1 PPPoE WAN 설정 무제한 파일 업로드pppd_options 인자 조작으로 원격 악용 가능

CVE-2026-116258·CVE-2026-116260 등 libimobiledevice 1.4.0 이하 AFC·Web Inspector 메모리 결함 5건힙 버퍼 오버플로·이중 해제·경계 밖 읽기 등, 대부분 원격 악용 가능하고 일부는 공개 익스플로잇 존재

CVE-2026-94380 HAVELSAN Liman MYS 2.3.5-1131 미만 호스트 헤더 인젝션CVSS 8.1 HIGH, 취약한 비밀번호 복구 메커니즘을 악용해 계정 비밀번호 복구 기능 오용 가능

CVE-2026-89209 Mendix SAML 모듈(Mendix 10 호환) SAML 어서션 재전송CVSS 7.6 HIGH

CVE-2026-115720·CVE-2026-115717 등 Frappe Builder 1.36.1 미만 결함 3건HTTP 리다이렉트로 사설 URL 검사를 우회하는 SSRF, 접근통제 없는 convert_to_webp SSRF, improve_prompt 인가 누락으로 사이트 소유자의 LLM 무단 호출 가능

CVE-2026-116257 BillaBear 2025.01.03 이하 설치 핸들러(InstallController.php processInstall) 인증 누락원격 악용 가능

CVE-2026-116469 MISP Guard 정책 검사 대소문자 구분 결함필수 분류체계·차단 속성 카테고리 검사를 우회해 허용되지 않은 피드 데이터가 전달될 수 있음

CVE-2026-107656 Fortinet FortiSandbox 대체 경로 인증 우회FortiSandbox 5.0.6 이하·4.4.9 이하·4.2 전 버전(PaaS 포함) 영향

CVE-2026-115693·CVE-2026-115700·CVE-2026-113440 등 Erlang HTTP 클라이언트 hackney 결함 5건사설 CA 고정이 무력화돼 중간자 서버 위장 가능, 인코딩된 IP 리터럴로 SSRF 허용목록 우회, 리다이렉트 시 인증정보·쿠키 재전송 등

CVE-2026-114216·CVE-2026-108525·CVE-2026-109584 등 Elixir 웹서버 Bandit 결함 11건청크 확장의 단독 LF 허용으로 요청 스머글링, HTTP/2 흐름제어·HPACK 처리 미흡으로 비인증 원격 메모리·CPU 고갈 등

CVE-2026-111590 Harbor 웹훅 전송 SSRF대상 주소 검증 미흡으로 ProjectAdmin 권한 공격자가 사설·링크로컬 대역의 내부 서비스에 접근 가능

CVE-2026-59106·CVE-2026-59107 WolfProt 인터페이스 비인증 OS 명령 실행, vSolution Matrix 파일 공유 기능의 공유 SSH 키로 root 인증 가능

CVE-2026-116488·CVE-2026-116487 NXP MCUXpresso SDK USB 미들웨어 2.13.0 미만악성 USB 장치의 조작된 디스크립터로 호스트 클래스 드라이버 힙 오버플로, RNDIS 경계 밖 읽기

CVE-2026-112346 OpenHands Software Agent SDK 1.52.0 미만 비인증 원격코드실행DockerWorkspace·Apptainer 실행기가 샌드박스 에이전트 서버를 모든 인터페이스(0.0.0.0)에 인증 없이 기본 바인딩, 1.52.0으로 업데이트

CVE-2026-115528·CVE-2026-111950·CVE-2026-111952 등 curl 8.23.0 이하 결함 다수 공개wolfSSL 빌드가 인증서 없는 서버와 TLS 연결을 완료해 Basic 인증정보 노출, TLS 세션 캐시가 ftps·https를 구분하지 않아 제한적 중간자 공격 가능, OpenSSL 3 사용 시 use-after-free 등

CVE-2026-115678·CVE-2026-115679 Arm Keil MDK-Middleware 8.0.0~8.3.0 메모리 결함SNMP 처리에서 인증 전 경계 밖 읽기, FTP 서버 수신 버퍼 경계 밖 읽기·쓰기

CVE-2026-116368·CVE-2026-116367 DeepSeek Harness 0.2.0-rc.2 이하 결함 2건Browser Auth(browser-auth.ts) 부적절한 인가, 샌드박스 createContext 처리 결함, 원격 악용 가능