Daily Security & AI Update

1. Citrix NetScaler 제로데이 2건(CVSS v4 9.5) — 실제 익스플로잇 확인, KEV 등재·9/30 마감

Citrix가 2026년 9월 27일, NetScaler ADC·NetScaler Gateway의 무인증 원격 코드 실행 취약점 2건이 실제 공격에 악용됐다고 확인하고 긴급 패치를 배포했다. 같은 공지에 다른 결함 6건의 수정도 함께 포함됐다. 두 결함 중 하나는 기본 설정을 포함한 해당 버전의 모든 배포에 영향을 준다.

• CVE-2026-88771 (CVSS v4 9.5): 입력 검증 결함. 무인증 공격자가 임의 명령을 실행할 수 있다. 별도 기능 활성화가 필요 없어 모든 ADC·Gateway 배포가 대상이다.
• CVE-2026-88772 (CVSS v4 9.5): 메모리 버퍼 경계 처리 결함으로 RCE 또는 서비스 거부(DoS)에 이른다. DTLS가 켜진 어플라이언스가 대상이며, DTLS는 VPN 가상 서버에서 기본 활성화이므로 명시적으로 끄지 않은 NetScaler Gateway는 영향을 받는다.
• 공개 경위: 보안업체 watchTowr가 하루 전 "패치되지 않은 NetScaler RCE 2건이 익스플로잇됐다"고 밝힌 뒤, 관리자들이 어플라이언스를 내리는 상황까지 벌어졌다. Citrix가 공개한 두 결함이 watchTowr의 설명과 일치한다.
• 대응 공백: Citrix는 공지에서 우회(workaround)를 제시하지 않았고 침해 지표(IoC)도 내놓지 않았다. 익스플로잇 관측 시점·규모·주체도 밝히지 않았다. 즉 공격자가 먼저 쓴 뒤에 패치가 나온 전형적 제로데이다.
• 패치: NetScaler ADC·Gateway 14.1-73.37 이상 릴리스로 즉시 업그레이드(13.1 계열도 동일 결함 영향 — 제조사 권고 버전 확인 필요). 참고로 8월의 인증 우회 CVE-2026-19490을 고친 빌드(14.1-73.32, 13.1-63.21)는 여전히 이번 취약 범위 안에 있다.
• 시사점: ADC·Gateway는 기업망의 가장자리에서 VPN·원격접속·로드밸런싱·인증을 모두 처리한다. 여기가 뚫리면 내부망 전체가 노출되므로, 이번 주 최우선 패치 대상이다.

출처: The Hacker News - Warning: Two Unpatched Citrix NetScaler RCE Zero-Days Under Active Exploitation · CISA - Known Exploited Vulnerabilities Catalog

2. 펜타곤 인사시스템(DMDC) 유출 — 9개월간 탐지되지 않았고, 최대 400만 명 규모 가능성

미 국방부 인사관리 시스템 침해로 현역·예비역 군인의 주민등록번호(SSN)와 암호화되지 않은 개인정보가 노출됐다. CNN은 이 사안이 국가안보·방첩 차원의 우려를 낳고 있다고 보도했고, Military Times는 국방부가 해당 인원에게 유출 통지서를 발송했다고 전했다.

• 경위: 국방부 인사데이터센터(DMDC)의 취약한 서버에 "비인가 사용자"가 접근한 시점은 지난해 10월이었지만, 국방부가 이를 탐지하고 조치한 것은 9개월 뒤인 7월이었다.
• 규모: 정확한 범위는 아직 불명확하다. 사안에 정통한 2명은 Military Times에 약 400만 명의 국방부 인원이 영향받았을 수 있다고 말했다.
• 대응: 국방부는 영향 인원에게 민간업체 IDX를 통한 1년 신용 모니터링·신원 복구 서비스를 제공한다고 통지했다. 통지문에는 "정보가 악용됐다는 징후는 없다"고 적혀 있다.
• 민감한 성격: DMDC는 국방부의 신원 확인·인증·인가를 담당하는 중앙 신원 소스다. 단순 개인정보를 넘어 인사·보직·자격 데이터가 얽혀 있어, 방첩 관점에서 사회공학·표적 접근의 재료가 된다.
• 시사점: 타임라인 자체가 핵심이다. 9개월간 탐지되지 않은 접근은 "취약점을 고쳤다"보다 "그 기간 무엇을 읽고 내보냈는지 모른다"는 문제를 남긴다. 대규모 인사 시스템은 암호화·접근로그·이상행위 탐지를 데이터 저장 단계에서부터 설계해야 한다.

출처: CNN - Pentagon data breach of military personnel raises national security concerns · Military Times - Military personnel data exposed in breach, agency warns

3. ShinyHunters, FBI 침해 주장 — PeopleSoft 제로데이로 2~3TB 탈취, 직원 정신의료 기록까지

갈취 조직 ShinyHunters가 Oracle PeopleSoft 제로데이를 이용해 FBI 시스템에 침입했다고 주장했고, Reuters는 9월 25일 FBI 직원의 정신과·의료 기록이 탈취됐다는 정황을 단독 보도했다. 앞서 NYT·404 Media·CBS·THN이 "FBI 요원 및 지원자 다수"의 데이터를 가졌다는 주장을 전한 바 있다.

• 주장된 경로: PeopleSoft의 신규 제로데이(원격 코드 실행)로 월요일 밤 FBI 시스템에 접근 → FBI가 관리하는 AWS GovCloud 인프라로 횡적 이동 → 2TB~3TB 데이터 탈취.
• 주장된 피해 서비스: FBI의 Criminal Justice(CJ)·HR·Medlink 등 내부 서비스. 신원·인사·의료 데이터가 한 침해에서 동시에 걸린 형태다.
• 동기: ShinyHunters는 2026년 5월 FBI 등이 공동 발표한 PSA(이 그룹의 Canvas LMS 표적 활동을 고발하고 몸값 지불을 말린 내용)에 대한 반격이라고 주장하며, 해당 PSA를 "중대한 허위 주장"이라고 반박했다.
• 확장: 같은 제로데이를 Fortune 500 기업에도 쓰고 있다고 주장했다. FBI는 침해 주장을 조사 중이다(BBC 보도).
• 주의(중복 표기): 9월 27일 게시물에서 PeopleSoft 결함 CVE-2026-35273의 WAF 우회 대량 익스플로잇을 이미 다뤘다. 이 항목의 새 정보는 "누가·무엇을 훔쳤는가" — 즉 FBI 침해의 구체 내용과 Reuters의 정신의료 기록 보도다.

출처: The Hacker News - ShinyHunters Claims FBI Breach, Says It Stole Data on Agents and Job Applicants · BleepingComputer - ShinyHunters claims FBI hack, data theft in PeopleSoft zero-day breach

4. 스페인 철도 Renfe·Adif 침해 — 고객 이름·이메일 유출, 열차 운행은 정상

스페인 국영 철도 운영사 Renfe와 철도 인프라 운영사 Adif에서 사이버 침해가 확인됐다. 공격자는 Renfe 시스템과 상호연결된 Adif 서버를 먼저 장악한 것으로 조사됐다. 고객 이름과 이메일 주소가 유출된 것으로 보이며, 결제정보·주민번호(DNI)는 접근되지 않았다고 회사 측이 밝혔다.

• 유출 범위: 예비 조사 결과 공격자가 확보한 정보는 이름·이메일 중심의 제한적 고객정보. 은행·결제 정보, DNI 등 민감 데이터는 접근되지 않았다.
• 운영 영향: 열차 운행에는 영향이 없다. Adif는 목요일 늦은 시각 시스템에서 이상 활동을 탐지하고 확산 차단에 들어갔으며, 침해된 웹사이트는 보안이 확보된 상태로 복구됐다.
• 사전 징후: Renfe는 이번 사건 이전에 수 주간 지속적인 공격 시도가 있었지만 기존 보안 통제로 모두 차단했다고 설명했다. 이번 건의 공격자 주체는 아직 특정되지 않았다.
• 대응: 외부 사이버보안 전문업체 지원을 받아 추가 보호 조치를 적용 중이며, 정보가 공개·유포됐다는 확증은 아직 없다.
• 시사점: "상호연결된 별개 조직"이 곧 공격 경로다. 인프라 운영사와 서비스 운영사가 시스템으로 연결돼 있으면 보안 수준은 둘 중 약한 쪽으로 수렴한다. 공급망 경계를 계약·기술 양쪽에서 다시 그어야 하는 이유다.

출처: InSpain.news - Renfe customers' names and emails exposed in Adif cyberattack · FTN news - Renfe Cyberattack Exposes Customer Data, Trains Unaffected

5. [취약점] 워드프레스·WooCommerce 플러그인 권한상승 클러스터 — 9.8 한 건 포함 5건 동시

이번 NVD 표본(2026-09-25~09-28, 1,102건 중 CVSS 상위)에서 워드프레스/WooCommerce 플러그인의 권한상승·인가 우회·RCE 결함이 한꺼번에 5건 올라왔다. 코어가 아니라 플러그인 계층에서 반복되는 유형이다.

• CVE-2026-14281 (CVSS 9.8, Advanced Country Code – Notifications and OTP for WooCommerce ≤ 4.8.6): 권한 검사 누락으로 권한 상승. 이번 표본에서 워드프레스 계열 최고 점수다.
• CVE-2026-89055 (CVSS 9.1, Customer Reviews for WooCommerce ≤ 5.120.0): 사용자 인가 확인을 제대로 하지 않아 인가 우회가 성립한다.
• CVE-2026-93399 (CVSS 9.1, Bookly ≤ 28.2): bookly_get_form_id, bookly_render_complete, bookly_add_to_calendar, bookly_rollback_order 경로를 통한 IDOR(부적절한 직접 객체 참조).
• CVE-2026-19804 (CVSS 8.8, s2Member ≤ 260814): 원격 코드 실행. CVE-2026-89426 (CVSS 8.8, Knit Pay ≤ 9.6.1.0): maybe_update_user_role() 함수가 입력을 그대로 신뢰해 권한 상승.
• 공통 원인: 다섯 건 모두 암호 문제가 아니라 인가(권한) 검사 누락이다. "로그인했는가"는 확인하지만 "이 사용자가 이 동작을 해도 되는가"를 확인하지 않는 패턴이 반복된다.
• 실무 대응: 플러그인 인벤토리를 최신 상태로 유지하고, 위 플러그인은 즉시 상위 버전으로 갱신한다. 워드프레스 코어만 최신이면 안전하다는 가정을 버리고, 비활성 플러그인까지 포함한 전체 목록을 주기적으로 대조한다.

출처: NVD - CVE API 2.0 (게시창 2026-09-25 ~ 2026-09-28, CVSS 상위)

6. [취약점] Lemonldap::NG SSO 결함 2건(각 9.1) — OAuth2 클라이언트 시크릿을 검증하지 않는다

Perl 기반 오픈소스 SSO·아이덴티티 게이트웨이 Lemonldap::NG에서 무인증 인증 우회 결함 2건이 각각 CVSS 9.1로 공개됐다.

• CVE-2026-92288 (9.1, 2.20.0~2.21.6 미만 / 2.22.0~2.23.4 미만): 무인증 OAuth2 토큰 인트로스펙션 결함. checkEndPointAuthenticationCredentials가 퍼블릭 클라이언트의 client secret을 검증하지 않아 누구나 인트로스펙션 엔드포인트를 호출할 수 있다.
• CVE-2026-92289 (9.1, 동일 버전 범위): "PKCE or secret" 모드에서 퍼블릭 Relying Party에 대한 PKCE 우회. 같은 함수가 client secret을 확인하지 않는 것이 원인이다.
• 수정 버전: 2.21.6 및 2.23.4. 두 결함이 같은 검증 함수 한 곳에서 발생했다는 점이 핵심이다.
• 함께 볼 항목: 같은 표본에 CVE-2026-92609(CVSS 9.8) — HTTP 관리 인터페이스 인증에서 성공적인 인증을 거쳐도 세션 식별자가 재사용되는 세션 고정(session fixation). 원격 공격자가 인증된 관리 세션을 탈취할 수 있다.
• 시사점: SSO·IdP는 모든 서비스의 신뢰가 모이는 한 점이다. 검증 함수 하나의 누락이 전체 조직의 인증 경계를 무력화하므로, 아이덴티티 계층의 결함은 CVSS 점수와 무관하게 최우선으로 처리해야 한다. OIDC/OAuth2 구현은 시크릿 검증·PKCE 강제·세션 재발급을 배포 전 체크리스트로 검증한다.

출처: NVD - CVE API 2.0 (Lemonldap::NG · 관리 인터페이스 세션 고정 항목)

7. [패치] 오늘이 KEV 마감일이다 — MikroTik·SharePoint·WordPress 3건, Citrix는 9/30

CISA KEV 마감일을 오늘(2026-09-28) 기준으로 정리했다. 9월 27일 게시물에서 "내일 마감"으로 표시했던 3건의 시한이 오늘이다.

• 오늘 마감 (2026-09-28) — CVE-2026-67279 (MikroTik RouterOS): 무인증 클라이언트가 세션 채널을 열고 exec 요청을 보낼 수 있으며 다른 결함과 연쇄 가능. CVE-2026-65660 (Microsoft SharePoint): 코드 주입 — 최초 '스푸핑'으로 분류됐다가 실제로는 네트워크 경유 코드 실행으로 재분류됐다. CVE-2026-87902 (WordPress Core): 무인증 공격자가 활성 테마 디렉터리 밖의 로컬 .php 파일을 페이지 템플릿 해석에 포함시키는 원격 파일 포함 결함.
• 다음 마감 (2026-09-30) — CVE-2026-88771·CVE-2026-88772 (Citrix NetScaler, 위 1번 항목). 오늘 공개된 신규 항목이므로 이번 주 가장 급한 미래 시한이다.
• 시한 압박의 구조: 최근 마감일이 '게시일 + 3일'로 반복된다. 9/25 등재 항목의 마감이 9/28, 9/27 등재 항목의 마감이 9/30 — 패치 창이 주말을 넘기는 주 단위가 아니라 2~3일 단위로 좁아졌다.
• 우선순위 판단: (1) 인터넷에 노출된 Citrix NetScaler를 먼저 14.1-73.37 이상으로 올린다(무인증·기본 설정 취약·실제 익스플로잇 3중 조건). (2) MikroTik 라우터는 원격 관리 포트를 우선 차단하고 펌웨어를 갱신한다. (3) SharePoint는 노출 범위를 확인하고 누적 업데이트를 적용한다. (4) WordPress 코어를 즉시 최신으로 올린다.

출처: CISA - Known Exploited Vulnerabilities Catalog · The Hacker News - SharePoint RCE and MikroTik RouterOS Flaws Actively Exploited in the Wild

8. [트렌드] 공격자들이 실제로 깨는 것은 '인증'이 아니라 '인가'다 — 오늘 사건들이 수렴하는 한 점

오늘 정리한 사건·결함을 겹쳐 보면 공통점이 하나 나온다. 표적이 특정 산업이나 특정 제품이 아니라 자격증명과 신원을 다루는 계층에 몰려 있다는 점, 그리고 그 침해의 실제 원인이 암호가 아니라 권한 검사라는 점이다.

• 표적의 수렴(오늘 기준): Citrix NetScaler(VPN·인증 엣지), Lemonldap::NG(SSO·OIDC), Oracle PeopleSoft·DMDC(HR·신원 데이터), Renfe·Adif(고객 자격증명), 워드프레스 플러그인(사이트 권한). 산업은 제각각인데 자산 유형은 전부 "누구인지 확인하고 권한을 부여하는 시스템"이다.
• 원인의 수렴 — 인가 누락: Lemonldap는 client secret 미검증, 워드프레스 5건은 인가 검사·권한 확인 누락, 세션 고정 결함은 인증 후 세션 재발급 누락이다. 로그인 여부는 확인하면서 이 주체가 이 행위를 해도 되는가를 확인하지 않는 같은 실수가 반복된다.
• 문제를 키우는 두 가지: (1) 탐지 지연 — 펜타곤 DMDC 사례는 접근 시작(작년 10월)과 탐지(올해 7월) 사이가 9개월이었다. 침해 당일이 아니라 분기 단위로 알게 된다는 뜻이다. (2) 상호연결 — Renfe·Adif처럼 조직 경계를 넘는 시스템 연결은 보안 수준을 약한 쪽으로 수렴시킨다.
• 운영 시사점(실무 우선순위): (1) 인증·신원 자산(Citrix, SSO/IdP, HR 시스템, 관리 인터페이스)을 별도 인벤토리로 분리해 KEV 마감일 기준으로 패치한다. (2) SSO/OIDC 구현은 시크릿 검증·PKCE 강제·세션 재발급을 배포 체크리스트로 검증한다. (3) 인가 결정 지점에 로그를 남기고, 정상 자격증명으로 평소와 다른 리소스를 읽는 패턴을 탐지 규칙으로 올린다 — 이번 사건들에서 공격자들은 대부분 유효한 자격증명을 들고 있었다. (4) 신원 데이터는 저장 단계에서 암호화하고, 노출 시 자격증명·세션 토큰 회전 절차를 미리 문서화한다.
• 한 줄 정리: 암호를 깨는 공격은 드물다. 이번 주 사건들은 모두 검증되지 않은 신뢰를 통해 들어왔다 — 검증되지 않은 시크릿, 검증되지 않은 권한, 검증되지 않은 세션, 그리고 9개월간 검증되지 않은 서버 접근.

출처: CISA - Known Exploited Vulnerabilities Catalog · NVD - CVE API 2.0 · CNN - Pentagon data breach