콘텐츠로 이동

보안 긴급 공지: 2026-10-24

2026-10-21 ~ 2026-10-24 9건 2026-10-24 09:10 KST Gemini (gemini-3.8-flash)

즉시 확인

오늘 한눈에 · 약 8분 읽기

PHP 세션 처리 로직에서 패치가 아직 배포되지 않은 원격 코드 실행 취약점이 확인되어 즉각적인 설정 완화 조치가 요구됩니다. Next.js와 Laravel 프레임워크를 비롯한 주요 오픈소스 라이브러리에서도 비인증 원격 코드 실행 및 인증 우회 취약점이 공개되어 긴급 패치가 배포되었습니다. Next.js 캐시 컴포넌트나 이미지 최적화 API를 사용하는 서비스, 그리고 Storybook 개발 환경을 구동하는 조직은 패치 버전 적용 여부를 우선적으로 점검해야 합니다.

국내 공지 (KISA)

PHP 세션 처리 과정에서 원격 코드 실행이 가능한 CVE-2026-115560 취약점이 확인되어 임시 대응 권고가 공개되었습니다. 영향 버전은 공지에 버전 명시 없음 상태이며 보안 패치 역시 아직 미배포 상태로 차기 정기 업데이트에 포함될 예정입니다. 이 취약점은 설정 파일에서 session.serialize_handler를 php_binary 또는 php_serialize로 설정하고, session_start() 호출 전에 ini_set()으로 해당 값을 php로 변경하며, 기본값인 session.upload_progress.enabled 옵션이 활성화된 환경에서만 발생합니다. 패치 배포 전까지 php.ini 및 PHP-FPM 풀 설정 등에서 session.upload_progress.enabled 설정을 0으로 비활성화한 뒤 모든 PHP 워커 프로세스를 재시작해야 하며, 기존 PHP2Shell 대응으로 해당 설정을 이미 적용했다면 추가 조치는 필요하지 않습니다.

원문 1건

라이브러리 의존성

Next.js에서 비인증 원격 코드 실행으로 이어질 수 있는 두 건의 취약점이 보고되었습니다. 첫 번째 취약점(GHSA-673q-mjm6-r5xr)은 App Router와 Cache Component를 사용할 때 use cache 함수가 여러 typed array를 반환하는 구조에서 원격 코드 실행을 유발하며, 영향 버전인 16.0.0 이상 16.4.0 이하 버전을 패치 버전인 16.4.1로 업데이트해야 합니다. 두 번째 취약점(GHSA-2464-fhr4-w9xw)은 glibc 기반 Linux 환경에서 Image Optimization API로 SVG 파일을 처리할 때 내부 의존 라이브러리 sharp의 메모리 결함으로 인해 발생하며, 10.0.0 이상 15.5.27 이하는 15.5.28로, 16.0.0 이상 16.4.0 이하는 16.4.1로 업데이트해야 합니다. 별도 패치가 어렵다면 sharp 패키지를 0.35.5 이상으로 단독 업그레이드하여 문제를 완화할 수 있습니다.

obsidian-tc npm 패키지에서 심각도 높은 두 건의 취약점이 발견되어 즉각적인 조치가 필요합니다. CVE-2026-77363(CVSS 9.6)은 Streamable HTTP 전송 계층에 Origin 헤더 검증과 DNS 리바인딩 방어가 누락되어 루프백 기본 인증 상태일 때 외부 악성 웹페이지가 볼트 전체를 읽고 쓸 수 있는 취약점입니다. 함께 보고된 CVE-2026-77366(CVSS 9.9)은 호출자가 전달한 input.vault를 바인딩된 vaultId와 검증하지 않아 유효한 토큰 하나로 다른 모든 볼트를 무단 조작할 수 있는 멀티테넌트 격리 우회 취약점입니다. 두 취약점 모두 1.3.1 미만 버전에 영향을 미치며 1.3.1 버전에서 패치되었으므로 즉시 업그레이드하거나, 임시로 auth.mode none 설정을 배제하고 프로세스당 단일 볼트만 격리 구동해야 합니다.

laravel/framework 패키지의 내장 TokenGuard에서 비인증 계정 탈취가 가능한 CVE-2026-114509 취약점이 보고되었습니다. 기본 토큰 기반 API 가드를 사용하고 MySQL 또는 MariaDB 환경에서 구동 중일 때, 공격자가 문자열이 아닌 특수하게 조작된 비문자열 자격 증명을 전송하면 쿼리 조회 오류로 인해 의도치 않은 사용자 레코드가 매칭되는 문제가 발생합니다. 영향 버전은 13.0.0 이상 13.29.0 미만과 12.68.0 미만이며, 각각 패치 버전인 13.29.0 및 12.68.0으로 업데이트해야 합니다. 업그레이드를 통해 비인증 공격자가 임의의 사용자 권한을 획득하는 인증 우회 위험을 방어할 수 있습니다.

Storybook 개발 서버에서 악성 사이트로부터 임의 파일 변조 및 코드 실행을 허용하는 CVE-2026-114125 취약점이 공지되었습니다. 공격자가 악성 웹사이트를 통해 로컬에서 구동 중인 개발 서버의 preview iframe과 상호작용하여 스토리 파일을 무단 변경하고 개발자 권한으로 코드를 실행시킬 수 있는 결함입니다. 영향 패키지는 storybook, @storybook/core, @storybook/core-server, @storybook/addon-vitest 등 주요 모듈 전체이며 버전별로 8.6.19 미만은 8.6.19, 9.1.21 미만은 9.1.21, 10.6.2 미만은 10.6.2, 11.0.0-alpha.6 미만은 11.0.0-alpha.6으로 업그레이드해야 합니다. 패치 적용이 어려운 경우 개발 서버 프로세스를 즉시 중단해야 하며, 브라우저에서 열지 않는 헤드리스 환경이나 빌드된 정적 Storybook 배포본은 영향을 받지 않습니다.

@sentry/nextjs 패키지에서 특정 조건 시 Next.js 미들웨어 인가가 우회되는 CVE-2026-114139 취약점이 확인되었습니다. 터널 라우트 설정을 사용하고 Webpack으로 빌드된 애플리케이션에서 터널 경로 하위로 해석되는 라우트가 존재하며 인가 검증을 전적으로 미들웨어에만 의존할 때, SDK의 미들웨어 건너뛰기 범위가 넓게 적용되어 인가 없이 애플리케이션으로 요청이 도달합니다. 영향 버전은 9.36.0 이상 9.47.2 미만, 10.0.0-alpha.0 이상 10.75.2 미만, 11.0.0-alpha.0 이상 11.0.0-rc.1 미만이며, 각각 패치 버전인 9.47.2, 10.75.2, 11.0.0-rc.1로 업데이트해야 합니다. 즉각적인 업데이트가 어렵다면 Turbopack으로 빌드 방식을 변경하거나 터널 경로를 충돌 없는 고유 경로로 수정하고 서버 라우트 레벨에서 인가를 재검증해야 합니다.

그 밖에 DOM 살균 라이브러리인 dompurify에서 섀도 루트를 악용해 템플릿 표현식 필터링을 우회하는 취약점(GHSA-cg2g-xh64-v4q7)이 발견되었습니다. SAFE_FOR_TEMPLATES 설정과 DOM 반환 모드를 함께 사용하는 비기본 설정 환경에서, 부착된 섀도 루트 내부의 분할된 템플릿 표현식이 정규화 과정을 우회하여 다운스트림 템플릿 엔진 평가 시 XSS나 템플릿 인젝션을 일으킵니다. 영향 버전은 3.4.4 이상 3.4.16 이하이며 패치 버전인 3.4.17로 업데이트하여 해결할 수 있습니다.

원문 8건