Daily Security & AI Update

1. [사건] SiteGuard WAF CVE-2026-106931 — “통계 기능”이 root를 부른다, 150만 사이트가 대상

일본 WAF 벤더 SiteGuard의 Server Edition에서 OS 명령 주입 결함이 실제 공격에 쓰이고 있다. 결함은 CVE-2026-106931, 문제는 통계(statistics) 기능에 있으며 기본 활성화 상태다. 성공하면 root 또는 Windows SYSTEM 권한으로 명령이 실행된다.

• 규모: SiteGuard는 150만 개 웹사이트를 보호한다고 밝히는 일본 대표 WAF이며, WordPress.org 통계 기준 50만 개 사이트에서 활성 상태다. 벤더 공지와 JPCERT/CC 경고 모두 “현재 실제 악용이 확인됨”이라고 명시했다.
• 영향 버전: Apache httpd·Nginx·IIS용 2.20 이상 ~ 8.00 Update 5 미만, FreeBSD용 Apache·Nginx 2.20 이상 ~ 7.00 Update 6 미만. IIS 에디션 3.10~4.00 Update 4는 영향 없음. 즉 8년치 버전 대역이 한 번에 걸린다.
• 운영 함정: 벤더는 패치가 공격 흔적을 지울 수 있다고 경고하며, 업데이트 전에 웹 관리 화면 → 진단 정보 → 다운로드로 증거를 먼저 보존하라고 안내한다. 사후 포렌식이 불가능해지는 전형적인 순서 문제다. EOL 버전에는 통계 처리 파일만 교체하는 별도 패치가 제공된다.
• 타임라인: 직접 지원 고객에게는 9월 29일 사전 통지, 공개 경고는 10월 중순. 공격자 신원·피해 규모·침해 경로는 벤더·CERT 어디에도 공개되지 않았다.
• 시사점: WAF는 “보호 장비”로 분류돼 경계 안쪽에 놓이지만, 실제로는 인터넷에 노출된 관리 인터페이스와 기본 켜짐 기능을 가진 서버다. 통계·리포트·대시보드처럼 부가 기능으로 취급된 모듈이 root 경로가 된 사례가 이번에도 반복됐다.

출처: BleepingComputer - Hackers exploit SiteGuard WAF flaw to run commands as admins

2. [사건] 캘리포니아 학생 전원의 기록이 시험위탁사 SFTP에서 — 5개월 잠복, 2006년까지 거슬러

캘리포니아주 교육부(CDE)가 10월 16일 대규모 유출을 공개했다. 침해된 곳은 주 전체 학력평가를 위탁 운영하는 비영리 ETS(Educational Testing Service)의 보안 파일 전송(SFTP) 사이트다. 공격자는 탈취한 로그인 자격증명 하나로 들어와 약 5개월간 파일을 복사했다.

• 침해 창: 2026-05-22 ~ 09-18, 약 4개월 동안 여러 차례 접속. ETS가 이상 행위를 발견한 것은 9월 25일 — 즉 마지막 접속 이후 7일이 지나서야 인지했다.
• 피해 범위: 최근 3년간 캘리포니아 공립학교에 재학한 모든 학생 + 2006년까지 거슬러 올라가는 일부 졸업생. 약 700만 명 규모로 보도됐다.
• 유출 항목: 이름·주소·생년월일·학생 ID·인구통계·평가 데이터, 그리고 장애 정보(disability status). ETS는 사회보장번호·금융정보·비밀번호·보호자 정보는 접근되지 않았다고 밝혔다. 장애·평가 데이터는 바꿀 수 없는 정보라 피해가 오래간다.
• 대응: SFTP 사이트를 폐쇄하고 보안 통제를 강화한 새 SFTP를 처음부터 구축. 주 교육부는 10월 18일부터 학생·가정 통지를 시작했다.
• 시사점: 기관 간 데이터 교환의 단일 자격증명 SFTP는 MFA도, 세션 감시도 붙지 않은 경우가 많다. “계약사가 뚫리면 원본 기관의 전체 이력이 나간다”는 구조 — 10월 17일 영국 Legal Aid(1978년 기록)와 같은 형태다.

출처: Cybernews - California student data breach exposes millions of records | POLITICO - Hack exposes data on millions of California students | Reuters - Hacker gets data on millions of California students

3. [사건] ConnectWise, Cloud Backup 서비스 전면 중단 — 앱 ID 7개 폐기, “백업은 지금 복구할 수 없다”

어제 다룬 ConnectWise 사건이 통제 단계로 넘어갔다. ConnectWise는 10월 17일 07:00 UTC에 애플리케이션 ID 7개를 비활성화하고 Cloud Backup 서비스를 중단했다. 백업·복구 기능이 현재 작동하지 않는다.

• 폐기된 ID: Cloud Backup 자체 외에 Cloud Management와 그 하위 MS Teams·Exchange Online·MS Graph·Partner Center·SharePoint Online 커넥터가 모두 포함됐다. 백업 앱 하나가 아니라 MSP 관리면 전체를 내린 것이다.
• 인증서 폐기: 영향받은 앱 연결에 쓰인 인증서를 전면 폐기해 신규 인증을 차단했다. 단 벤더는 “이미 발급된 액세스 토큰은 만료 전까지 유효”하며, “연결 차단은 테넌트 안에서 이미 이루어진 변경을 되돌리지 않는다”고 명시했다.
• 서비스 상태: 예약 백업 중단, 영향받은 아카이브 열람·복구 불가. 기존 아카이브는 암호화·격리·보존 상태이며 유출 증거는 없다고 밝혔다. SaaS Security·Cloud Management도 예방적으로 오프라인.
• 타임라인: 10월 14일 자체 모니터링으로 탐지 → 조사 착수 → 10월 17일 자격증명 폐기. 자격증명이 어떻게 새었는지는 아직 “진행 중인 분석”이며 제품 취약점 여부도 미확정이다.
• 시사점: 앱 자격증명 사고의 종료 조건은 ① 앱 비활성화 ② 시크릿·인증서 폐기 ③ 테넌트 내 권한 변경 전수 재검토 세 가지다. 3번이 빠지면 공격자가 만들어 둔 다른 앱·서비스 주체가 남는다. 그리고 백업이 멈추면 가용성 사고가 2차로 시작된다.

출처: The Hacker News - ConnectWise Suspends Cloud Backup After Attackers Compromise Microsoft 365 Tenants

4. [사건] 러시아 경찰, DataSuckers 3명 검거 — 단서는 “자기 IP를 노출한 것”

모스크바 경찰이 러시아·우크라이나 기업을 상대로 한 DataSuckers 조직원 3명을 검거했다. 계기는 피자 체인 Dodo Pizza 침해 — 15년치 수억 건 주문 기록이 유출된 사건이다.

• 인물: 19세 Denis Fridman이 12월 8일까지 가택연금. 조직은 4인으로, 2명 추가 구금·1명 도주. 국적은 러시아·카자흐스탄·벨라루스.
• 침해 경로: Dodo Pizza의 기업 자격증명이 GitHub에 노출돼 있었고, 이를 이용해 클라우드 스토리지·데이터베이스·저장된 비밀번호까지 연결 시스템으로 확장했다. 코드 저장소에 남은 운영 자격증명이 시작점이었다.
• 검거 단서: Fridman이 훔친 데이터에 접속하다 자기 실제 IP를 노출했고, 경찰이 바르나울 자택까지 추적했다. 유출 DB는 다크웹에서 10만 달러에 팔렸고 대금은 공유 지갑으로 이동, 체포 후 지갑 비밀번호가 바뀌었다.
• 시사점: 이 사건의 교훈은 두 개다. ① GitHub 시크릿 스캔은 여전히 가장 값싼 방어선이다. ② 같은 조직이 러시아 국내 기업까지 털자 러시아 당국이 움직였다 — “표적이 자국이 되기 전까지는 수사하지 않는다”는 패턴이 다시 확인됐다. Recorded Future는 사건 경위를 독립적으로 검증하지 못했다고 밝혔다.

출처: The Record - Moscow police detain suspected DataSuckers hackers linked to breaches in Ukraine and Russia

5. [취약점] Vanus CVE-2026-111998 (9.8) — 코드에 박혀 있는 관리자 토큰으로 클러스터 장악

이벤트버스 플랫폼 Vanus 0.8.0~0.9.0에 하드코딩된 기본 관리자 토큰이 있다. 인증 없이 그 토큰을 게이트웨이 gRPC 프록시 포트에 보내면 cluster-admin 권한을 얻는다. CVSS 3.1 9.8(4.0은 9.3), NVD 게시 10월 18일.

• 할 수 있는 일: 네임스페이스·이벤트버스·사용자·토큰·역할 바인딩 관리, 이벤트 읽기·발행. 즉 클러스터의 권한 체계 자체를 다시 쓸 수 있다.
• 근거: 값은 internal/primitive/constants.go에 상수로 존재하고, 테넌트 컨트롤러가 이를 그대로 신뢰한다(controller.go#L449-L500). 이슈 #647과 VulnCheck 권고로 공개됐다. 설정 오류가 아니라 소스 코드에 있는 비밀이다.
• 같은 날 NVD 크리티컬: CVE-2026-110372 9.8 OttoKit ≤1.1.40 — 잘못된 권한 부여로 권한 상승 / CVE-2026-110886 9.8 Conversational Forms for ChatBot ≤1.5.1 — 신뢰할 수 없는 데이터 역직렬화로 객체 주입 / CVE-2026-109894 9.3 Booktics ≤1.0.29 — SQL 주입.
• 시사점: 세 결함의 공통점은 “인증을 우회했다”가 아니라 인증이 애초에 의미 없게 설계됐다는 점이다. 상수로 박힌 토큰, 역할을 그대로 복사하는 핸들러, 직렬화 문법을 걸러내지 않는 살균 함수 — 스캐너가 “취약”으로 표시하기 어려운 설계 결함 계열이다.

출처: NVD - CVE-2026-111998 | VulnCheck - Vanus Default Admin Credentials via Gateway

6. [취약점] FreeRDP 3.32.0 미만 — 악성 RDP 서버가 클라이언트 메모리를 덮어쓴다 (8.8 × 2)

오픈소스 RDP 클라이언트 FreeRDP에서 클라이언트 측 결함 2건이 나왔다. 둘 다 8.8, 원격 코드 실행은 아니지만 클라이언트 프로세스 메모리 손상으로 이어진다. 공격자는 접속 대상 서버다.

• CVE-2026-111382 — general_LumaToYUV444·general_ChromaV2ToYUV444에서 힙 기반 범위 초과 쓰기. 악성 서버가 RDPGFX AVC444/AVC444v2 프레임을 홀수 높이로 보내 경계를 넘긴다.
• CVE-2026-111380 — Apple 오디오 입력 백엔드(audin_mac.m·audin_ios.m)에서 정수 오버플로. FramesPerPacket * 2 * nChannels를 UINT32로 계산해 버퍼 크기가 넘친다. macOS·iOS 클라이언트가 대상.
• 주목할 점: 111380은 직전 수정 CVE-2026-91962를 우회한다. 같은 계산식의 다른 지점을 고치지 않았기 때문이다. 패치가 패치를 부르는 전형이고, 그래서 “고정 버전 3.32.0 이상”을 확인하는 것이 유일한 판정법이다.
• 시사점: RDP는 “서버가 위험하다”는 인식이 강하지만, 클라이언트도 공격면이다. 계정 탈취 없이 접속만 유도하면 되므로 피싱·악성 .rdp 파일과 결합하기 쉽다.

출처: NVD - CVE-2026-111382 | NVD - CVE-2026-111380

7. [취약점] 오늘 게시된 NVD 크리티컬 — WordPress 권한 상승 2건과 즉시 패치 가능한 것들

10월 18일 NVD에는 9.8급 2건이 추가로 올라왔다. 둘 다 “관리자 계정을 훔치는” 대신 관리자 역할을 부여받는 유형이라, 침해 후 흔적이 로그인 기록에 남지 않는다.

• CVE-2026-109515 9.8 — MailOptin ≤1.2.78.6, subscribe_to_ 계열 처리에서 권한 상승. 구독 폼 하나로 관리자 권한.
• CVE-2026-109219 9.8 — Mang Board ≤2.4.4, mbw_file_upload에서 확장자 검증 누락 → 임의 파일 업로드.
• CVE-2026-107436 8.8 — Strong Testimonials ≤3.3.12 역직렬화 객체 주입. CVE-2026-110015 8.8 — Salon Booking <10.31.9, REST API에서 코어 nonce 검사를 버리고 쿠키 인증 세션 전체를 신뢰.
• 운영 메모: 10월 16일·18일 글에서 다룬 WordPress 물결(LearnPress·User Rights Access Manager·10Web Booster)과 다른 CVE다. 플러그인 재고 조사는 “설치된 것”이 아니라 버전 표로 해야 한다 — 같은 플러그인이 주마다 새 CVE를 받고 있다.

출처: NVD - CVE-2026-109515 | NVD - CVE-2026-109219 | NVD - CVE-2026-110015

8. [패치] 오늘이 KEV 마감 — BeyondTrust·Fortinet D-day, 그리고 Windows Server 2022의 조용한 전환

CISA KEV 카탈로그(총 1,748건)에서 오늘(10월 19일) 마감인 항목은 두 건이다. 10월 16일 등록분으로, 어제 글에서 “내일 마감”으로 예고했던 그 두 건이다.

• CVE-2026-102764 BeyondTrust Remote Support (CVSS 9.3) — 내부 메시징 컴포넌트의 origin 검증 결함. 중국 연계 Armory Castle이 8월 말 제로데이로 악용해 원격 지원 서버를 장악했다. 인증 우회·스푸핑으로 어플라이언스 파일 조작이 가능하다.
• CVE-2025-61624 Fortinet (CVSS 6.0) — FortiOS·FortiPAM·FortiProxy·FortiSwitchManager 경로 순회. 점수는 낮지만 관리자 프로필 인증만 있으면 임의 파일 쓰기·삭제가 되어 설정 변조로 이어진다. KEV 등재는 “실제 악용” 신호다.
• 수명주기: Windows Server 2022가 10월 13일부로 주류 지원 종료, 연장 지원으로 전환됐다(보안 업데이트는 2031-10-14까지). Azure Edition 핫패치는 2027년 10월까지 연장. 10월 보안 업데이트가 마지막 주류 지원 업데이트다.
• 실무 판정: KEV와 NVD가 어긋나는 항목이 여전히 있다(10월 18일 Atlassian CVE-2026-21589는 KEV 마감 당일인데 NVD는 Rejected). KEV를 우선하고 벤더 권고로 버전을 확정하는 규칙을 유지해야 한다. 자산 스캐너가 NVD 상태만 보면 이 항목을 조용히 목록에서 뺀다.

출처: CISA - Known Exploited Vulnerabilities Catalog | SecurityWeek - Chinese APT Exploited BeyondTrust Vulnerability as Zero-Day | BleepingComputer - Microsoft: Windows Server 2022 reached end of mainstream support

9. [트렌드] 국내 금융권 “AI 해킹” — 16개사 10만 건, 555개사 점검에 130개사 ‘미흡’

금융위원회가 10월 14일 ‘제2차 긴급 상황대응 회의’를 열고 침해사고 조사 경과를 발표했다. 신한은행 사고를 전후로 은행·저축은행·상호금융 등 전 업권 16개사가 침해를 겪었고, 유출된 개인정보는 약 10만 건이다.

• 업권별: 은행 4곳(신한·KB국민·BNK부산·하나), 저축은행 4곳(예가람·웰컴·DB·OK), 여기에 가상자산 거래소(고팍스 등)가 합류하며 피해가 업권 밖으로 번졌다. 유출 항목은 성명·연락처·주민등록번호·이메일이며, 계좌번호·카드번호는 제외됐다.
• 점검 결과가 더 문제다: 전 금융권 555개사를 12개 항목 체크리스트로 긴급 점검한 결과 130개사가 ‘미흡’. 지적 사항은 최신 보안패치 미적용, EOS(제조사 지원 종료) 시스템 방치, 24시간 관제 미구축, 외부 접속 다중인증 누락이다. 전자금융업·온라인투자연계금융업에서 집중됐다.
• 제도 변화: 대형사 취약점 점검 주기를 연 1회 → 연 2회 이상, 수시 점검 근거 신설, CEO·CISO 책임 명확화, 위협정보를 통합관제(FIRST)로 전 금융권 즉시 공유, 중소형사용 AI 기반 공동 관제 검토. 금융위는 “AI 공격은 AI로 방어”라며 망분리 규제 완화까지 언급했다.
• 시사점: 사고의 본질은 “AI가 뚫었다”가 아니라 기본 통제가 비어 있었다는 점이다. 패치·EOS·MFA·관제 네 가지는 AI 이전부터 있던 항목이다. 동시에 “AI 방어를 위해 망분리를 푼다”는 방향 전환은 공격면을 넓히는 대가를 어떻게 계산할지 묻는다 — 규제 완화와 통제 강화를 같은 회의에서 결정하는 전형적인 딜레마다.

출처: 뉴데일리 - 금융권 해킹 16개사·정보유출 10만건, 555곳 점검했더니 130곳 보안 허술 | 조선일보 - 은행 넘어 가상자산업체까지, 금융권 AI 해킹 피해 16곳으로 확대