1. Keycloak 치명적 비밀번호 재설정 결함 (CVE-2026-18963, CVSS 9.1) — 인증 없는 전 계정 탈취 가능
Red Hat과 Keycloak 프로젝트가 오픈소스 IAM 서버 Keycloak의 치명적 취약점을 패치했다. reset-credentials 인증 플로우의 상태 관리 결함으로, 인증되지 않은 원격 공격자가 특수 제작 요청을 보내면 이메일로 발송되는 액션 토큰 없이도 비밀번호 재설정 단계로 바로 전환돼 관리자 계정을 포함한 모든 사용자 계정을 완전히 탈취할 수 있다.
- CVSS: 9.1 (Critical) — 사용자 상호작용 없이 원격·비인증 공격 가능
- 패치: 업스트림 Keycloak 26.7.2, Red Hat 빌드 26.4/26.6 (RHSA-2026:56519/56520/56523/56524, 8월 18일 발행) / 동일 릴리스에서 예측 가능한 계정 연결 해시로 OIDC 악성 클라이언트를 통한 계정 탈취를 유발하는 CVE-2026-15571도 수정
- 임시 완화: 즉시 업데이트가 어려운 경우 모든 realm에서 '비밀번호 찾기(Forgot password)' 기능 비활성화 (Realm settings → Login)
- 시사점: IAM은 경계를 넘어선 공격자가 '뒤에 있는 모든 것'에 접근하는 관문 — Keycloak 운영 조직은 26.7.2 이상으로 즉시 업그레이드 필요
2. Spring 프레임워크 91개 취약점 일괄 패치 — LDAP 서버 RCE·GraphQL RCE 포함
Broadcom이 인수한 VMware 산하 Spring 애플리케이션 프레임워크 개발팀이 지난주 91개 취약점을 수정하는 업데이트를 공개했다. 올해 들어 패치된 Spring 취약점은 200개를 넘어섰는데, 이는 2025년 16개, 2024년 22개와 비교해 급증한 수치로 Broadcom의 AI 기반 개발 프로세스 도입 영향으로 분석된다.
- Critical (1건): CVE-2026-59270 — Spring Security 내장 UnboundID LDAP 서버 결함으로 인증 우회 후 인메모리 디렉터리 항목 수정 가능
- High (10건+): XSS, 정보 노출, RCE, DoS, 보안 우회, 비인가 접근 등 — Spring Security, Integration, Reactor Core, Reactor Netty, AMQP, Batch 등 전반
- Sonatype 강조: CVE-2026-59285(Spring for GraphQL의 Critical RCE), CVE-2026-59318(Spring AI 툴 호출 기능의 프롬프트 인젝션을 통한 권한 상승, Medium)
- 시사점: Java 기반 엔터프라이즈의 의존성 폭발(dependency sprawl)이 취약점 노출면을 키우는 구조적 문제 — SBOM·자동 패치 파이프라인 점검 필요
출처: SecurityWeek - 91 Vulnerabilities Patched in Spring Application Framework
3. CISA, 활발히 악용 중인 Zimbra 결함 (CVE-2026-73570) 3일 내 패치 명령 — 비인증 RCE
CISA가 정부 기관에 활발히 악용 중인 Zimbra Collaboration Suite(ZCS) 취약점을 3일 내 패치하도록 명령했다. SNMP 모니터링 컴포넌트의 명령 인젝션 결함으로, 인증되지 않은 공격자가 특수 제작된 SMTP 요청을 보내 Zimbra 사용자 권한으로 임의 OS 명령을 실행할 수 있다. 패치는 7월 20일 출시된 ZCS 10.1.20에 포함됐다.
- 악용 현황: 폴란드 CERT Polska가 지난주 야생 표적 공격 최초 경고 → CISA KEV 등재 → Shadowserver는 12,000개 이상 노출 서버, 270개 이상 침해 인스턴스 추적
- 탐지 지표: Zimbra 서비스의 예기치 않은 재시작, /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/, /tmp/ 경로에 최근 30일 내 zimbra 사용자 생성 파일 확인
- 배경: Zimbra는 정부 기관·기업 수억 명이 사용 — APT28(3월 Seqrite 보고), APT29(2024년 10월 미·영 공동 경고), Winter Vivern 등이 꾸준히 노려온 표적
- 시사점: 패치 공개(7월 20일) 후 실제 악용까지의 '패치 창'이 점점 좁아지는 추세 — 노출된 메일 서버는 KEV 기준 즉시 대응 필요
출처: BleepingComputer - CISA orders urgent patching of actively exploited Zimbra flaw
4. 이란 연계 공격으로 추정되는 사이버 공격, 영국 발전소 4일간 가동 중단
The Telegraph 소식통에 따르면 2026년 7월 이란 연계 해커로 추정되는 공격으로 영국 소규모 발전소가 4일간 오프라인 상태에 빠졌다. 같은 시기 미국에서는 30여 개 커뮤니티 수도 시설이 연쇄 사이버 공격을 받았으며, 이는 이란의 미국 에너지·수도·정부 네트워크 공격 경고 직후였다. 영국 NCSC에 보고됐으나 전력 공급에는 눈에 띄는 영향이 없었던 것으로 전해진다.
- 영향: 소규모 전력 발전기 가동 중단 — 영국 에너지부 장관 Michael Shanks가 '소규모 에너지 발전기' 피해를 확인했으나 시설명은 비공개
- 연계 정황: 미국 수도 시설 30곳+ 연쇄 공격과 시기 일치, 이란의 에너지·수도·정부 네트워크 공격 경고 직후 발생
- 전문가 평가: 4일 복구는 '빠른 편'일 수 있으나 발전소와 국가 전력망의 연결성, 측면 이동 가능성이 핵심 우려 — OT 환경의 실시간 제어 검증·책임 소재 명확화 필요
- 제도: 영국 Cyber Security and Resilience Bill이 의회 통과를 앞두고 있음 (2026년 말 법제화 전망) — 러시아 Sandworm의 우크라이나 전력망 공격 등 에너지 부문 국가주도 공격 지속
출처: Help Net Security - Suspected Iran-linked attack knocked UK power plant offline for days
5. UAT-10147 — AI로 공격을 대량화하는 중국어권 사이버범죄 그룹, 신종 SPECTRE 임플란트·리눅스 루트킷 배포
보안 연구진이 중국어권 사이버범죄 그룹 'UAT-10147'의 활동을 공개했다. 이 그룹은 전 세계 Windows·Linux 웹 서버를 대상으로 공격 사이클의 여러 단계(정찰, 익스플로잇 개선, 페이로드 생성·검증, 지속성, 운영 문서화)에 AI 도구를 통합해 공격 트레이드크래프트를 대량화하고 있으며, 공개된 디렉터리에서 약 17만 개 URL의 표적 목록이 발견됐다.
- 표적: 교육·미디어·기술·게임 부문, 주로 브라질·볼리비아·중국·캐나다·베트남 — 상위 5개국은 미국·인도·영국·독일·네덜란드
- 공격 체인: 알려진 결함으로 RCE 확보 → certutil로 EfsPotato(권한 상승)·Quasar RAT 다운로드 → 시스템 권한 획득 후 Defender 제외 설정 → BadIIS(SEO 사기·데이터 탈취) 배포, Gh0stCringe 및 신종 크로스플랫폼 임플란트 'SPECTRE' 배포
- 리눅스 공격: CVE-2022-0995, CVE-2021-3156(Sudo), CVE-2022-0847(Dirty Pipe) 등 LPE 체인으로 root 확보 후 Noodle RAT·SPECTRE·Meterpreter로 C2 연결
- 시사점: AI를 활용한 익스플로잇 개선·자동화는 공격 비용을 낮춰 소규모 그룹도 대규모 캠페인 가능 — 'AI가 공격자를 대량 생산'하는 트렌드의 구체적 사례