IT상자

KISA 보안 공지 : 2026년 8월 5주차 권고사항 정리

jys275 — Mon, 31 Aug 2026 01:00:32 +0900

이번 주 KISA 보안공지 개요

2026년 8월 22일부터 28일까지 보호나라에 게시된 보안공지는 2건으로, 모두 제품 보안 업데이트 권고다. 시스코 시큐어 워크로드와 자체 호스팅 형상관리 도구 기티가 대상이다.

두 건 모두 공격자가 원격에서 시스템 권한을 확보하거나 인가되지 않은 접근을 시도할 수 있는 유형의 취약점을 포함한다.

이번 주 공지 목록

게시일	대상 제품	취약점	해결 버전
8월 24일	Cisco Secure Workload	인젝션, 접근 통제 등 5건	4.0.4.16 / 3.10.9.1 이상
8월 27일	Gitea	코드 인젝션	1.27.1 이상

시스코 시큐어 워크로드 취약점 5건

시스코는 워크로드 보호 플랫폼인 시큐어 워크로드에서 확인된 취약점 5건을 해결한 보안 업데이트를 발표했다. KISA는 8월 24일 이를 인용해 영향받는 버전 사용자에게 최신 버전 업데이트를 권고했다.

확인된 취약점

공개된 취약점은 인젝션(CVE-2026-20231), 부적절한 접근 통제(CVE-2026-20315), 부적절한 인증(CVE-2026-20317), 부적절한 입력값 검증(CVE-2026-20318), 메모리 버퍼 범위를 벗어난 연산 제한 미흡(CVE-2026-20319) 등 5건이다.

인젝션과 부적절한 인증 취약점은 공격자가 정상 절차를 통과하지 않고 시스템에 명령을 주입하거나 인증 단계를 통과할 수 있는 유형이다. 메모리 버퍼 관련 취약점은 조건이 충족되면 서비스 중단이나 임의 코드 실행으로 이어질 수 있다.

영향받는 버전과 해결 버전

취약점	유형	영향받는 버전	해결 버전
CVE-2026-20231	인젝션	4.0.4.16 미만 / 3.10.9.1 미만	4.0.4.16 / 3.10.9.1 이상
CVE-2026-20315	부적절한 접근 통제	4.0.4.16 미만 / 3.10.9.1 미만	4.0.4.16 / 3.10.9.1 이상
CVE-2026-20317	부적절한 인증	4.0.4.16 미만 / 3.10.9.1 미만	4.0.4.16 / 3.10.9.1 이상
CVE-2026-20318	부적절한 입력값 검증	4.0.4.16 미만 / 3.10.9.1 미만	4.0.4.16 / 3.10.9.1 이상
CVE-2026-20319	메모리 버퍼 범위 초과 연산	4.0.4.16 미만 / 3.10.9.1 미만	4.0.4.16 / 3.10.9.1 이상

시큐어 워크로드는 데이터센터와 클라우드 워크로드의 트래픽을 통제하는 제품이다. 이 제품이 침해되면 통제 대상이던 워크로드 사이의 통신도 영향을 받는다. 5월 22일 핵심 기능 인증 누락 취약점 공지에 이어 두 번째다.

기티 코드 인젝션 취약점

자체 호스팅 형상관리 플랫폼 기티에서 코드 인젝션 취약점(CVE-2026-60004)이 확인돼 개발사가 보안 업데이트를 배포했다. KISA는 8월 27일 해당 내용을 공지하고 최신 버전 적용을 권고했다.

영향받는 버전과 해결 버전

취약점	제품	영향받는 버전	해결 버전
CVE-2026-60004	Gitea	1.17 이상 1.27.1 미만	1.27.1 이상

영향 구간이 1.17부터 시작한다. 장기간 버전을 갱신하지 않은 사내 인스턴스는 대부분 이 구간에 포함된다.

코드 인젝션은 공격자가 서버에서 실행될 코드를 삽입하는 취약점이다. 기티처럼 조직 내부에 설치해 운영하는 개발 인프라는 소스코드와 배포 파이프라인의 자격증명이 함께 저장되는 시스템이다. 7월 16일 자격증명 노출 예방 요청에서 코드저장소가 주요 정보자원시스템으로 분류된 바 있다.

정리

이번 주 2건은 모두 조직 내부에서 동작하는 제품이다. 시큐어 워크로드는 워크로드 트래픽 통제를, 기티는 소스코드와 배포 흐름을 담당한다.

두 제품 모두 해결 버전이 공개된 상태다. 시큐어 워크로드는 4.0과 3.10 두 계열로 해결 버전이 구분되므로 운영 중인 계열 확인이 선행된다.

시스코 시큐어 워크로드 | 출처: KISA 보호나라, Cisco 제품 보안 업데이트 권고 (2026-08-24)

기티 | 출처: KISA 보호나라, Gitea 제품 보안 업데이트 권고 (2026-08-27)

KISA 보안 공지 : 2026년 8월 4주차 권고사항 정리

jys275 — Mon, 31 Aug 2026 00:59:10 +0900

이번 주 KISA 보안공지 개요

2026년 8월 15일부터 21일까지 보호나라에 게시된 보안공지는 6건이다. 마이크로소프트 8월 정기 업데이트와 제품 보안 업데이트 권고 4건, 그리고 일부 소프트웨어 제품 사용 주의 권고다.

포스트그레SQL에서 취약점 여러 건이, 포티넷에서 세 개 제품의 취약점이 함께 확인됐다.

이번 주 공지 목록

게시일	대상	유형	조치
8월 19일	MS 8월 정기 업데이트	권한 상승, 원격 코드 실행	13종 패치 적용
8월 19일	펫누리 F10, 서진네트웍스 TCAM-S30	사용 주의	권고문 참고
8월 20일	Citrix NetScaler ADC, Gateway	메모리 버퍼 범위 초과, 인증 우회	14.1-73.32 / 13.1-63.21 이상
8월 20일	FortiWeb, FortiClient, FortiManager	부적절한 인증, 버퍼 오버플로	제품별 패치 버전
8월 20일	PostgreSQL	권한 부여 누락, 정수 오버플로우 등	계열별 패치 버전
8월 21일	MLflow	SSRF	3.15.0 이상

포스트그레SQL 취약점 다수

포스트그레SQL에서 취약점 여러 건이 확인됐다. 신뢰할 수 없는 제어 영역의 기능 포함(CVE-2026-6464), 권한 부여 누락(CVE-2026-6471), 정수 오버플로우(CVE-2026-14662), 힙 기반 버퍼 오버플로(CVE-2026-14664), 타입 혼동(CVE-2026-14668) 등이다.

영향받는 버전과 해결 버전

영향받는 버전	해결 버전
18.6 미만	18.6 이상
17.11 미만	17.11 이상
16.15 미만	16.15 이상
15.19 미만	15.19 이상
14.24 미만	14.24 이상

지원 중인 5개 메이저 계열이 모두 영향을 받는다. 데이터베이스는 서비스 중단 없이 업데이트하기 어려운 경우가 있어, 적용 시점을 별도로 계획하는 대상에 해당한다.

경계 장비 취약점

시트릭스 넷스케일러

시트릭스 넷스케일러 ADC와 게이트웨이에서 메모리 버퍼 범위를 벗어난 연산 제한 미흡 취약점(CVE-2026-19489)과 대체 경로를 이용한 인증 우회 취약점(CVE-2026-19490)이 확인됐다. 14.1-73.32와 13.1-63.21 이상에서 해결되며, FIPS 버전도 동일하다.

3월 26일 공지에 이어 두 번째다. 3월 공지의 해결 버전이던 14.1-60.58과 13.1-62.23은 이번 취약점의 영향 대상에 포함된다.

포티넷 세 개 제품

포티넷은 FortiWeb의 부적절한 인증 취약점(CVE-2026-26035), FortiClientWindows의 고전적 버퍼 오버플로 취약점(CVE-2026-70465), FortiManager와 FortiManager Cloud의 대체 경로를 이용한 인증 우회 취약점(CVE-2026-70468)을 해결했다.

제품	영향받는 버전	해결 버전
FortiWeb	8.0.0 이상 8.0.3 미만	8.0.3 이상
FortiWeb	7.6.0 이상 7.6.7 미만	7.6.7 이상
FortiWeb	7.4.0 이상 7.4.12 미만	7.4.12 이상
FortiWeb	7.2.0 이상 7.2.13 미만	7.2.13 이상
FortiClientWindows	7.4.0 이상 7.4.4 미만	7.4.4 이상

인증 우회 취약점이 포티넷 제품에서 반복해서 확인되고 있다. 2025년 12월 10일, 2026년 2월 2일, 8월 20일 공지가 모두 인증 우회에 해당한다. 여기에 6월 21일에는 유출된 비밀번호를 사용한 계정 도용 사례가 별도로 공지됐다.

마이크로소프트 8월 정기 업데이트와 그 밖의 건

마이크로소프트는 8월 11일 정기 보안 업데이트로 13종을 발표했다. 긴급 8종과 중요 5종이다. 윈도우 11과 서버 계열의 권한 상승, 마이크로소프트 오피스의 원격 코드 실행이 긴급으로 분류됐다.

제품군별 영향

제품군	중요도	영향
Windows 11	긴급	권한 상승
Windows Server 2025, 2022, 2019, 2016	긴급	권한 상승
Microsoft Office	긴급	원격 코드 실행

일부 소프트웨어 제품 사용 주의

KISA는 8월 19일 일부 소프트웨어 제품에 대한 사용 주의를 권고했다. 대상은 펫누리의 F10과 서진네트웍스의 TCAM-S30 24.09.25 버전이다. 해결 버전이 제시되지 않은 사용 주의 권고다.

MLflow

머신러닝 실험 관리 도구 MLflow에서 SSRF 취약점(CVE-2026-64849)이 확인돼 3.15.0 이상에서 해결된다. AI 관련 도구의 공지는 3월 이후 이어지고 있다.

정리

시트릭스 넷스케일러는 3월 26일 공지의 해결 버전이 이번 영향 대상에 포함된다. 3월 공지에 따라 업데이트한 환경에서도 14.1-73.32 또는 13.1-63.21이 확인 대상이다.

포스트그레SQL은 지원 중인 5개 계열이 모두 영향을 받는다. 데이터베이스 업데이트는 서비스 중단을 수반하는 경우가 있어 적용 계획이 별도로 요구된다.

MS 8월 정기 업데이트 | 출처: KISA 보호나라, MS 8월 보안 위협에 따른 정기 보안 업데이트 권고 (2026-08-19)

일부 소프트웨어 사용 주의 | 출처: KISA 보호나라, 일부 SW 제품 사용 주의 권고 (2026-08-19)

시트릭스 넷스케일러 | 출처: KISA 보호나라, Citrix 제품 보안 업데이트 권고 (2026-08-20)

포티넷 세 개 제품 | 출처: KISA 보호나라, Fortinet 제품 보안 업데이트 권고 (2026-08-20)

포스트그레SQL | 출처: KISA 보호나라, PostgreSQL 제품 보안 업데이트 권고 (2026-08-20)

MLflow | 출처: KISA 보호나라, MLflow 제품 보안 업데이트 권고 (2026-08-21)

KISA 보안 공지 : 2026년 8월 3주차 권고사항 정리

jys275 — Mon, 31 Aug 2026 00:57:30 +0900

이번 주 KISA 보안공지 개요

2026년 8월 8일부터 14일까지 보호나라에 게시된 보안공지는 5건이다. 제품 보안 업데이트 권고 4건과 주민센터 사칭 보이스피싱 주의 권고 1건이다.

보이스피싱 주의 권고는 4월 28일 게시된 내용과 수법이 같다. 발신번호를 주민센터 번호로 변작해 회신을 유도하는 방식이다.

이번 주 공지 목록

게시일	대상	유형	조치
8월 10일	JetBrains TeamCity	역직렬화	2026.1.3 / 2025.11.7
8월 10일	WordPress	크로스 사이트 스크립팅	계열별 패치 버전
8월 11일	Metabase	SQL 인젝션 2건, 권한 부여 누락	계열별 패치 버전
8월 11일	주민센터 사칭 보이스피싱	사칭 사기	응대 중단 후 기관 확인
8월 14일	Cisco Secure Firewall ASA, FTD	힙 검사	핫픽스 적용

주민센터 사칭 회신 유도 보이스피싱

KISA는 8월 11일 주민센터를 사칭한 보이스피싱 사례가 다수 발생하고 있다고 밝혔다. 4월 28일 게시된 같은 유형의 주의 권고에 이어 두 번째다.

확인된 수법

공격자는 발신번호를 주민센터 전화번호로 변작해 공무원을 사칭한다. 이후 한국신용정보원을 사칭한 전화번호를 안내하며 회신을 유도하고, 피해자가 회신하면 본인인증과 개인정보를 요구한다.

신용정보원은 전화나 카카오톡으로 본인인증이나 개인정보를 요구하지 않는다. KISA는 이런 연락을 받으면 응대하지 말고 기관에 직접 사실 여부를 확인할 것을 안내했다. 앱 설치나 URL 접속, 상담을 유도하는 시점에서 중단하고 보호나라 카카오톡 채널의 확인 서비스로 신고하는 절차가 제시됐다.

행정기관 담당 공무원을 사칭한 전화는 발신번호 거짓표시 신고센터에 신고할 수 있다.

개발 도구와 데이터 분석 도구 취약점

젯브레인즈 팀시티

젯브레인즈 팀시티에서 신뢰할 수 없는 데이터 역직렬화 취약점(CVE-2026-63077)이 확인됐다. 2026.1.3 미만과 2025.11.7 미만이 영향을 받는다.

팀시티는 CI/CD 서버로, 빌드와 배포 과정의 자격증명을 보관한다. 7월 16일 자격증명 노출 예방 요청에서 CI/CD 토큰의 권한 범위와 유효기간 최소화가 제시된 바 있다.

메타베이스

메타베이스에서 SQL 인젝션 취약점 2건(CVE-2026-72898, CVE-2026-72899)과 권한 부여 누락 취약점(CVE-2026-72900)이 확인됐다. x.63.5, x.62.9, x.61.11, x.60.17, x.59.21, x.58.24 이상에서 각각 해결된다.

메타베이스는 데이터베이스에 질의해 결과를 시각화하는 분석 도구다. SQL 인젝션이 확인된 경우, 이 도구가 연결된 데이터베이스의 데이터가 영향 대상이 된다.

워드프레스와 시스코 방화벽 취약점

워드프레스

워드프레스에서 크로스 사이트 스크립팅 취약점(CVE-2026-64638)이 확인됐다. 영향 구간이 6.4 계열까지 거슬러 올라간다.

영향받는 버전	해결 버전
7.0.3 미만	7.0.3
6.9.6 미만	6.9.6
6.8.7 미만 / 6.7.6 미만	6.8.7 / 6.7.6
6.6.6 미만 / 6.5.9 미만	6.6.6 / 6.5.9
6.4.9 미만	6.4.9

7월 20일 워드프레스 본체 취약점 공지에 이어 두 번째다. 7월 공지의 해결 버전이던 7.0.2와 6.9.5는 이번 취약점의 영향 대상에 포함된다.

시스코 시큐어 파이어월

시스코 시큐어 파이어월 ASA 소프트웨어와 FTD 소프트웨어에서 힙 검사 취약점(CVE-2026-20349)이 확인됐다. 9.24는 9.24.1.221, 9.23은 9.23.1.211, 9.22는 9.22.3.191 핫픽스에서 각각 해결된다.

해결 방안이 정식 버전이 아니라 핫픽스로 제시됐다. 시스코 관련 공지는 8월 6일에 이어 두 주 연속이며, 대상 제품은 각각 SD-WAN과 방화벽으로 다르다.

정리

워드프레스는 7월 20일 공지의 해결 버전이 이번 영향 대상에 포함된다. 7월 공지에 따라 업데이트한 환경에서도 7.0.3 또는 6.9.6이 확인 대상이다.

주민센터 사칭 보이스피싱은 4월 28일과 같은 수법이 약 3개월 반 만에 다시 확인됐다. 발신번호를 변작해 신뢰를 확보하고, 다른 번호로 회신하도록 유도하는 구조다.

젯브레인즈 팀시티 | 출처: KISA 보호나라, JetBrains 제품 보안 업데이트 권고 (2026-08-10)

워드프레스 | 출처: KISA 보호나라, WordPress 제품 보안 업데이트 권고 (2026-08-10)

메타베이스 | 출처: KISA 보호나라, Metabase 제품 보안 업데이트 권고 (2026-08-11)

주민센터 사칭 보이스피싱 | 출처: KISA 보호나라, 주민센터 전화번호를 사칭한 회신유도 보이스피싱 주의 (2026-08-11)

시스코 시큐어 파이어월 | 출처: KISA 보호나라, Cisco 제품 보안 업데이트 권고 (2026-08-14)

KISA 보안 공지 : 2026년 8월 2주차 권고사항 정리

jys275 — Mon, 31 Aug 2026 00:56:00 +0900

이번 주 KISA 보안공지 개요

2026년 8월 1일부터 7일까지 보호나라에 게시된 보안공지는 7건으로, 모두 제품 보안 업데이트 권고다. 아도비 브리지에서 취약점 다수가, 시스코 카탈리스트 SD-WAN에서 취약점 여러 건이 확인됐다.

AI 모델 파일 검사 도구 picklescan과 AI 워크플로 도구 랭플로우가 포함됐다.

이번 주 공지 목록

게시일	대상 제품	취약점	해결 버전
8월 3일	Adobe Bridge	경로 탐색, 범위 초과 쓰기 등	16.0.6 / 15.1.7 이상
8월 4일	Rails	안전하지 않은 기본 초기화	8.1.3.1 / 8.0.5.1 / 7.2.3.2 이상
8월 6일	Cisco Catalyst SD-WAN	입력값 검증, 접근 통제 등	계열별 패치 버전
8월 6일	VMware ESXi, vCenter	범위 초과 읽기 및 쓰기 등	빌드별 패치
8월 6일	picklescan	허용되지 않는 입력 목록 불완전	1.0.4 이상
8월 7일	Apache Tomcat	민감 데이터 암호화 누락	11.0.21 / 10.1.54 / 9.0.117
8월 7일	Langflow OSS	코드 인젝션	1.10.1 이상

가상화 및 네트워크 인프라 취약점

VMware ESXi와 vCenter

VMware ESXi, 워크스테이션, 퓨전에서 범위를 벗어난 읽기 취약점(CVE-2026-41703)이, ESXi에서 범위를 벗어난 쓰기 취약점(CVE-2026-47876)이 확인됐다. vCenter에서는 인증 알고리즘 구현 오류(CVE-2026-59309)와 경로 탐색 취약점(CVE-2026-59310)이 확인됐다.

제품	영향받는 버전	해결 버전
VMware Cloud Foundation, vSphere Foundation	9.1.x.x	ESXi-9.1.0.0-25370933
VMware Cloud Foundation, vSphere Foundation	9.0.x.x	ESXi-9.0.2.0100-25595025
VMware ESXi	8.0	ESXi80U3i-25205845

vCenter는 여러 대의 ESXi 호스트를 통합 관리하는 서버다. 인증 알고리즘 구현 오류가 확인된 경우, 관리 대상 호스트 전체에 대한 접근 권한이 영향을 받는다. VMware 관련 공지는 1월 13일, 2월 26일, 5월 22일에 이어 네 번째다.

시스코 카탈리스트 SD-WAN

시스코 카탈리스트 SD-WAN 소프트웨어에서 입력값 검증 미흡(CVE-2026-20303), 접근 통제 미흡(CVE-2026-20304), 링크 추적(CVE-2026-20310), 민감정보 평문 저장(CVE-2026-20312) 등의 취약점이 확인됐다. 26.1.2, 20.18.4, 20.15.6, 20.12.8.1, 20.9.10 이상에서 각각 해결된다.

카탈리스트 SD-WAN 관련 공지는 2월 26일, 5월 20일, 6월 29일에 이어 네 번째다.

애플리케이션 프레임워크와 AI 도구 취약점

아파치 톰캣

아파치 톰캣에서 민감 데이터 암호화 누락 취약점(CVE-2026-34486)이 확인됐다. 11.0.20은 11.0.21, 10.1.53은 10.1.54, 9.0.116은 9.0.117에서 해결된다. 7월 2일 공지의 해결 버전이던 11.0.23과 10.1.56은 이번 영향 버전보다 높다.

레일즈

루비 온 레일즈에서 안전하지 않은 기본 초기화 취약점(CVE-2026-66066)이 확인됐다. 8.1.3.1, 8.0.5.1, 7.2.3.2 이상에서 해결된다. 기본 설정 상태가 안전하지 않다는 의미이므로, 설정을 변경하지 않은 환경이 영향 대상이다.

픽클스캔과 랭플로우

픽클스캔에서 허용되지 않는 입력 목록이 불완전한 취약점(CVE-2026-53873)이 확인돼 1.0.4 이상에서 해결된다. 픽클스캔은 파이썬 피클 형식으로 저장된 AI 모델 파일에 악성 코드가 포함됐는지 검사하는 도구다.

검사 도구의 차단 목록이 불완전하면 검사를 통과한 파일도 안전하다고 보장되지 않는다. 3월 30일 트리비, 4월 29일 테너블 네서스에 이어 보안 검사 도구 자체에서 취약점이 확인된 세 번째 사례다.

랭플로우 OSS에서는 코드 인젝션 취약점(CVE-2026-9198)이 확인돼 1.10.1 이상에서 해결된다. 3월 27일 인증 없는 원격 코드 실행 취약점 공지에 이어 두 번째다.

아도비 브리지 취약점 다수

아도비 브리지에서 취약점 다수가 확인됐다. 경로 탐색(CVE-2026-48374), 잘못된 권한 부여(CVE-2026-48390), 신뢰할 수 없는 검색 경로(CVE-2026-48391), 범위를 벗어난 쓰기 2건(CVE-2026-48392, CVE-2026-48393) 등이다.

영향받는 버전과 해결 버전

제품	영향받는 버전	해결 버전
Adobe Bridge (Windows, macOS)	16.0.6 미만	16.0.6 이상
Adobe Bridge (Windows, macOS)	15.1.7 미만	15.1.7 이상

아도비 브리지는 디자인 파일을 관리하는 프로그램이다. 4월 13일 아크로뱃 계열 공지에 이어 두 번째 아도비 관련 공지다.

정리

이번 주 7건 가운데 톰캣과 레일즈, 랭플로우는 애플리케이션 실행 환경에 해당한다. 톰캣은 7월 2일 공지의 해결 버전보다 낮은 버전이 이번 영향 대상이므로, 7월 공지에 따라 업데이트한 환경은 이번 취약점의 대상에 해당하지 않는다.

픽클스캔은 AI 모델 파일의 악성 코드를 검사하는 도구다. 검사 목록이 불완전한 상태에서 통과한 파일은 재검사 대상이다.

아도비 브리지 | 출처: KISA 보호나라, Adobe 제품 보안 업데이트 권고 (2026-08-03)

레일즈 | 출처: KISA 보호나라, Rails 제품 보안 업데이트 권고 (2026-08-04)

시스코 카탈리스트 SD-WAN | 출처: KISA 보호나라, Cisco 제품 보안 업데이트 권고 (2026-08-06)

VMware ESXi와 vCenter | 출처: KISA 보호나라, VMware 제품 보안 업데이트 권고 (2026-08-06)

픽클스캔 | 출처: KISA 보호나라, picklescan 제품 보안 업데이트 권고 (2026-08-06)

아파치 톰캣 | 출처: KISA 보호나라, Apache 제품 보안 업데이트 권고 (2026-08-07)

랭플로우 OSS | 출처: KISA 보호나라, Langflow 제품 보안 업데이트 권고 (2026-08-07)

KISA 보안 공지 : 2026년 8월 1주차 권고사항 정리

jys275 — Mon, 31 Aug 2026 00:54:19 +0900

이번 주 KISA 보안공지 개요

2026년 7월 25일부터 31일까지 보호나라에 게시된 보안공지는 4건이다. 우분투 snapd와 포티넷 FortiOS의 보안 업데이트 권고, 국산 보안인증 소프트웨어 클리닝 서비스 안내, 그리고 국가배후 해킹조직 관련 합동 사이버보안 권고문이다.

이번 주 공지 목록

게시일	대상	유형	조치
7월 27일	Ubuntu snapd	불필요한 권한으로 실행	배포판별 패치 버전
7월 27일	SGA솔루션즈 TrustPKI	임의 파일 생성, 데이터 변조	클리닝 서비스
7월 29일	Fortinet FortiOS	권한 없는 대상에 민감정보 노출	7.6.2 / 7.4.7 이상
7월 30일	국가배후 해킹조직 공격	합동 권고문	권고문 참고 후 점검

국가배후 해킹조직 관련 합동 사이버보안 권고문

KISA는 7월 30일 국가배후 해킹조직의 국민과 기업 대상 해킹 공격에 대한 합동 사이버보안 권고문을 게시했다.

확인된 공격 방법

권고문이 제시한 공격 방법은 두 가지다. 하나는 사회공학 기법을 사용한 해킹메일로, 이력서나 채용 제안, 투자 관련 내용으로 위장한 피싱 메일을 발송한 뒤 열람을 유도해 악성코드를 감염시킨다.

다른 하나는 워터링홀 공격이다. 국민 다수가 이용하는 인터넷 뉴스 사이트와 병원 사이트, 그리고 보안관리가 미흡한 소규모 웹사이트를 침해해 악성코드 유포 경유지로 사용한다. 이 과정에서 보안 소프트웨어의 취약점이 함께 사용된다.

제시된 피해 유형

권고문이 정리한 피해 유형은 계정정보와 비밀번호 탈취, 개인정보와 파일 유출, 추가 확산, 금전 요구와 협박이다. 피해 완화 방안은 개인 사용자, 조직 내 보안 담당자, 호스팅 사업자와 홈페이지 운영자, 소프트웨어 개발사로 대상을 구분해 제시됐다.

보안관리가 미흡한 소규모 웹사이트가 유포 경유지로 사용된다는 점이 워터링홀 공격의 특징이다. 공격 대상 조직을 직접 침해하는 대신, 그 조직의 구성원이 방문할 가능성이 높은 외부 사이트를 먼저 침해하는 방식이다. 자체 웹사이트를 운영하는 소규모 조직은 자신이 최종 표적이 아니더라도 침해 대상이 된다.

TrustPKI 클리닝 서비스와 FortiOS 취약점

SGA솔루션즈 TrustPKI

KISA는 7월 27일 SGA솔루션즈의 보안인증 소프트웨어 TrustPKI 취약점과 관련해 클리닝 서비스를 가동한다고 안내했다. 취약점을 통해 임의 파일 생성과 데이터 변조가 가능하며, v1.2.8.9 이하가 영향을 받는다.

4월 9일 인스웨이브 WGear, 6월 1일 AnySign4PC에 이어 국산 인증 관련 소프트웨어의 클리닝 서비스 안내가 세 번째다. 세 제품 모두 이용자가 금융이나 공공 사이트 접속 과정에서 설치하는 프로그램이다.

포티넷 FortiOS

FortiOS에서 권한 없는 대상에 민감정보가 노출되는 취약점(CVE-2025-68686)이 확인됐다. 7.6.0 이상 7.6.2 미만은 7.6.2, 7.4.0 이상 7.4.7 미만은 7.4.7에서 해결되며, 7.2와 7.0, 6.4 계열은 전 버전이 마이그레이션 대상이다.

포티넷 관련 공지는 2025년 12월 이후 여섯 번째다. 6월 21일에는 취약점이 아니라 계정정보 탈취 사례에 대한 주의 권고가 게시된 바 있다.

우분투 snapd 권한 실행 취약점

우분투의 패키지 관리 도구 snapd에서 불필요한 권한으로 실행되는 취약점(CVE-2026-8933)이 확인됐다.

영향받는 버전과 해결 버전

배포판	영향받는 버전	해결 버전
Ubuntu 26.04 LTS	2.76+ubuntu26.04.3 미만	2.76+ubuntu26.04.3 이상
Ubuntu 24.04 LTS	2.76+ubuntu24.04.1 미만	2.76+ubuntu24.04.1 이상
Ubuntu 22.04 LTS	2.76+ubuntu22.04.1 미만	2.76+ubuntu22.04.1 이상

3월 19일 snapd 권한 체이닝 취약점 공지에 이어 두 번째다. 3월 공지는 16.04 LTS까지 포함했으나 이번 공지는 22.04 LTS 이상이 대상이다.

정리

합동 권고문이 제시한 워터링홀 공격은 최종 표적이 아닌 조직의 웹사이트를 경유지로 사용한다. 자체 웹사이트를 운영하는 조직은 이 경유지에 해당하는지가 확인 대상이다.

국산 인증 소프트웨어의 클리닝 서비스 안내는 4월 이후 세 번째다. 이런 프로그램은 사용자가 설치 여부와 버전을 인지하지 못하는 경우가 있어, 단말 소프트웨어 목록 확인이 함께 요구된다.

우분투 snapd | 출처: KISA 보호나라, Ubuntu 제품 보안 업데이트 권고 (2026-07-27)

TrustPKI 클리닝 서비스 | 출처: KISA 보호나라, 보안인증 소프트웨어 취약점 관련 클리닝 서비스 가동 안내 (2026-07-27)

포티넷 FortiOS | 출처: KISA 보호나라, Fortinet 제품 보안 업데이트 권고 (2026-07-29)

국가배후 해킹조직 합동 권고문 | 출처: KISA 보호나라, (합동사이버보안권고문) 국가배후 해킹조직의 우리 국민 및 기업 해킹 공격 주의 권고 (2026-07-30)

KISA 보안 공지 : 2026년 7월 4주차 권고사항 정리

jys275 — Mon, 31 Aug 2026 00:52:39 +0900

이번 주 KISA 보안공지 개요

2026년 7월 18일부터 24일까지 보호나라에 게시된 보안공지는 4건이다. 제품 보안 업데이트 권고 3건이 7월 20일에 게시됐고, 7월 21일에 계정 탈취 유형 스미싱 주의 권고가 게시됐다.

이번 주 공지 목록

게시일	대상	유형	조치
7월 20일	NGINX Plus, Open Source	힙 버퍼 오버플로, 미초기화 자원 사용	1.31.3 / 1.30.4 이상
7월 20일	WordPress	해석 충돌	7.0.2 / 6.9.5 이상
7월 20일	Zoom 제품군	권한 관리 미흡, TOCTOU 등	제품별 패치 버전
7월 21일	계정 탈취 유형 스미싱	사칭 사기	URL 접속 중단

계정 탈취 유형 스미싱 주의 권고

KISA는 7월 21일 본인 확인 인증을 유도하는 문자가 유포되고 있다고 밝혔다. 사용된 키워드는 다른 곳에서 인증되었습니다, 새 기기 접속 시도, 청구서 확인이다.

확인된 수법

문자는 계정 비활성화, 요금 차감, 미인증 시 탈퇴 같은 표현으로 이용자의 비정상 행위가 감지됐다고 알린다. 이후 문제 해결과 본인 인증을 명분으로 문자에 포함된 악성 URL 접속을 유도한다.

이용자가 계정 보호를 위해 행동하도록 만드는 구조다. 새 기기 접속 시도라는 문구는 계정이 도용됐을 가능성을 알리는 정상 알림과 형식이 같다. 7월 16일 카드사 사칭 스미싱의 계정 정지 안내와도 같은 방식이다.

의심스러운 문자는 보호나라 카카오톡 채널의 확인 서비스로 판별하거나 스팸으로 신고할 수 있다. 전기통신금융사기 통합신고대응센터의 간편제보 기능도 안내됐다.

엔진엑스와 워드프레스 취약점

엔진엑스

엔진엑스 플러스와 오픈소스에서 힙 기반 버퍼 오버플로 취약점(CVE-2026-42533)과 초기화되지 않은 자원 사용 취약점(CVE-2026-60005)이 확인됐다.

제품	영향받는 버전	해결 버전
NGINX Plus	37.0.3.1 미만 / R36 P7 미만	37.0.3.1 / R36 P7 이상
NGINX Open Source	1.31.3 미만 / 1.30.4 미만	1.31.3 / 1.30.4 이상

엔진엑스 관련 공지는 3월 9일 이후 일곱 번째다. 6월 26일 F5 공지의 해결 버전이던 1.31.2가 이번 취약점의 영향 대상에 포함됐다.

워드프레스

워드프레스 본체에서 해석 충돌 취약점(CVE-2026-63030)이 확인됐다. 7.0.2 미만과 6.9.5 미만이 영향을 받는다. 해석 충돌은 같은 입력을 처리하는 두 구성 요소가 서로 다르게 해석할 때 발생하며, 이를 이용하면 검증 단계를 통과하는 입력을 만들 수 있다.

워드프레스 관련 공지는 그동안 플러그인 취약점이 대부분이었으나, 이번 건은 본체 취약점이다.

줌 제품군 취약점

줌 제품군에서 취약점 다수가 확인됐다. 줌 룸스의 권한 관리 미흡(CVE-2026-53409), 줌 워크플레이스와 VDI 클라이언트 및 플러그인, 줌 룸스, 줌 컨택센터 원격 제어의 TOCTOU 경쟁 상태(CVE-2026-53410), VDI 플러그인의 입력값 검증 미흡(CVE-2026-53411) 등이다.

영향받는 버전과 해결 버전

제품	영향받는 버전	해결 버전
Zoom Rooms	7.1.0 미만	7.1.0 이상
Zoom Workplace	7.0.5 미만	7.0.5 이상
Zoom Workplace VDI Client	6.6.14 미만 / 6.5.17 미만	6.6.14 / 6.5.17 이상
Zoom Workplace VDI Plugin	6.6.14 미만 / 6.5.17 미만	6.6.14 / 6.5.17 이상

줌 룸스는 회의실에 설치되는 전용 단말이다. 개인 PC의 클라이언트와 달리 사용자가 개별적으로 업데이트하지 않으므로, 조직의 회의실 장비가 별도 확인 대상이다.

정리

이번 주 스미싱 주의 권고는 7월 16일 카드사 사칭 공지와 수법이 이어진다. 두 공지 모두 계정에 문제가 발생했다는 알림 형식을 사용했다.

엔진엑스는 6월 26일 공지의 해결 버전이던 1.31.2가 이번 영향 대상에 포함됐다. 6월 공지에 따라 업데이트한 환경에서도 1.31.3이 확인 대상이다.

엔진엑스 | 출처: KISA 보호나라, NGINX 제품 보안 업데이트 권고 (2026-07-20)

워드프레스 | 출처: KISA 보호나라, WordPress 제품 보안 업데이트 권고 (2026-07-20)

줌 제품군 | 출처: KISA 보호나라, Zoom 제품 보안 업데이트 권고 (2026-07-20)

계정 탈취 유형 스미싱 | 출처: KISA 보호나라, 계정 탈취 유형 스미싱 및 피싱 주의 권고 (2026-07-21)

KISA 보안 공지 : 2026년 7월 3주차 권고사항 정리

jys275 — Mon, 31 Aug 2026 00:51:08 +0900

이번 주 KISA 보안공지 개요

2026년 7월 11일부터 17일까지 보호나라에 게시된 보안공지는 5건이다. 마이크로소프트 7월 정기 업데이트와 소닉월 제품 업데이트 권고, 그리고 주의 권고 3건이다.

7월 16일에는 AI 개발도구 위장 악성코드 유포와 개발 운영 환경의 자격증명 노출 예방 요청이 함께 게시됐다. 두 공지 모두 개발 환경을 다뤘다.

이번 주 공지 목록

게시일	대상	유형	조치
7월 15일	MS 7월 정기 업데이트	권한 상승, 원격 코드 실행	14종 패치 적용
7월 16일	AI 개발도구 위장 악성코드	악성코드 유포	공식 배포처에서만 다운로드
7월 16일	SonicWall SMA1000	SSRF, 코드 인젝션	플랫폼 핫픽스 적용
7월 16일	개발 운영 환경 자격증명 노출	예방 강화 요청	자격증명 관리 점검
7월 16일	카드사 사칭 스미싱	사칭 사기	URL 접속 중단

AI 개발도구 위장 악성코드 유포

KISA는 7월 16일 AI 개발도구로 위장한 악성코드가 깃허브를 통해 유포되고 있다고 밝혔다. 3월 11일 IT 관리자와 개발자 대상 유틸리티 위장 악성코드 공지와 유사한 구조이며, 위장 대상이 AI 도구로 바뀌었다.

확인된 유포 방식

공격자는 AI 개발자와 일반 사용자가 검색할 만한 도구명으로 위장한 깃허브 저장소와 소개 페이지를 미리 생성했다. 이후 2026년 7월 14일 22시 2분경부터 링크를 악성 ZIP 경로로 순차 전환했다.

정상 저장소를 먼저 만들어두고 나중에 링크만 악성 경로로 바꾸는 방식이다. 저장소가 생성된 시점과 악성 링크로 전환된 시점이 다르기 때문에, 검색 결과나 커뮤니티 공유 링크에는 정상이던 시점의 정보가 남아 있게 된다. 이용자는 깃허브 검색, 검색엔진 결과, SNS와 커뮤니티 공유 링크를 통해 접속한다.

악성 ZIP을 실행하면 시스템이 감염된다. KISA는 첨부된 헌팅 가이드로 자체 점검하고, 침해 정황이 확인되면 보호나라 누리집으로 신고할 것을 안내했다.

KISA는 AI 보조도구와 클로드, 코덱스, 제미나이, 그록 관련 프로그램을 깃허브 검색 결과나 비공식 저장소가 아니라 공식 프로젝트 페이지와 공식 배포처를 통해 내려받을 것을 권고했다.

개발 운영 환경 자격증명 노출 예방 강화 요청

KISA는 같은 날 개발 운영 환경의 자격증명 노출에 따른 침해사고 예방 강화를 요청하는 공지를 게시했다. 6월 5일 기업보안 강화 요청에서 다룬 클라우드 자격증명 탈취를 구체적으로 다룬 내용이다.

노출과 탈취 경로

KISA가 제시한 경로는 네 가지다. 소스코드에 자격증명을 직접 기재하는 하드코딩, 환경설정 파일과 인증서의 코드저장소 업로드, 메신저나 이슈관리 도구를 통한 공유, 개발자 단말과 IDE 확장 프로그램 감염이다.

클라우드 환경에서는 자격증명 하나로 내부 서버, 데이터베이스, 클라우드 관리 콘솔, 코드저장소, CI/CD 파이프라인에 접근할 수 있다. 1차 피해는 이들 시스템에 대한 무단 접근과 소스코드 및 설계정보 유출이며, 2차 피해는 유출된 소스코드를 기반으로 한 추가 취약점 발굴과 연계 시스템 침해, 공급망 공격이다.

KISA가 강조한 유의사항

자격증명을 코드저장소에 업로드한 뒤 파일을 삭제해도 커밋 히스토리에는 정보가 남는다. 따라서 파일 삭제만으로는 조치가 완료되지 않으며, 해당 자격증명의 폐기와 교체가 함께 요구된다.

제시된 예방 방안

저장과 노출 방지 항목으로는 자격증명을 하드코딩하지 않고 비밀정보 관리 솔루션에서 실행 시점에 주입하는 방식, .gitignore를 이용한 인증서와 .env 파일의 업로드 차단, 기밀정보 자동 탐지 도구 활용이 제시됐다. 공개 저장소는 시크릿 스캐닝과 푸시 차단이 기본 제공되지만 비공개 저장소는 별도 적용이 요구되므로, 조직 전체 저장소의 탐지 정책 적용 여부가 확인 대상이다.

권한 측면에서는 장기 자격증명 대신 자동 만료되는 임시 자격증명 사용, 주요 시스템의 다중인증 적용, 최소권한 원칙에 따른 권한 부여, CI/CD 토큰의 권한 범위와 유효기간 최소화가 제시됐다.

마이크로소프트 7월 정기 업데이트와 소닉월 취약점

마이크로소프트는 7월 14일 정기 보안 업데이트로 14종을 발표했다. 긴급 10종과 중요 4종이다.

제품군별 영향

제품군	중요도	영향
Windows 11	긴급	권한 상승
Windows Server 2025, 2022, 2019, 2016	긴급	권한 상승
Microsoft Office	긴급	원격 코드 실행
Microsoft SharePoint	긴급	원격 코드 실행

셰어포인트가 긴급 원격 코드 실행으로 분류된 것은 2025년 12월, 2026년 3월, 5월에 이어 네 번째다.

소닉월 SMA1000

소닉월 SMA1000 시리즈에서 SSRF 취약점(CVE-2026-15409)과 코드 인젝션 취약점(CVE-2026-15410)이 확인됐다. 6210, 7210, 8200v 모델이 대상이며 12.4.3-03453 또는 12.5.0-02835 플랫폼 핫픽스 이상에서 해결된다.

SMA1000은 원격 접속을 처리하는 장비다. 영향받는 버전과 해결 버전 모두 플랫폼 핫픽스 번호로 지정돼 있어, 버전 대조 시 핫픽스 번호까지 확인 대상이다.

카드사 사칭 스미싱

KISA는 7월 16일 특정 카드사를 사칭한 문자가 유포되고 있다고 밝혔다. 사용된 키워드는 카드사 이름과 본인 확인, 계정 정지다.

계정 일시 보류나 인증 절차 같은 문구로 계정 정지 안내를 가장해 악성 URL 접속을 유도한다. 연결된 피싱사이트는 계정 인증 단계에서 카드번호와 계좌번호를 입력하도록 요구한다.

정리

7월 16일 게시된 3건 가운데 2건이 개발 환경을 다뤘다. AI 개발도구 위장 악성코드는 개발자 단말 감염 경로이고, 자격증명 노출 요청은 그 결과로 발생하는 피해를 다룬다.

자격증명 관련 공지는 6월 5일 기업보안 강화 요청에 이어 두 번째이며, 이번 공지에서는 커밋 히스토리에 남는 자격증명을 폐기하고 교체하는 절차가 별도로 제시됐다.

MS 7월 정기 업데이트 | 출처: KISA 보호나라, MS 7월 보안 위협에 따른 정기 보안 업데이트 권고 (2026-07-15)

AI 개발도구 위장 악성코드 | 출처: KISA 보호나라, AI 개발도구 위장 악성코드 유포 주의 권고 (2026-07-16)

소닉월 SMA1000 | 출처: KISA 보호나라, SonicWall 제품 보안 업데이트 권고 (2026-07-16)

자격증명 노출 예방 요청 | 출처: KISA 보호나라, 개발 운영 환경의 자격증명 노출에 따른 침해사고 예방 강화 요청 (2026-07-16)

카드사 사칭 스미싱 | 출처: KISA 보호나라, 카드사 사칭 스미싱 및 피싱 주의 권고 (2026-07-16)

KISA 보안 공지 : 2026년 7월 2주차 권고사항 정리

jys275 — Mon, 31 Aug 2026 00:49:20 +0900

이번 주 KISA 보안공지 개요

2026년 7월 4일부터 10일까지 보호나라에 게시된 보안공지는 5건이다. 리눅스 커널 관련 공지가 3건이고, 국산 소프트웨어 2건에서 민감정보 평문 전송 취약점이 확인됐다.

국산 소프트웨어 2건 가운데 소프트매니저는 공지 시점에 패치가 제공되지 않았으며, 설정 변경이 대응 방안으로 제시됐다.

이번 주 공지 목록

게시일	대상 제품	취약점	해결 방안
7월 7일	Linux Kernel	use-after-free	계열별 패치 버전
7월 8일	Linux Kernel KVM	use-after-free	계열별 패치 버전
7월 8일	Linux Kernel	수명 종료 후 메모리 미해제	계열별 패치 버전
7월 10일	HiveOn	민감정보 평문 전송	1.0.0_5734e991 이상
7월 10일	SoftManager	민감정보 평문 전송	패치 미제공, 설정 변경

국산 소프트웨어 민감정보 평문 전송 취약점 2건

7월 10일 하이브온과 소프트매니저에서 민감정보 평문 전송 취약점이 각각 확인됐다. 두 건 모두 동일한 유형이지만 대응 방안이 다르다.

하이브온

하이브온의 영향받는 버전은 1.0.0 계열이며 1.0.0_5734e991 이상에서 해결된다. 버전은 설치 폴더 내 실행 파일 정보에서 확인된다. KISA는 제조사 문의를 통해 최신 버전으로 업데이트할 것을 권고했다.

SSO나 2단계 인증 같은 통합 인증을 적용한 환경은 이번 취약점의 대상에 해당하지 않는다.

소프트매니저

소프트매니저는 v5.2 계열과 v6.2 계열이 영향을 받으며, 공지 시점에 패치가 제공되지 않았다. 버전은 클라이언트 시작 화면 또는 도움말의 제품 정보에서 확인된다.

제품	영향받는 버전	해결 방안
SoftManager	v5.2 계열	패치 미제공, 설정 변경
SoftManager	v6.2 계열	패치 미제공, 설정 변경

KISA는 패치 대신 서버 환경설정 변경을 제시했다. HTTP 0으로 비활성화하고 HTTPS 8065로 활성화하되 포트는 임의 지정하는 방식이다. 신뢰 가능한 클라이언트에 한해 접속을 제한하는 조치도 함께 안내됐다.

민감정보 평문 전송은 통신 내용이 암호화되지 않은 상태로 전달되는 유형이다. 같은 네트워크에 있는 공격자가 트래픽을 관찰하면 계정 정보나 전송 데이터를 그대로 확인할 수 있다.

리눅스 커널 취약점 3건

리눅스 커널에서 사흘 사이에 취약점 3건이 공지됐다. 유형은 use-after-free 2건과 메모리 미해제 1건이다.

영향받는 버전과 해결 버전

취약점	유형	주요 해결 버전
CVE-2026-46242	use-after-free	7.0.10 / 6.18.33 / 6.12.95 / 6.6.144 이상
CVE-2026-53359	KVM use-after-free	7.1.3 / 6.18.38 / 6.12.95 / 6.6.144 / 6.1.177 이상
CVE-2026-43074	수명 종료 후 메모리 미해제	6.19.14 / 6.18.24 / 6.12.83 / 6.6.136 이상

CVE-2026-53359는 KVM에서 발생하며 영향 구간이 2.6.36부터 시작한다. KVM은 리눅스 커널의 가상화 기능으로, 가상머신을 운영하는 호스트에서 사용된다.

세 건의 해결 버전이 서로 다르므로 개별 확인이 필요한 상황이다. 예를 들어 6.12 계열은 CVE-2026-46242와 CVE-2026-53359가 6.12.95, CVE-2026-43074가 6.12.83에서 해결된다. 세 건을 모두 반영하려면 6.12.95 이상이 대상이다.

리눅스 커널 공지는 4월 3일 이후 이번을 포함해 여덟 번째다.

정리

국산 소프트웨어 2건은 같은 유형의 취약점이지만 대응 방안이 갈린다. 하이브온은 업데이트로 해결되고, 소프트매니저는 패치가 제공되지 않아 서버 환경설정 변경으로 대응한다.

리눅스 커널 3건은 계열별 해결 버전이 각각 다르다. 세 건을 함께 반영하려면 각 계열에서 가장 높은 버전이 기준이 된다.

리눅스 커널 use-after-free | 출처: KISA 보호나라, Linux 제품 보안 업데이트 권고 (2026-07-07)

리눅스 커널 KVM | 출처: KISA 보호나라, Linux 제품 보안 업데이트 권고 (2026-07-08)

리눅스 커널 메모리 미해제 | 출처: KISA 보호나라, Linux 제품 보안 업데이트 권고 (2026-07-08)

하이브온 | 출처: KISA 보호나라, HiveOn 제품 보안 업데이트 권고 (2026-07-10)

소프트매니저 | 출처: KISA 보호나라, SoftManager 제품 보안 주의 권고 (2026-07-10)

KISA 보안 공지 : 2026년 7월 1주차 권고사항 정리

jys275 — Mon, 31 Aug 2026 00:47:49 +0900

이번 주 KISA 보안공지 개요

2026년 6월 27일부터 7월 3일까지 보호나라에 게시된 보안공지는 8건으로, 모두 제품 보안 업데이트 권고다. 7월 2일에 5건이 집중됐다.

curl에서 인증서 검증 미흡을 포함한 취약점 다수가, 유비쿼티 UniFi OS에서 접근 통제와 경로 탐색 취약점 5건이 확인됐다.

이번 주 공지 목록

게시일	대상 제품	취약점	해결 버전
6월 29일	Cisco Catalyst SD-WAN	출력 인코딩 처리 미흡	계열별 패치 버전
6월 29일	Linux Kernel	초기화 미흡	계열별 패치 버전
6월 29일	curl, libcurl	인증서 검증 미흡 등 다수	8.21.0 이상
7월 2일	Apache Tomcat	제어 흐름 구현 오류 등 3건	11.0.23 / 10.1.56 / 9.0.119
7월 2일	GitLab CE, EE	크로스 사이트 스크립팅 등 3건	계열별 패치 버전
7월 2일	IBM WebSphere Plug-ins	요청 스머글링, 코드 인젝션	PH71342 임시 패치
7월 2일	Spring Statemachine	역직렬화	4.0.2 / 3.2.5 이상
7월 2일	Ubiquiti UniFi OS	접근 통제 미흡, 경로 탐색 등 5건	제품별 패치 버전

curl 인증서 검증 미흡 등 취약점 다수

데이터 전송 도구 curl과 라이브러리 libcurl에서 취약점 다수가 확인됐다. 인증서 검증 미흡(CVE-2026-8286), 데이터 요소가 잘못된 세션에 노출(CVE-2026-8458), 전송 데이터를 통한 정보 노출(CVE-2026-8924), 이중 해제(CVE-2026-8925) 등이다. 8.21.0 미만이 영향을 받으며 8.21.0 이상에서 해결된다.

영향받는 버전과 해결 버전

제품	영향받는 버전	해결 버전
curl, libcurl	8.21.0 미만	8.21.0 이상

인증서 검증 미흡은 서버 신원 확인 절차가 정상 동작하지 않는다는 의미다. 이 경우 공격자가 중간에서 통신을 가로채고 자신의 인증서를 제시해도 정상 서버로 처리된다. 암호화 연결을 사용하더라도 상대방이 정상 서버라는 보장이 성립하지 않는다.

libcurl은 다른 프로그램에 포함되어 HTTP 통신을 처리하는 라이브러리다. 운영체제 패키지로 설치된 버전과 애플리케이션이 자체 포함한 버전이 별도로 존재할 수 있으며, 양쪽 모두 확인 대상이다.

웹 서버와 개발 플랫폼 취약점

아파치 톰캣

아파치 톰캣에서 항상 잘못된 제어 흐름 구현 취약점 2건(CVE-2026-53404, CVE-2026-55276)과 조치 없는 오류 조건 탐지 취약점(CVE-2026-53434)이 확인됐다. 11.0.23, 10.1.56, 9.0.119 이상에서 각각 해결된다.

톰캣은 2026년 1월 6일 KISA가 침해사고 증가 공지에서 최신 보안 업데이트 적용 대상으로 직접 언급한 제품이다. 국내 자바 웹 애플리케이션의 실행 환경으로 널리 사용된다.

IBM 웹스피어 플러그인

IBM 웹스피어 웹 서버 플러그인에서 HTTP 요청 및 응답 스머글링 취약점(CVE-2026-8620)과 코드 인젝션 취약점 3건(CVE-2026-8633, CVE-2026-8858, CVE-2026-9072)이, 웹스피어 애플리케이션 서버에서 SSRF 취약점(CVE-2026-9006)이 확인됐다.

제품	영향받는 버전	해결 방안
Web Server Plug-ins	9.0.0.0 이상 9.0.5.28 미만	PH71342 임시 패치 적용
Web Server Plug-ins	8.5.0.0 이상 8.5.5.30 미만	PH71342 임시 패치 적용

해결 방안이 정식 버전이 아니라 PH71342 임시 패치로 제시됐다. 6월 5일 IBM Verify Access 공지에 이어 두 번째다. 요청 스머글링은 프록시와 백엔드 서버가 같은 요청을 다르게 해석할 때 발생하며, 이를 이용하면 접근 통제를 통과하는 요청을 삽입할 수 있다.

깃랩과 스프링

깃랩 CE와 EE에서 크로스 사이트 스크립팅 취약점 2건(CVE-2026-10086, CVE-2026-10712)과 로그 파일에 민감정보가 기록되는 취약점(CVE-2026-12053)이 확인됐다. 19.1.1, 19.0.3, 18.11.6 이상에서 해결되며, 6월 5일 공지에 이어 약 한 달 만이다.

스프링 스테이트머신에서는 신뢰할 수 없는 데이터 역직렬화 취약점(CVE-2026-41862)이 확인돼 4.0.2와 3.2.5 이상에서 해결된다. 스프링 관련 공지는 5월 6일 이후 다섯 번째다.

네트워크 장비 취약점

유비쿼티 UniFi OS

유비쿼티 UniFi OS와 UniFi OS 서버에서 취약점 5건이 확인됐다. 입력값 검증 미흡 2건(CVE-2026-33000, CVE-2026-34910), 접근 통제 미흡(CVE-2026-34908), 경로 탐색 2건(CVE-2026-34909, CVE-2026-34911)이다.

제품	영향받는 버전	해결 버전
UniFi OS Server	5.0.6 이하	5.0.8 이상
UNVR-G2, UNVR-G2-Pro	5.1.11 이하	5.1.12 이상
UDM-Beast	5.1.8 이하	5.1.11 이상
UNAS 시리즈	5.1.8 이하	5.1.10 이상
UDR-5G, ENVR-Core, UCKP, UCK 계열	5.0.17 이하	5.1.12 이상

UniFi OS는 유비쿼티의 네트워크 장비와 네트워크 비디오 리코더, NAS 제품에 공통으로 사용되는 운영체제다. 제품군마다 해결 버전이 다르므로 운영 중인 모델 확인이 선행된다.

시스코와 리눅스 커널

시스코 카탈리스트 SD-WAN에서 출력 인코딩 또는 이스케이프 처리 미흡 취약점(CVE-2026-20245)이 확인됐다. 26.1.1.2, 20.18.3.1, 20.15.5.3, 20.15.4.5, 20.12.7.2 이상에서 각각 해결되며, 5월 20일 공지에 이어 두 번째다.

리눅스 커널의 초기화 미흡 취약점(CVE-2026-43503)은 7.1, 7.0.10, 6.18.33, 6.12.91, 6.6.141, 6.1.174, 5.15.208 이상에서 해결된다.

정리

이번 주 8건 가운데 curl과 톰캣, 스프링은 다른 소프트웨어에 포함되어 동작하는 구성 요소다. 직접 설치하지 않았더라도 의존성으로 포함될 수 있으므로, 애플리케이션의 실제 사용 버전이 확인 대상이다.

IBM 웹스피어 플러그인은 정식 버전이 아니라 PH71342 임시 패치로 대응한다. 임시 패치는 버전 번호로 적용 여부가 확인되지 않으므로 적용 기록이 별도 관리 대상이다.

시스코 카탈리스트 SD-WAN | 출처: KISA 보호나라, Cisco 제품 보안 업데이트 권고 (2026-06-29)

리눅스 커널 | 출처: KISA 보호나라, Linux 제품 보안 업데이트 권고 (2026-06-29)

curl과 libcurl | 출처: KISA 보호나라, curl 제품 보안 업데이트 권고 (2026-06-29)

아파치 톰캣 | 출처: KISA 보호나라, Apache Tomcat 제품 보안 업데이트 권고 (2026-07-02)

깃랩 | 출처: KISA 보호나라, GitLab 제품 보안 업데이트 권고 (2026-07-02)

IBM 웹스피어 플러그인 | 출처: KISA 보호나라, IBM 제품 보안 업데이트 권고 (2026-07-02)

스프링 스테이트머신 | 출처: KISA 보호나라, Spring 제품 보안 업데이트 권고 (2026-07-02)

유비쿼티 UniFi OS | 출처: KISA 보호나라, Ubiquiti 제품 보안 업데이트 권고 (2026-07-02)

KISA 보안 공지 : 2026년 6월 4주차 권고사항 정리

jys275 — Mon, 31 Aug 2026 00:45:45 +0900

이번 주 KISA 보안공지 개요

2026년 6월 20일부터 26일까지 보호나라에 게시된 보안공지는 8건이다. 제품 보안 업데이트 권고 7건과, 포티넷 제품 계정정보 탈취에 따른 피해 주의 권고 1건이다.

계정정보 탈취 권고는 취약점이 아니라 이미 유출된 비밀번호가 사용된 사례를 다뤘다. 패치로는 대응되지 않는 유형이다.

이번 주 공지 목록

게시일	대상	유형	조치
6월 21일	포티넷 제품 계정정보 탈취	자격증명 도용	전 계정 비밀번호 변경
6월 23일	D-Link DIR 시리즈	메모리 버퍼 범위 초과 연산	모델별 펌웨어
6월 23일	FFmpeg	범위를 벗어난 쓰기	8.1.2 / 8.0.3
6월 24일	LangGenius Dify	권한 우회, 경로 탐색	1.14.2 / 1.15.0 이상
6월 26일	F5 NGINX 제품군	use-after-free	제품별 패치 버전
6월 26일	IBM Db2	자원 할당 제한 미흡	Special Build 적용
6월 26일	Lantronix EDS5000	코드 인젝션	2.2.0.0R1 이상
6월 26일	Spring Framework	자원 소모 제어 미흡	계열별 패치 버전

포티넷 제품 계정정보 탈취 주의 권고

KISA는 6월 21일 포티넷 제품의 계정정보 탈취에 따른 피해 주의를 당부했다. 제품 취약점이 아니라 계정 자격증명이 도용된 사례를 다룬 공지다.

확인된 공격 방식

공격자는 자동화 도구로 인터넷에 노출된 포티넷 방화벽과 VPN 장비를 탐색한다. 이후 과거 데이터 유출 사고에서 확보한 비밀번호 목록을 사용해 장비 접속을 시도한다.

해외 보안업체 보고서에 따르면 침해된 장비 한 대가 다음 공격의 정보 수집 지점으로 사용된다. 공격자는 해당 장비에서 네트워크 트래픽을 모니터링하고 추가 자격증명을 수집하며, 새로 확보한 계정 정보를 다시 다른 장비 공격에 사용한다. 보고서는 이를 자기증식형 구조로 설명했다.

KISA는 참고 사이트의 확인 절차를 통해 비정상 로그인 등 이상 증상이 확인되면 즉시 신고할 것과, 포티넷 제품 사용 시 관리자를 포함한 모든 계정의 아이디와 비밀번호를 변경할 것을 권고했다.

포티넷은 2025년 12월 10일과 2026년 2월 2일, 5월 18일, 6월 19일에 인증 우회 또는 권한 관련 취약점으로 공지된 바 있다. 이번 공지는 그와 별개로 자격증명 자체가 도용된 사례다.

네트워크 장비와 임베디드 제품 취약점

D-Link DIR 시리즈

D-Link DIR 시리즈에서 메모리 버퍼 범위를 벗어난 연산 제한 미흡 취약점(CVE-2016-5681)이 확인됐다. CVE 번호가 2016년에 부여된 취약점이다. DIR-895L, DIR-890L, DIR-885L, DIR-880L, DIR-868L, DIR-850L 등이 대상이며 모델과 하드웨어 리비전마다 해결 펌웨어가 다르다.

3월 26일 TP-Link 공지에서도 2015년 CVE가 포함된 바 있다. 가정용 공유기는 펌웨어 업데이트가 이뤄지지 않은 상태로 장기간 사용되는 경우가 많다.

란트로닉스 EDS5000

란트로닉스 EDS5000에서 코드 인젝션 취약점(CVE-2025-67038)이 확인됐다. 2.1.0.0R3 이하가 영향을 받으며 2.2.0.0R1 이상에서 해결된다. EDS5000은 시리얼 장비를 네트워크에 연결하는 디바이스 서버로, 산업 설비나 계측 장비를 원격 관리하는 환경에서 사용된다.

F5 엔진엑스 제품군

F5는 엔진엑스 제품군에서 use-after-free 취약점(CVE-2026-42530)을 해결했다. 오픈소스 1.31.2, 인스턴스 매니저 2.22.1, 게이트웨이 패브릭 2.6.4, 인그레스 컨트롤러 5.5.1 이상에서 해결되며, 게이트웨이 패브릭 1.6.2 이하와 인그레스 컨트롤러 4.0.1 이하는 마이그레이션 대상이다.

엔진엑스 관련 공지는 3월 9일, 4월 17일, 5월 20일, 5월 24일, 6월 18일에 이어 이번이 여섯 번째다.

AI 플랫폼과 데이터베이스 취약점

랭지니어스 Dify

AI 애플리케이션 개발 플랫폼 Dify에서 취약점 4건이 확인됐다. 사용자 제어 키를 통한 권한 우회 3건(CVE-2026-41947, CVE-2026-41949, CVE-2026-41950)과 상대 경로 탐색 1건(CVE-2026-41948)이다.

취약점	영향받는 버전	해결 버전
CVE-2026-41947, CVE-2026-41949	1.14.2 미만	1.14.2 이상
CVE-2026-41948	1.14.2 미만	1.15.0 이상
CVE-2026-41950	1.14.0 미만	1.14.0 이상

취약점마다 해결 버전이 다르며, 경로 탐색 취약점만 1.15.0 이상에서 해결된다. 3월 27일 랭플로우, 5월 12일 올라마에 이어 AI 개발 도구 관련 공지가 이어졌다.

IBM Db2와 그 밖의 건

IBM Db2에서 제한이나 조절 없는 자원 할당 취약점(CVE-2026-1718)이 확인됐다. 12.1.0 이상 12.1.4 이하는 Special Build 83501, 11.5.0 이상 11.5.9 이하는 Special Build 81937에서 해결된다.

멀티미디어 처리 라이브러리 FFmpeg에서는 범위를 벗어난 쓰기 취약점(CVE-2026-8461)이 확인돼 8.1.2와 8.0.3에서 해결된다. 스프링 프레임워크의 자원 소모 제어 미흡 취약점(CVE-2026-41842)은 7.0.8, 6.2.19, 6.1.28, 5.3.49 이상에서 해결되며, 바로 전주 공지에 이어 두 주 연속으로 게시됐다.

정리

포티넷 계정정보 탈취 권고는 이번 주 공지 가운데 대응 방식이 다르다. 제품 취약점이 아니므로 패치로 해결되지 않으며, KISA가 제시한 조치는 전 계정의 아이디와 비밀번호 변경이다.

스프링 프레임워크와 엔진엑스는 전주에 이어 다시 공지됐고, 각 주의 취약점과 해결 버전이 서로 다르다. 전주 공지에 따라 업데이트한 환경에서도 이번 주 해결 버전이 확인 대상이다.

포티넷 계정정보 탈취 | 출처: KISA 보호나라, 포티넷 제품 계정정보 탈취에 따른 피해 주의 (2026-06-21)

D-Link DIR 시리즈 | 출처: KISA 보호나라, D-Link 제품 보안 주의 권고 (2026-06-23)

FFmpeg | 출처: KISA 보호나라, FFmpeg 제품 보안 업데이트 권고 (2026-06-23)

랭지니어스 Dify | 출처: KISA 보호나라, LangGenius 제품 보안 업데이트 권고 (2026-06-24)

F5 엔진엑스 제품군 | 출처: KISA 보호나라, F5 제품 보안 업데이트 권고 (2026-06-26)

IBM Db2 | 출처: KISA 보호나라, IBM 제품 보안 업데이트 권고 (2026-06-26)

란트로닉스 EDS5000 | 출처: KISA 보호나라, Lantronix 제품 보안 업데이트 권고 (2026-06-26)

스프링 프레임워크 | 출처: KISA 보호나라, Spring 제품 보안 업데이트 권고 (2026-06-26)

KISA 보안 공지 : 2026년 6월 3주차 권고사항 정리

jys275 — Mon, 31 Aug 2026 00:38:27 +0900

이번 주 KISA 보안공지 개요

2026년 6월 13일부터 19일까지 보호나라에 게시된 보안공지는 9건으로, 모두 제품 보안 업데이트 권고다. 스프링 관련 공지가 이틀에 걸쳐 두 차례 게시됐고, 웹서버 HTTP/2 구현 취약점은 여러 제품을 함께 다뤘다.

HTTP/2 취약점은 영향받는 5개 제품 가운데 3개에 패치가 제공되지 않는 상태로 공지됐다.

이번 주 공지 목록

게시일	대상 제품	취약점	해결 버전
6월 15일	Oracle PeopleSoft PeopleTools	핵심 기능 인증 누락	오라클 보안 패치
6월 15일	Splunk Enterprise	핵심 기능 인증 누락	10.2.4 / 10.0.7
6월 17일	Ivanti Sentry	명령어 삽입, 인증 우회	10.7.1 / 10.6.2 / 10.5.2
6월 17일	OpenSSL	무결성 검사값 검증 미흡 등 3건	계열별 패치 버전
6월 17일	Spring 다수 제품	자원 소모 제어 미흡 등	제품별 패치 버전
6월 18일	웹서버 HTTP/2 구현	과도한 크기 메모리 할당	nginx 1.29.8 / Apache 2.4.68
6월 18일	Spring Framework 외	불충분한 난수 사용 등	제품별 패치 버전
6월 19일	Cisco ISE, ISE-PIC	경로 탐색, 부적절한 권한 부여	패치별 버전
6월 19일	FortiSandbox	경로 탐색, 명령어 삽입	5.0.6 / 4.4.9 이상

웹서버 HTTP/2 구현 취약점

KISA는 6월 18일 nginx, 아파치 HTTP 서버, 마이크로소프트 IIS, Envoy, 클라우드플레어 핑고라의 HTTP/2 구현에서 발생하는 과도한 크기 값 메모리 할당 취약점(CVE-2026-49975)을 공지했다. 서로 다른 제조사의 제품이 동일한 취약점으로 함께 공지된 사례다.

영향받는 제품과 해결 버전

제품	영향받는 버전	해결 버전
nginx	1.29.8 미만	1.29.8 이상
Apache HTTP Server	2.4.17 이상 2.4.67 이하	2.4.68 이상
Microsoft IIS	HTTP/2 활성화 시 전체 버전	패치 미제공
Envoy	HTTP/2 활성화 시 전체 버전	패치 미제공
Cloudflare Pingora	HTTP/2 활성화 시 전체 버전	패치 미제공

IIS, Envoy, 클라우드플레어 핑고라는 공지 시점에 패치가 제공되지 않았다. 세 제품은 HTTP/2가 활성화된 모든 버전이 영향 대상이다. 패치가 제공되는 제품은 nginx와 아파치 HTTP 서버 두 가지다.

HTTP/2는 하나의 연결에서 여러 요청을 동시에 처리하는 프로토콜이다. 요청 크기를 계산하는 과정에서 과도한 값이 전달되면 서버가 그만큼의 메모리를 할당하게 되어 자원이 소진된다.

스프링 관련 취약점 2건

6월 17일 공지

마이크로미터에서 자원 소모 제어 미흡 취약점 2건(CVE-2026-40983, CVE-2026-40984), 스프링 인티그레이션에서 경로 탐색 취약점(CVE-2026-40987), 스프링 시큐리티에서 자원 소모 제어 미흡(CVE-2026-40988)과 신뢰할 수 없는 데이터 역직렬화(CVE-2026-40993), 스프링 웹 서비스에서 안전하지 않은 역직렬화 취약점이 확인됐다.

마이크로미터는 1.16.6, 1.15.12, 1.14.16, 1.13.19, 1.9.18 이상에서 각각 해결된다. 스프링 시큐리티는 5월 6일 강제 브라우징 취약점 공지에 이어 약 6주 만에 다시 게시됐다.

6월 18일 공지

스프링 클라우드 슬루스의 자원 소모 제어 미흡(CVE-2026-41708), 스프링 프레임워크의 불충분한 난수 사용(CVE-2026-41838), 스프링 클라우드 게이트웨이 서버의 출처 검증 오류(CVE-2026-47825), 스프링 AI 벡터 스토어의 데이터 질의 로직 특수문자 처리 미흡(CVE-2026-47835)이 확인됐다.

제품	영향받는 버전	해결 버전
Spring Framework	7.0.0 이상 7.0.7 이하	7.0.7.1 이상
Spring Framework	6.2.0 이상 6.2.18 이하	6.2.18.1 이상
Spring Framework	6.1.0 이상 6.1.27 이하	6.1.28 이상
Spring Framework	5.3.0 이상 5.3.48 이하	5.3.49 이상
Spring Cloud Sleuth	3.1.0 이상 3.1.13 이하	3.1.14 이상

불충분한 난수 사용은 세션 식별자나 토큰 생성에 사용되는 값의 예측 가능성이 높아지는 유형이다. 스프링 AI 벡터 스토어는 AI 관련 구성 요소로, 3월 이후 AI 도구 관련 공지가 이어지는 흐름과 같은 맥락에 있다.

인증 및 접근 제어 제품 취약점

오픈SSL

오픈SSL에서 무결성 검사값 검증 미흡 취약점 2건(CVE-2026-34181, CVE-2026-34182)과 순차 메모리 할당 제어 미흡 취약점(CVE-2026-34183)이 확인됐다. 4.0.1, 3.6.3, 3.5.7, 3.4.6 이상에서 각각 해결된다. 1월 30일 스택 버퍼 오버플로 공지에 이어 두 번째다.

시스코 ISE

시스코 ISE와 ISE-PIC에서 경로 탐색 취약점(CVE-2026-20181)과 부적절한 권한 부여 취약점(CVE-2026-20190)이 확인됐다. ISE는 3.5 Patch 4, 3.4 Patch 6, 3.3 Patch 11 이상에서 해결되며, 3.3 이하는 마이그레이션 대상이다. 4월 17일 공지에 이어 두 번째다.

이반티 센트리와 스플렁크

이반티 센트리에서 OS 명령어 삽입 취약점(CVE-2026-10520)과 대체 경로를 이용한 인증 우회 취약점(CVE-2026-10523)이 확인됐다. 10.7.1, 10.6.2, 10.5.2에서 해결된다. 이반티 제품은 2025년 12월 이후 다섯 번째 공지다.

스플렁크 엔터프라이즈에서는 핵심 기능 인증 누락 취약점(CVE-2026-20253)이 확인돼 10.2.4와 10.0.7에서 해결된다. 오라클 피플소프트 엔터프라이즈 피플툴스에서도 동일 유형의 취약점(CVE-2026-35273)이 확인됐으며 8.61과 8.62가 영향을 받는다.

포티샌드박스

FortiSandbox에서 경로 탐색 취약점(CVE-2026-39813)과 OS 명령어 삽입 취약점 2건(CVE-2026-39808, CVE-2026-25089)이 확인됐다. 5.0.6과 4.4.9 이상에서 해결된다. 5월 18일 권한 부여 누락 취약점 공지에 이어 한 달 만이며, 5월 공지의 해결 버전이던 4.4.9가 이번 공지에서도 해결 버전으로 제시됐다.

정리

이번 주 9건 가운데 인증이나 권한 부여와 관련된 취약점이 5건이다. 오라클 피플툴스, 스플렁크, 이반티 센트리는 모두 핵심 기능의 인증 또는 권한 처리에서 취약점이 확인됐다.

HTTP/2 취약점은 마이크로소프트 IIS, Envoy, 클라우드플레어 핑고라에 패치가 제공되지 않은 상태다. 이 세 제품에서는 HTTP/2 활성화 여부가 영향 대상 판단 기준이다.

오라클 피플소프트 | 출처: KISA 보호나라, Oracle 제품 보안 업데이트 권고 (2026-06-15)

스플렁크 엔터프라이즈 | 출처: KISA 보호나라, Splunk 제품 보안 업데이트 권고 (2026-06-15)

이반티 센트리 | 출처: KISA 보호나라, Ivanti 제품 보안 업데이트 권고 (2026-06-17)

오픈SSL | 출처: KISA 보호나라, OpenSSL 제품 보안 업데이트 권고 (2026-06-17)

스프링 다수 제품 | 출처: KISA 보호나라, Spring 제품 보안 업데이트 권고 (2026-06-17)

웹서버 HTTP/2 구현 | 출처: KISA 보호나라, 웹서버 HTTP/2 관련 제품 보안 업데이트 권고 (2026-06-18)

스프링 프레임워크 | 출처: KISA 보호나라, Spring 제품 보안 업데이트 권고 (2026-06-18)

시스코 ISE | 출처: KISA 보호나라, Cisco 제품 보안 업데이트 권고 (2026-06-19)

포티샌드박스 | 출처: KISA 보호나라, Fortinet 제품 보안 업데이트 권고 (2026-06-19)

KISA 보안 공지 : 2026년 6월 2주차 권고사항 정리

jys275 — Sun, 30 Aug 2026 00:22:11 +0900

이번 주 KISA 보안공지 개요

2026년 6월 6일부터 12일까지 보호나라에 게시된 보안공지는 5건으로, 모두 제품 보안 업데이트 권고다. 마이크로소프트 6월 정기 업데이트에서 긴급 등급이 11종으로 확인됐다.

국산 보안 솔루션 시큐브 TOS가 포함됐고, 백업 솔루션 빔과 파일 전송 서버 솔라윈즈 Serv-U는 각각 3월과 2월 공지에 이어 다시 게시됐다.

이번 주 공지 목록

게시일	대상 제품	취약점	해결 버전
6월 8일	Secuve TOS	명령 실행, 파일 업로드 및 실행	5.0.17.102 이상
6월 8일	SolarWinds Serv-U	자원 소모 제어 미흡	15.5.4 Hotfix 1
6월 10일	Linux Kernel	use-after-free	계열별 패치 버전
6월 10일	MS 6월 정기 업데이트	권한 상승 등	17종 패치 적용
6월 10일	Veeam Backup & Replication	역직렬화	12.3.2.4854 이상

국산 보안 솔루션 시큐브 TOS 취약점

시큐브의 서버 보안 솔루션 TOS에서 명령 실행, 파일 업로드, 파일 실행이 가능한 취약점이 확인됐다. 리눅스 버전 5.0.17.101 이하가 영향을 받으며 5.0.17.102 이상에서 해결된다.

영향받는 버전과 해결 버전

제품	영향받는 버전	해결 버전
Secuve TOS 5.0 (리눅스 버전)	5.0.17.101 이하	5.0.17.102 이상

TOS는 서버의 접근 통제와 권한 관리를 담당하는 보안 솔루션이다. 이 제품에서 명령 실행과 파일 업로드가 가능한 취약점이 확인된 경우, 해당 제품이 통제하던 서버의 권한 체계가 그대로 영향을 받는다. KISA는 제조사 문의를 통해 최신 버전으로 업데이트할 것을 권고했다.

2월 24일 포시에스 OZ 리포트, 2월 26일 삼성 매직인포, 4월 9일 인스웨이브 WGear, 6월 1일 AnySign4PC에 이어 국산 소프트웨어 관련 공지가 이어지고 있다.

백업과 파일 전송 서버 취약점

빔 백업 앤 리플리케이션

빔 백업 앤 리플리케이션에서 신뢰할 수 없는 데이터의 역직렬화 취약점(CVE-2026-44963)이 확인됐다. 12.3.2.4854 미만이 영향을 받는다. 3월 16일 취약점 4건이 공지된 이후 약 3개월 만이다.

역직렬화 취약점은 외부에서 전달된 데이터를 객체로 복원하는 과정에서 검증이 부족할 때 발생한다. 백업 서버는 조직의 데이터가 복제 저장되는 위치이므로, 이 서버가 침해되면 원본 시스템을 거치지 않고 데이터에 접근할 수 있다.

솔라윈즈 Serv-U

파일 전송 서버 솔라윈즈 Serv-U에서 자원 소모 제어 미흡 취약점(CVE-2026-28318)이 확인됐다. 15.5.4 이하가 영향을 받으며 15.5.4 Hotfix 1에서 해결된다. 2월 26일 원격 코드 실행 취약점 4건이 공지됐을 때 제시된 해결 버전이 15.5.4였으므로, 그 버전도 이번 취약점의 영향 대상이다.

마이크로소프트 6월 정기 업데이트

마이크로소프트는 6월 9일 정기 보안 업데이트로 17종을 발표했다. 긴급 11종과 중요 6종이다.

제품군별 영향

제품군	중요도	영향
Windows 11 (26H1, 25H2, 24H2, 23H2)	긴급	권한 상승
Windows Server 2025, 2022, 2019, 2016	긴급	권한 상승

윈도우 클라이언트와 서버의 권한 상승 취약점이 모두 긴급으로 분류됐다. 4월과 5월에 이어 세 달 연속으로 긴급 등급이 10종 이상이다.

같은 날 리눅스 커널의 use-after-free 취약점(CVE-2026-23111)도 공지됐다. 6.18.10, 6.12.70, 6.6.124, 6.1.163, 5.15.200 등 계열별 버전에서 해결된다.

정리

이번 주 5건 가운데 3건이 서버 인프라 제품이다. 시큐브 TOS는 서버 접근 통제, 빔은 백업, 솔라윈즈 Serv-U는 파일 전송을 각각 담당한다.

솔라윈즈 Serv-U는 2월 공지의 해결 버전이던 15.5.4가 이번 취약점의 영향 대상에 포함됐다. 2월 공지에 따라 15.5.4로 업데이트한 환경도 이번 핫픽스 적용이 확인 대상이다.

시큐브 TOS | 출처: KISA 보호나라, Secuve 제품 보안 업데이트 권고 (2026-06-08)

솔라윈즈 Serv-U | 출처: KISA 보호나라, SolarWinds 제품 보안 업데이트 권고 (2026-06-08)

리눅스 커널 | 출처: KISA 보호나라, Linux Kernel 보안 업데이트 권고 (2026-06-10)

MS 6월 정기 업데이트 | 출처: KISA 보호나라, MS 6월 보안 위협에 따른 정기 보안 업데이트 권고 (2026-06-10)

빔 백업 앤 리플리케이션 | 출처: KISA 보호나라, Veeam 제품 보안 업데이트 권고 (2026-06-10)

KISA 보안 공지 : 2026년 6월 1주차 권고사항 정리

jys275 — Sun, 30 Aug 2026 00:20:59 +0900

이번 주 KISA 보안공지 개요

2026년 5월 30일부터 6월 5일까지 보호나라에 게시된 보안공지는 12건이다. 제품 보안 업데이트 권고 9건에 더해, 국산 보안인증 소프트웨어 클리닝 서비스 안내와 OTT 플랫폼 유출 관련 주의 권고, 침해사고 증가에 따른 기업보안 강화 요청이 포함됐다.

기업보안 강화 요청은 클라우드 자격증명 탈취를 다뤘다. 개발자와 시스템 운영자 단말이 시작 지점으로 확인됐다는 내용이다.

이번 주 공지 목록

게시일	대상	유형	조치
6월 1일	Notepad++	범위 초과 읽기, 명령어 삽입	8.9.6.2 이상
6월 1일	AnySign4PC	버퍼 오버플로, 원격 코드 실행	v1.1.5.0
6월 2일	삼성 갤럭시	원격 코드 실행, 권한 상승 등	SMR Jun-2026 Release 1
6월 3일	OTT 플랫폼 유출 악용 스미싱	사칭 사기	URL 접속 중단
6월 4일	WordPress WP Maps Pro	핵심 기능 인증 누락	6.1.1 이상
6월 5일	GitLab EE	권한 우회, 크로스 사이트 스크립팅	계열별 패치 버전
6월 5일	HP Poly VVX, Trio	스택 버퍼 오버플로	제품별 패치 버전
6월 5일	IBM Verify Access, WebSphere	SSRF, 인증 우회 등	제품별 IF 적용
6월 5일	Palo Alto PAN-OS	쿠키 검증 미흡	계열별 패치 버전
6월 5일	Samba	접근 통제 미흡, 명령어 삽입	4.24.3 / 4.23.8 / 4.22.10
6월 5일	안드로이드OS	정수 오버플로우	2026-06-01 패치
6월 5일	침해사고 증가 기업보안 강화 요청	대응 요청	클라우드 자격증명 점검

클라우드 자격증명 탈취에 따른 기업보안 강화 요청

KISA는 6월 5일 최근 침해사고 증가에 따른 기업보안 강화를 요청하는 공지를 게시했다. 2026년 1월 6일에 이어 두 번째 요청이며, 이번에는 클라우드 자격증명 탈취를 구체적으로 다뤘다.

KISA가 제시한 침해 과정

공격은 IT 개발자와 시스템 운영자 단말의 악성코드 감염에서 시작된다. 공격자는 감염된 단말에서 소스코드 저장소, 설정 파일, 시스템 로그, 개발 환경을 통해 클라우드 자격증명을 수집한다.

탈취된 자격증명의 권한이 관리자 수준인 경우 피해 범위가 해당 권한 전체로 확대된다. KISA는 S3 버킷 읽기와 쓰기 권한을 예로 들었다. 이 경우 공격자는 해당 권한 범위의 클라우드 자산을 열람하고 제어할 수 있다. 백업 데이터처럼 민감정보가 저장된 자산이 노출되면 개인정보 유출로 이어진다.

3월 11일 개발자 유틸리티 위장 악성코드, 4월 1일과 5월 20일 개발도구 공급망 연쇄 공격에 이어, 개발자와 운영자 단말이 관련된 공지가 반복해서 게시되고 있다.

국산 보안인증 소프트웨어 AnySign4PC 클리닝 서비스

KISA는 6월 1일 보안인증 소프트웨어 AnySign4PC의 취약점과 관련해 클리닝 서비스를 가동한다고 안내했다. 취약점을 통해 버퍼 오버플로와 원격 코드 실행이 가능하다는 내용이다.

영향받는 버전과 해결 버전

제품	영향받는 버전	해결 버전
AnySign4PC	v1.1.4.4 이상 v1.1.4.6 이하	v1.1.5.0

AnySign4PC는 공동인증서 처리를 위해 금융기관과 공공기관 웹사이트에서 설치를 요구하는 프로그램이다. 이용자가 개별 사이트 접속 과정에서 설치하는 경우가 많아 설치 여부와 버전을 인지하지 못하는 경우가 있다. 4월 9일 인스웨이브 WGear에 이어 국산 금융 관련 소프트웨어의 클리닝 서비스 안내가 두 번째로 게시됐다.

파일 공유와 인증 제품 취약점

삼바

파일 공유 서버 삼바에서 취약점 4건이 확인됐다. 접근 통제 미흡(CVE-2026-1933), 데이터 진위 검증 부족(CVE-2026-3012), OS 명령어 삽입 2건(CVE-2026-4408, CVE-2026-4480)이다. 4.24.3, 4.23.8, 4.22.10 미만 버전이 각각 영향을 받으며 해당 버전 이상에서 해결된다.

삼바는 리눅스와 윈도우 사이의 파일 공유를 처리한다. OS 명령어 삽입이 성립하면 파일 서버에서 임의의 명령이 실행된다.

IBM 인증 및 애플리케이션 서버

IBM Verify Identity Access와 Security Verify Access에서 신뢰할 수 없는 제어 영역의 기능 포함(CVE-2026-1342), SSRF(CVE-2026-1343), 불필요한 권한으로 실행(CVE-2026-1346) 취약점이 확인됐다. 웹스피어 애플리케이션 서버에서는 스푸핑을 통한 인증 우회 취약점(CVE-2026-8644)이 확인됐다.

제품	영향받는 버전	해결 버전
Verify Identity Access, Container	11.0 이상 11.0.2 이하	11.0.2 IF2
Security Verify Access, Container	10.0 이상 10.0.9.1 이하	10.0.9.1 IF1

깃랩과 팔로알토

깃랩 EE에서 사용자 제어 키를 통한 권한 우회 취약점(CVE-2026-4868)과 크로스 사이트 스크립팅 취약점(CVE-2026-7481)이 확인됐다. 19.0.1, 18.11.4, 18.10.7 이상에서 각각 해결된다. 4월 29일 깃허브 엔터프라이즈 서버에 이어 자체 호스팅 개발 플랫폼의 취약점이 다시 게시됐다.

팔로알토 PAN-OS에서는 검증과 무결성 확인 없이 쿠키에 의존하는 취약점(CVE-2026-0257)이 확인됐다. 12.1.7, 12.1.4-h6, 11.2.12, 11.1.15 등 계열별 세부 버전에서 해결되며, 5월 7일 공지에 이어 한 달 만에 다시 게시됐다.

단말과 편집기 취약점

삼성 갤럭시

삼성전자는 갤럭시 기기에서 원격 코드 실행, 권한 상승, 정보 노출 등의 취약점을 해결한 업데이트를 배포했다. 안드로이드 14, 15, 16을 사용하는 기기가 대상이며 SMR Jun-2026 Release 1에서 해결된다. 같은 날 안드로이드OS의 정수 오버플로우 취약점(CVE-2025-48595)도 공지됐고, 2026-06-01 보안 패치 수준 적용으로 해결된다.

노트패드 플러스 플러스

노트패드 플러스 플러스에서 범위를 벗어난 읽기 취약점(CVE-2026-48770)과 OS 명령어 삽입 취약점 2건(CVE-2026-48778, CVE-2026-48800)이 확인됐다. 앞의 2건은 8.9.6.1에서, 마지막 1건은 8.9.6.2에서 해결된다. 2월 19일과 2월 24일에 이어 세 번째 공지다.

HP 폴리 IP 전화기

HP 폴리 VVX와 Trio 시리즈에서 스택 기반 버퍼 오버플로 취약점(CVE-2026-0826)이 확인됐다. Trio 8800과 8500은 7.2.8, Trio 8300은 8.1.7에서 해결된다. VVX 제품은 해결 버전이 배포 대기 상태이며, KISA는 ICE 기능을 사용하지 않는 경우 비활성화할 것을 권장했다.

워드프레스 WP Maps Pro 플러그인에서는 핵심 기능 인증 누락 취약점(CVE-2026-8732)이 확인돼 6.1.1 이상에서 해결된다.

OTT 플랫폼 유출 악용 스미싱 주의 권고

KISA는 6월 3일 OTT 플랫폼 개인정보 유출 사고를 악용한 스미싱과 피싱이 예상된다고 밝혔다. 사용되는 키워드는 피해보상, 피해사실 조회, 환불이다.

문자로는 긴급 앱 업데이트나 피해보상 신청 문구로 악성 URL 접속을 유도하고, 검색포털에서는 피해사실 조회 키워드로 피싱사이트를 상단에 노출시킨다. 2025년 12월 이커머스, 2026년 5월 여행 예약 플랫폼 사례와 동일한 구조다.

정리

이번 주 공지는 12건이며, 이 가운데 6월 5일에 7건이 집중됐다. 삼바, IBM, 깃랩, 팔로알토, 안드로이드가 같은 날 게시됐다.

기업보안 강화 요청은 클라우드 자격증명 탈취 경로로 개발자와 운영자 단말을 지목했다. 3월 이후 유틸리티 위장 악성코드, 공급망 연쇄 공격, 클라우드 자격증명 탈취로 이어지는 공지가 모두 같은 대상을 다루고 있다.

노트패드 플러스 플러스 | 출처: KISA 보호나라, Notepad++ 제품 보안 업데이트 권고 (2026-06-01)

AnySign4PC 클리닝 서비스 | 출처: KISA 보호나라, 보안인증 소프트웨어 취약점 관련 클리닝 서비스 가동 안내 (2026-06-01)

삼성 갤럭시 | 출처: KISA 보호나라, 삼성전자 제품 보안 업데이트 권고 (2026-06-02)

OTT 플랫폼 유출 악용 스미싱 | 출처: KISA 보호나라, OTT 플랫폼 개인정보 유출 사고 악용 스미싱 및 피싱 주의 권고 (2026-06-03)

워드프레스 WP Maps Pro | 출처: KISA 보호나라, WordPress 플러그인 보안 업데이트 권고 (2026-06-04)

깃랩 EE | 출처: KISA 보호나라, GitLab 제품 보안 업데이트 권고 (2026-06-05)

HP 폴리 IP 전화기 | 출처: KISA 보호나라, HP 제품 보안 업데이트 권고 (2026-06-05)

IBM 인증 및 웹스피어 | 출처: KISA 보호나라, IBM 제품 보안 업데이트 권고 (2026-06-05)

팔로알토 PAN-OS | 출처: KISA 보호나라, Palo Alto Networks 제품 보안 업데이트 권고 (2026-06-05)

삼바 | 출처: KISA 보호나라, Samba 제품 보안 업데이트 권고 (2026-06-05)

안드로이드OS | 출처: KISA 보호나라, 안드로이드OS 보안 업데이트 권고 (2026-06-05)

기업보안 강화 요청 | 출처: KISA 보호나라, 최근 침해사고 증가에 따른 기업보안 강화 요청 (2026-06-05)

KISA 보안 공지 : 2026년 5월 5주차 권고사항 정리

jys275 — Sun, 30 Aug 2026 00:19:14 +0900

이번 주 KISA 보안공지 개요

2026년 5월 23일부터 29일까지 보호나라에 게시된 보안공지는 7건으로, 모두 제품 보안 업데이트 권고다. 암호화 라이브러리 wolfSSL에서 취약점 8건이, 엔비디아 디스플레이 드라이버에서 다수의 취약점이 확인됐다.

엔진엑스와 엔비디아는 바로 전주에 이어 두 주 연속으로 공지에 포함됐다.

이번 주 공지 목록

게시일	대상 제품	취약점	해결 버전
5월 24일	NGINX	힙 버퍼 오버플로	1.29.7 / R35 이상
5월 24일	wolfSSL	암호 처리 관련 8건	5.9.1 이상
5월 26일	NVIDIA GPU Display Driver	입력값 검증 미흡 외 다수	드라이버별 패치 버전
5월 27일	Trend Micro Apex One	상대 경로 탐색	SP1 Build 17079 이상
5월 28일	7-Zip	범위를 벗어난 쓰기	26.01 이상
5월 29일	Linux Kernel	권한 관리 미흡	계열별 패치 버전
5월 29일	Portainer	권한 부여 누락 2건	2.41.0 / 2.39.2 / 2.33.8

wolfSSL 암호 처리 취약점 8건

경량 암호화 라이브러리 wolfSSL에서 취약점 8건이 확인됐다. 5.9.1 미만 버전이 모두 영향을 받으며 5.9.1 이상에서 해결된다.

확인된 취약점

취약점	내용
CVE-2026-5446	ARIA-GCM Nonce 재사용
CVE-2026-5447	AuthorityKeyIdentifier 처리 힙 버퍼 오버플로
CVE-2026-5448	X.509 날짜 필드 처리 버퍼 오버플로
CVE-2026-5477	AES-EAX/CMAC 인증 우회
CVE-2026-5479	ChaCha20-Poly1305 인증 태그 검증 누락
CVE-2026-5500	AES-GCM 인증 태그 길이 검증 누락
CVE-2026-5501, CVE-2026-5503	암호 처리 관련 취약점

8건 가운데 4건이 인증 태그 검증이나 인증 우회에 해당한다. 인증 태그는 암호화된 데이터가 전송 중 변조되지 않았음을 확인하는 값이다. 이 검증이 누락되면 공격자가 암호문을 변조해도 수신 측이 정상으로 처리한다. Nonce 재사용 취약점은 동일한 일회용 값을 재사용할 때 암호문에서 평문 정보를 복원할 수 있게 되는 유형이다.

wolfSSL은 임베디드 기기와 IoT 장비처럼 자원이 제한된 환경의 TLS 처리에 사용된다. 이런 기기는 펌웨어 업데이트 경로가 제한적인 경우가 많아, 제조사가 배포하는 업데이트를 통해 반영된다.

엔비디아 GPU 디스플레이 드라이버 취약점

엔비디아 GPU 디스플레이 드라이버에서 취약점 다수가 확인됐다. 입력값 검증 미흡(CVE-2025-33221), 잠금 처리 미흡(CVE-2026-24182), 권한 부여 누락(CVE-2026-24190), TOCTOU 경쟁 상태(CVE-2026-24191), 숫자 형식 간 잘못된 변환(CVE-2026-24192), 범위를 벗어난 쓰기 등이다.

주요 해결 버전

플랫폼	영향받는 버전	해결 버전
Windows (GeForce, RTX, Quadro, NVS, Tesla)	596.36 / 582.53 / 539.72 미만	596.36 / 582.53 / 539.72
Linux (GeForce, RTX, Quadro, NVS, Tesla)	595.71.05 / 580.159.03 미만	595.71.05 / 580.159.03

바로 전주 5월 22일에도 리눅스용 드라이버의 use-after-free 취약점이 공지됐다. 두 주에 걸쳐 확인된 취약점이 서로 다르므로, 5월 22일 공지에 따라 업데이트한 경우에도 이번 공지의 해결 버전이 확인 대상이다.

그래픽 드라이버는 커널 권한으로 동작한다. 권한 부여 누락이나 경쟁 상태 취약점이 확인되면 일반 사용자 권한에서 시스템 권한을 확보하는 경로가 된다.

컨테이너 관리 도구와 백신 서버 취약점

포테이너

컨테이너 관리 도구 포테이너에서 권한 부여 누락 취약점 2건(CVE-2026-44848, CVE-2026-44849)이 확인됐다. 2.40.0 이상 2.41.0 미만은 2.41.0에서, 2.39.0 이상 2.39.2 미만은 2.39.2에서, 2.33.0 이상 2.33.8 미만은 2.33.8에서 해결된다.

포테이너는 웹 화면에서 도커와 쿠버네티스 환경을 관리하는 도구다. 권한 부여가 누락되면 권한이 없는 사용자가 컨테이너를 생성하거나 삭제할 수 있게 된다. 4월 8일 도커 엔진 인증 우회 취약점에 이어 컨테이너 환경 관련 공지가 이어졌다.

트렌드마이크로 에이펙스 원

백신 제품 에이펙스 원 2019 온프레미스 버전에서 상대 경로 탐색 취약점(CVE-2026-34926)이 확인됐다. 서버와 에이전트 SP1 Build 17079 미만이 영향을 받는다. 1월 12일 에이펙스 센트럴 취약점에 이어 같은 제품군에서 두 번째 공지다.

그 밖의 건

엔진엑스에서 힙 기반 버퍼 오버플로 취약점(CVE-2026-27654)이 확인돼 오픈소스는 1.29.7, 플러스는 R35 이상에서 해결된다. 7-Zip의 범위를 벗어난 쓰기 취약점(CVE-2026-48095)은 26.01 이상에서 해결된다. 리눅스 커널의 권한 관리 미흡 취약점(CVE-2026-46333)은 7.0.8, 6.18.31, 6.12.89, 6.6.139, 6.1.173, 5.15.207, 5.10.256 이상에서 각각 해결된다.

정리

이번 주 7건 가운데 wolfSSL과 엔비디아 드라이버는 확인된 취약점 수가 많다. wolfSSL은 8건이 모두 5.9.1에서 해결되므로 대응이 단순하지만, 임베디드 기기에 포함된 경우 제조사 업데이트를 거쳐야 반영된다.

엔진엑스와 엔비디아는 두 주 연속으로 공지에 포함됐고, 각 주의 취약점이 서로 다르다. 전주 공지에 따라 업데이트한 경우에도 이번 주 해결 버전이 별도 확인 대상이다.

엔진엑스 | 출처: KISA 보호나라, NGINX 제품 보안 업데이트 권고 (2026-05-24)

wolfSSL | 출처: KISA 보호나라, wolfSSL 제품 보안 업데이트 권고 (2026-05-24)

엔비디아 디스플레이 드라이버 | 출처: KISA 보호나라, NVIDIA 제품 보안 업데이트 권고 (2026-05-26)

트렌드마이크로 에이펙스 원 | 출처: KISA 보호나라, Trend Micro 제품 보안 업데이트 권고 (2026-05-27)

7-Zip | 출처: KISA 보호나라, 7-Zip 제품 보안 업데이트 권고 (2026-05-28)

리눅스 커널 | 출처: KISA 보호나라, Linux Kernel 보안 업데이트 권고 (2026-05-29)

포테이너 | 출처: KISA 보호나라, Portainer 제품 보안 업데이트 권고 (2026-05-29)

KISA 보안 공지 : 2026년 5월 4주차 권고사항 정리

jys275 — Sun, 30 Aug 2026 00:17:52 +0900

이번 주 KISA 보안공지 개요

2026년 5월 16일부터 22일까지 보호나라에 게시된 보안공지는 12건이다. 수집 기간 중 가장 많은 건수다. 제품 보안 업데이트 권고 10건과 주의 권고 2건으로 구성됐다.

주의 권고 2건 가운데 하나는 4월 1일 게시된 개발도구 공급망 연쇄 공격의 2차 권고다. 영향받는 소프트웨어 목록이 추가됐다.

이번 주 공지 목록

게시일	대상	유형	조치
5월 18일	Exim	use-after-free	4.99.3 이상
5월 18일	FortiAuthenticator, FortiSandbox	접근 통제 미흡, 권한 부여 누락	제품별 패치 버전
5월 18일	SAP Commerce Cloud, S/4HANA	정리 미흡, SQL 인젝션	별도 보안 패치
5월 19일	Linux kernel	길이 파라미터 처리 오류	6.19.13 / 6.18.23 이상
5월 20일	Cisco Catalyst SD-WAN	부적절한 인증	계열별 패치 버전
5월 20일	NGINX	힙 버퍼 오버플로	1.30.1 / R36 P4 이상
5월 20일	개발도구 공급망 연쇄 공격 2차	공급망 침해	헌팅 가이드로 자체 점검
5월 21일	고유가 지원금 사칭 스미싱	사칭 사기	URL 접속 중단
5월 22일	Cisco Secure Workload	핵심 기능 인증 누락	4.0.3.17 / 3.10.8.3 이상
5월 22일	Ivanti Xtraction	파일 경로 외부 제어	2026.2 이상
5월 22일	NVIDIA Display Driver	use-after-free	드라이버별 패치 버전
5월 22일	VMware Fusion	TOCTOU 경쟁 상태	26H1 이상

개발도구 공급망 연쇄 공격 2차 권고

KISA는 5월 20일 개발도구 공급망을 통한 연쇄적 사이버 공격에 대한 2차 권고를 게시했다. 4월 1일 1차 권고 이후 영향받는 소프트웨어가 추가로 확인된 데 따른 것이다.

추가 확인된 영향 소프트웨어

공격 구조는 1차 권고와 동일하다. 공격자가 트리비의 CI/CD 자격증명을 탈취해 악성 버전을 배포했고, 그 실행 과정에서 수집한 환경변수와 SSH 키, 클라우드 인증정보로 다른 생태계를 순차 감염시켰다.

대상	생태계	영향 버전
Trivy (바이너리, Action, Docker)	GitHub, Docker Hub	v0.69.4
npm 패키지 64개 이상 (CanisterWorm)	npm	헌팅 가이드 부록 참조
KICS/AST GitHub Actions, VS Code 확장	OpenVSX, GitHub	ast-results 2.53.0, cx-dev-assist 1.7.0
litellm	PyPI	1.82.7, 1.82.8
telnyx	PyPI	4.87.1, 4.87.2
KICS Docker 이미지, ast-github-action	GitHub, Docker Hub	2.3.35
@cap-js/db-service	npm	2.10.1
@cap-js/sqlite	npm	2.2.2
Jenkins Checkmarx AST Scanner	Jenkins marketplace	2026.5 계열

1차 권고 시점에 목록에 없던 패키지가 추가됐다는 점이 2차 권고의 핵심이다. 4월에 점검을 완료한 조직도 새로 추가된 항목을 대상으로 다시 확인하는 절차가 안내됐다. 젠킨스 플러그인과 CAP 관련 npm 패키지가 새로 포함됐다.

감염 시스템에는 pgmon 또는 sysmon 백도어가 설치되고 systemd 사용자 서비스로 등록돼 주기적으로 C2 서버와 통신한다. KISA는 첨부된 헌팅 가이드로 자체 점검할 것을 안내했다.

경계 장비 및 인증 제품 취약점

포티넷 두 제품

포티넷은 FortiAuthenticator의 접근 통제 미흡 취약점(CVE-2026-44277)과 FortiSandbox 계열의 권한 부여 누락 취약점(CVE-2026-26083)을 해결했다.

취약점	제품	영향받는 버전	해결 버전
CVE-2026-44277	FortiAuthenticator	8.0.0, 8.0.2	8.0.3 이상
CVE-2026-44277	FortiAuthenticator	6.6.8 이하 / 6.5.6 이하	6.6.9 / 6.5.7 이상
CVE-2026-26083	FortiSandbox	5.0.1 이하 / 4.4.8 이하	5.0.2 / 4.4.9 이상
CVE-2026-26083	FortiSandbox Cloud 23, 24	모든 버전	해결 버전으로 마이그레이션

FortiAuthenticator는 사용자 인증을 담당하고 FortiSandbox는 의심 파일을 격리 실행해 분석한다. 두 제품 모두 접근 통제와 권한 부여에 해당하는 취약점이 확인됐다.

시스코 두 건

5월 20일 공지는 카탈리스트 SD-WAN 컨트롤러와 매니저의 부적절한 인증 취약점(CVE-2026-20182)을 다뤘다. 20.12부터 26.1까지 여러 계열이 영향을 받으며, 26.1은 26.1.1.1, 20.18과 20.16은 20.18.2.2, 20.15는 20.15.4.4 또는 20.15.5.2에서 해결된다.

5월 22일 공지는 시큐어 워크로드의 핵심 기능 인증 누락 취약점(CVE-2026-20223)을 다뤘다. 4.0은 4.0.3.17 이상, 3.10은 3.10.8.3 이상에서 해결되며 3.9 이하는 마이그레이션 대상이다.

엔진엑스 힙 버퍼 오버플로

엔진엑스에서 힙 기반 버퍼 오버플로 취약점(CVE-2026-42945)이 확인됐다. 엔진엑스 오픈소스는 1.30.1 이상, 엔진엑스 플러스는 R36 P4 또는 R32 P6 이상에서 해결된다. R33부터 R35까지와 오픈소스 0.9.7 이하는 마이그레이션 대상이다.

메일 서버, 기업용 소프트웨어, 드라이버 취약점

Exim 메일 서버

메일 전송 에이전트 Exim에서 use-after-free 취약점(CVE-2026-45185)이 확인됐다. 4.97 이상 4.99.2 이하가 영향을 받으며 4.99.3 이상에서 해결된다. Exim은 유닉스 계열 서버의 메일 전송에 널리 사용되며, 외부에서 접속을 수신하는 위치에 배치된다.

SAP 두 제품

SAP 커머스 클라우드에서 정리 미흡 취약점(CVE-2026-34263)이, S/4HANA의 ABAP 엔터프라이즈 서치에서 SQL 인젝션 취약점(CVE-2026-34260)이 확인됐다. 두 건 모두 버전 업데이트가 아니라 별도 보안 패치로 제공된다. 영향받는 대상은 커머스 클라우드의 HY_COM 2205, COM_CLOUD 2211 계열과 S/4HANA의 SAP_BASIS 751 이상 758 이하 및 816이다.

엔비디아 디스플레이 드라이버

엔비디아 디스플레이 드라이버에서 use-after-free 취약점(CVE-2026-24187)이 확인됐다. 리눅스용 GPU 디스플레이 드라이버는 595.71.05, 580.159.03, 535.309.01에서 각각 해결되며, vGPU 게스트 드라이버는 20.1과 19.5에서 해결된다.

그 밖의 건

리눅스 커널에서 길이 파라미터 불일치 처리 오류 취약점(CVE-2026-31635)이 확인돼 6.19.13과 6.18.23 이상에서 해결된다. 이반티 Xtraction의 파일 이름 및 경로 외부 제어 취약점(CVE-2026-8043)은 2026.2 이상에서, VMware 퓨전의 TOCTOU 경쟁 상태 취약점(CVE-2026-41702)은 26H1 이상에서 해결된다.

고유가 지원금 사칭 스미싱 탐지 사례

KISA는 5월 21일 고유가 지원금 신청 안내를 명분으로 한 스미싱 문자가 유포되고 있다고 밝혔다. 4월 16일 게시된 같은 주제의 주의 권고에 이어, 실제로 확인된 사례를 정리한 내용이다.

사용된 키워드는 국민 지원금, 신청 안내, 정부24다. 정부24를 사칭한 문자에 포함된 악성 URL로 피싱사이트 접속과 악성앱 설치를 유도한다.

설치 단계가 두 단계로 나뉘어 있다는 점이 이번 사례에서 확인된 특징이다. 정상 앱 다운로드 사이트로 위장한 피싱 페이지에서 가짜 PDF 문서 뷰어 앱을 먼저 설치하게 하고, 그 앱이 다시 2차 악성 앱을 내려받는다. 2차 앱은 휴대폰의 화면 정보를 수집한다.

KISA는 수신한 스미싱 문자의 URL을 접속하지 말고 삭제할 것과, 보호나라 카카오톡 채널의 확인 서비스로 악성 여부를 판별할 것을 안내했다.

정리

이번 주 공지는 12건으로 수집 기간 중 가장 많다. 이 가운데 시스코가 2건, 포티넷이 1건으로 경계 장비 관련 공지가 3건을 차지한다.

개발도구 공급망 연쇄 공격은 4월 1일 1차 권고 이후 약 7주 만에 2차 권고가 게시됐다. 영향 목록에 젠킨스 플러그인과 CAP 관련 npm 패키지가 추가됐으므로, 1차 권고 시점에 점검을 완료한 조직도 추가 항목이 확인 대상이다.

Exim | 출처: KISA 보호나라, Exim 제품 보안 업데이트 권고 (2026-05-18)

포티넷 인증 및 샌드박스 | 출처: KISA 보호나라, Fortinet 제품 보안 업데이트 권고 (2026-05-18)

SAP 커머스 클라우드 | 출처: KISA 보호나라, SAP 제품 보안 업데이트 권고 (2026-05-18)

리눅스 커널 | 출처: KISA 보호나라, Linux kernel 보안 업데이트 권고 (2026-05-19)

시스코 SD-WAN | 출처: KISA 보호나라, Cisco 제품 보안 업데이트 권고 (2026-05-20)

엔진엑스 | 출처: KISA 보호나라, NGINX 제품 보안 업데이트 권고 (2026-05-20)

공급망 연쇄 공격 2차 권고 | 출처: KISA 보호나라, 개발도구 공급망을 통한 연쇄적 사이버 공격주의 2차 권고 (2026-05-20)

고유가 지원금 사칭 스미싱 | 출처: KISA 보호나라, (사례) 고유가 지원금 사칭 스미싱 및 피싱 주의 권고 (2026-05-21)

시스코 시큐어 워크로드 | 출처: KISA 보호나라, Cisco 제품 보안 업데이트 권고 (2026-05-22)

이반티 Xtraction | 출처: KISA 보호나라, Ivanti 제품 보안 업데이트 권고 (2026-05-22)

엔비디아 디스플레이 드라이버 | 출처: KISA 보호나라, NVIDIA 제품 보안 업데이트 권고 (2026-05-22)

VMware 퓨전 | 출처: KISA 보호나라, VMware 제품 보안 업데이트 권고 (2026-05-22)

KISA 보안 공지 : 2026년 5월 3주차 권고사항 정리

jys275 — Sun, 30 Aug 2026 00:16:01 +0900

이번 주 KISA 보안공지 개요

2026년 5월 9일부터 15일까지 보호나라에 올라온 보안공지는 5건이다. 마이크로소프트 5월 정기 업데이트에서 긴급이 12종으로 늘었고, 여행 예약 플랫폼 해킹으로 유출된 정보를 악용한 스미싱 주의 권고가 함께 게시됐다.

로컬 LLM 실행 도구 올라마가 처음 공지에 오른 점도 확인된다. KISA는 즉시 업데이트가 어려운 경우의 완화 조치까지 구체적으로 안내했다.

이번 주 공지 목록

게시일	대상	유형	조치
5월 12일	Ollama	범위를 벗어난 읽기	0.17.1 이상
5월 12일	cPanel & WHM, WP Squared	입력값 검증, 코드 인젝션 등	계열별 패치 버전
5월 12일	여행 예약 플랫폼 해킹 악용 스미싱	사칭 사기	결제 정보 입력 금지
5월 14일	Linux Kernel	임의 메모리 쓰기, 범위 초과 쓰기	계열별 패치 버전
5월 14일	MS 5월 정기 업데이트	권한 상승, 원격 코드 실행	16종 패치 적용

여행 예약 플랫폼 유출 정보 악용 스미싱

KISA는 5월 12일 여행 예약 플랫폼 해킹으로 유출된 개인정보를 활용한 스미싱이 유포되고 있다며 주의를 당부했다. 결제 문제 발생이나 예약 취소 방지를 위한 재확인 같은 문구로 호텔 직원을 사칭하는 방식이다.

공격 방식

공격자는 유출된 숙박 예약 정보를 이용해 문자메시지와 메신저로 접근한다. 호텔 관리자를 사칭해 카드 정보 확인이 되지 않는다며 인증 절차를 요구하고, 공식 사이트와 유사하게 만든 피싱 URL로 결제 정보를 입력하게 유도한다.

실제 예약 정보를 알고 접근하기 때문에 피해자가 의심하기 어렵다. 예약한 호텔 이름과 날짜가 정확히 맞는 상황에서 결제 문제를 알려오면 정상 연락으로 인식될 수 있다. 2025년 12월 이커머스 유출 사건 때와 같은 구조로, 정보가 유출된 이상 상세 정보를 안다는 사실은 더 이상 신원 확인 근거가 되지 못한다.

결제와 송금으로 이어지는 2차 피해가 예상되는 만큼, 예약 관련 연락을 받으면 문자의 링크가 아니라 해당 플랫폼의 공식 앱이나 홈페이지에서 직접 확인하는 방법이다.

올라마 범위 초과 읽기 취약점

로컬 LLM 실행 도구 올라마에서 범위를 벗어난 읽기 취약점(CVE-2026-7482)이 확인됐다. 0.17.1 미만이 영향을 받는다.

영향받는 버전과 해결 방안

취약점	제품	영향받는 버전	해결 버전
CVE-2026-7482	Ollama	0.17.1 미만	0.17.1 이상

KISA는 즉시 업데이트가 어려운 경우의 완화 조치를 함께 제시했다. 올라마의 외부 접근을 제한하고 API 키를 교체하라는 것이다. 구체적으로는 sudo systemctl edit ollama.service 명령으로 OLLAMA_HOST=0.0.0.0 설정을 삭제하라고 안내했다.

이 설정은 올라마가 모든 네트워크 인터페이스에서 요청을 받도록 여는 것이다. 개발 편의를 위해 이렇게 설정해 두고 그대로 운영하는 경우가 많은데, 그러면 로컬 도구가 사실상 공개 서버가 된다. 3월 랭플로우, 4월 오픈클로에 이어 AI 관련 도구의 공지가 이어지고 있다.

마이크로소프트 5월 정기 업데이트

마이크로소프트는 5월 12일 정기 보안 업데이트로 16종을 발표했다. 긴급 12종과 중요 4종으로, 긴급 비중이 4월보다 더 높아졌다.

제품군별 영향

제품군	중요도	영향
Windows 11 (26H1, 25H2, 24H2, 23H2)	긴급	권한 상승
Windows Server 2025, 2022, 2019, 2016	긴급	권한 상승
Microsoft Office	긴급	원격 코드 실행
Microsoft SharePoint	긴급	원격 코드 실행
Microsoft Dynamics 365	긴급	원격 코드 실행
Windows Admin Center	중요	권한 상승
Microsoft .NET	중요	권한 상승
Microsoft Visual Studio	중요	보안 기능 우회

셰어포인트가 다시 긴급 원격 코드 실행으로 올랐다. 2025년 12월, 2026년 3월에 이어 세 번째다. 사내 문서가 집중되는 협업 서버인 만큼 패치 적용 여부를 별도로 관리할 해당한다.

웹호스팅 제어판 및 리눅스 커널 취약점

cPanel과 WHM

웹호스팅 관리 도구 cPanel과 WHM, WP Squared에서 취약점 3건이 확인됐다. 입력값 검증 미흡(CVE-2026-29201), 코드 인젝션(CVE-2026-29202), 심볼릭 링크 추적(CVE-2026-29203)이다. 11.110부터 11.136까지 여러 계열이 영향을 받으며, 계열마다 해결 버전이 별도로 지정돼 있다.

cPanel은 호스팅 서비스에서 여러 고객의 웹사이트를 한 서버에 올려두고 관리하는 데 사용된다. 심볼릭 링크 추적 취약점은 한 계정이 다른 계정의 파일에 접근하는 통로가 될 수 있어, 공용 호스팅 환경에서는 고객 간 격리가 무효화되는 결과를 낳는다.

리눅스 커널

리눅스 커널에서 임의 메모리 사용하기 취약점(CVE-2026-43284)과 범위를 벗어난 사용하기 취약점(CVE-2026-43500)이 확인됐다. 4.11부터 7.0까지 폭넓은 계열이 대상이다.

취약점	주요 영향 구간	해결 버전
CVE-2026-43284	7.0 이상 7.0.5 미만	7.0.5 이상
CVE-2026-43284	6.13 이상 6.18.28 미만 / 6.7 이상 6.12.87 미만	6.18.28 / 6.12.87 이상
CVE-2026-43284	5.12 이상 5.15.205 미만 / 4.11 이상 5.10.255 미만	5.15.205 / 5.10.255 이상
CVE-2026-43500	6.19 이상 7.0.6 미만	7.0.6 이상

4월 3일, 4월 30일에 이어 커널 공지가 3주 연속 게시됐다. 커널 패치는 재부팅이 요구되어 적용이 지연되는 경우가 있으나, 임의 메모리 쓰기는 권한 상승으로 직결되는 유형이라 정기 점검 일정에 포함시켜 두는 방법이다.

정리

이번 주 공지에서는 유출된 정보가 재활용된 사례가 확인됐다. 여행 예약 플랫폼 사건은 12월 이커머스 사건과 구조가 같다. 정보가 새어 나가면 그 정보를 근거로 신뢰를 얻는 공격이 뒤따른다.

제품 측면에서는 마이크로소프트 정기 업데이트가 규모로 앞서고, 개별 건으로는 올라마 완화 조치가 즉시 적용 가능한 항목이다. OLLAMA_HOST 설정 하나를 확인하는 데 몇 분이면 충분하니, 사내에서 로컬 LLM을 실행 중이다면 먼저 확인 대상이다.

올라마 | 출처: KISA 보호나라, Ollama 제품 보안 업데이트 권고 (2026-05-12)

cPanel과 WHM | 출처: KISA 보호나라, cPanel 제품 보안 업데이트 권고 (2026-05-12)

여행 예약 플랫폼 스미싱 | 출처: KISA 보호나라, 여행 예약 플랫폼 해킹으로 인한 스미싱 주의 권고 (2026-05-12)

리눅스 커널 | 출처: KISA 보호나라, Linux Kernel 보안 업데이트 권고 (2026-05-14)

MS 5월 정기 업데이트 | 출처: KISA 보호나라, MS 5월 보안 위협에 따른 정기 보안 업데이트 권고 (2026-05-14)

KISA 보안 공지 : 2026년 5월 2주차 권고사항 정리

jys275 — Sun, 30 Aug 2026 00:14:31 +0900

이번 주 KISA 보안공지 개요

2026년 5월 2일부터 8일까지 보호나라에 올라온 보안공지는 6건으로, 모두 제품 보안 업데이트 권고다. 아파치가 두 건, 시스코가 두 건 올랐고 스프링 시큐리티와 팔로알토 PAN-OS가 각각 한 건이다.

이번 주에서 가장 넓게 영향을 미치는 것은 스프링 시큐리티다. 국내 기업 자바 애플리케이션의 인증과 권한 처리를 담당하는 프레임워크라, 사용 범위가 넓다.

이번 주 공지 목록

게시일	대상 제품	취약점	해결 버전
5월 6일	Apache MINA	역직렬화, 원격 코드 실행	2.2.7 / 2.1.12 이상
5월 6일	Spring Security	강제 브라우징	계열별 패치 버전
5월 7일	Apache HTTP Server	이중 해제	2.4.67 이상
5월 7일	Cisco Crosswork, NSO 외	자원 소모 제어 미흡	6.4.1.3 등
5월 7일	Palo Alto PAN-OS	범위를 벗어난 쓰기	계열별 패치 버전
5월 8일	Cisco Unity Connection	경로 탐색, SSRF	15SU4 / 14SU5

스프링 시큐리티 강제 브라우징 취약점

스프링 시큐리티에서 강제 브라우징 취약점(CVE-2026-22732)이 확인됐다. 5.7부터 7.0까지 지원 중인 거의 모든 계열이 영향을 받는다.

영향받는 버전과 해결 버전

영향받는 버전	해결 버전
7.0.4 미만	7.0.4 이상
6.5.9 미만	6.5.9 이상
6.4.15 미만	6.4.15 이상
6.3.15 미만	6.3.15 이상
5.8.24 미만	5.8.24 이상
5.7.22 미만	5.7.22 이상

강제 브라우징은 인증이나 권한 검사를 거치지 않고 URL을 직접 입력해 보호된 자원에 접근하는 공격이다. 스프링 시큐리티는 바로 그 접근 통제를 담당하는 프레임워크다. 여기에 결함이 있으면 개발자가 설정한 권한 규칙이 우회될 수 있고, 애플리케이션 코드를 정확히 작성하더라도 막을 수 없다.

스프링 시큐리티는 국내 자바 기반 웹 서비스에 광범위하게 사용된다. 빌드 파일에서 직접 명시한 버전뿐 아니라, 스프링 부트가 관리하는 의존성 버전까지 함께 확인해야 정확하다.

아파치 MINA와 HTTP 서버 취약점

아파치 MINA

네트워크 애플리케이션 프레임워크 아파치 MINA에서 데이터 역직렬화 취약점(CVE-2026-42778)과 역직렬화로 인한 원격 코드 실행 취약점(CVE-2026-42779)이 확인됐다. 2.2.7 미만과 2.1.12 미만이 영향을 받는다.

역직렬화는 외부에서 받은 데이터를 프로그램 내부 객체로 되실행하는 과정이다. 이때 데이터를 충분히 검증하지 않으면 공격자가 만든 객체가 그대로 생성되면서 코드 실행으로 이어진다. 3월 6일 시스코 FMC, 4월 8일 포트라 고애니웨어 MFT에 이어 역직렬화 취약점이 반복해서 등장하고 있다.

아파치 HTTP 서버

아파치 HTTP 서버 2.4.66에서 이중 해제 취약점(CVE-2026-23918)이 확인돼 2.4.67이 배포됐다. 영향받는 버전이 2.4.66 하나로 특정돼 있다는 점이 특징이다. 이중 해제는 이미 해제한 메모리를 다시 해제하려 할 때 발생하며, 조건이 맞으면 코드 실행으로 이어질 수 있다.

경계 장비 및 통신 인프라 취약점

팔로알토 PAN-OS

팔로알토 네트웍스의 방화벽 운영체제 PAN-OS에서 범위를 벗어난 사용하기 취약점(CVE-2026-0300)이 확인됐다. 11.1, 11.2, 12.1 계열이 영향을 받으며 세부 버전마다 해결 버전이 다르다.

계열	영향받는 버전	해결 버전
PAN-OS 12.1	12.1.4-h5 미만 / 12.1.7 미만	12.1.4-h5 / 12.1.7 이상
PAN-OS 11.2	11.2.4-h17 / 11.2.7-h13 / 11.2.10-h6 / 11.2.12 미만	각 버전 이상
PAN-OS 11.1	11.1.4-h33 / 11.1.6-h32 / 11.1.7-h6 미만	각 버전 이상

핫픽스 번호까지 지정돼 있어 버전 확인이 까다롭다. 같은 11.2 계열이라도 어느 세부 버전에 있느냐에 따라 올라가야 할 목적지가 다르므로, 현재 버전 문자열을 정확히 확인한 뒤 대조 대상이다.

시스코 두 건

5월 7일 공지는 크로스워크 네트워크 컨트롤러와 네트워크 서비스 오케스트레이터의 자원 소모 제어 미흡 취약점(CVE-2026-20188), 그리고 이메일 시큐리티 어플라이언스의 자원 관리 오류 취약점(CVE-2022-20653)을 다뤘다. 후자는 2022년에 부여된 번호로, 구버전에 남아 있는 오래된 취약점이다.

5월 8일 공지는 유니티 커넥션의 경로 탐색 취약점(CVE-2026-20034)과 SSRF 취약점(CVE-2026-20035)을 다뤘다. 15.0은 15SU4 또는 패치 파일 적용, 14.0은 14SU5로 해결되며 12.5 이하는 마이그레이션 대상이다. SSRF는 서버가 공격자가 지정한 내부 주소로 요청을 보내게 만드는 유형으로, 외부에서 직접 닿을 수 없는 내부망 자원을 훑는 데 사용된다.

정리

이번 주 여섯 건 가운데 우선순위가 가장 높은 것은 스프링 시큐리티다. 영향 범위가 넓고, 취약점 성격이 접근 통제 우회여서 애플리케이션 자체 방어로 보완하기 어렵기 때문이다.

인프라 측면에서는 팔로알토 PAN-OS가 뒤를 잇는다. 방화벽 운영체제의 메모리 취약점은 경계 자체가 무효화되는 결과로 이어질 수 있다. 다만 핫픽스 단위로 버전이 갈리므로, 패치 계획을 세우기 전에 자산별 정확한 버전부터 수집하는 것이 확인 대상이다.

아파치 MINA | 출처: KISA 보호나라, Apache 제품 보안 업데이트 권고 (2026-05-06)

스프링 시큐리티 | 출처: KISA 보호나라, Spring 제품 보안 업데이트 권고 (2026-05-06)

아파치 HTTP 서버 | 출처: KISA 보호나라, Apache 제품 보안 업데이트 권고 (2026-05-07)

시스코 크로스워크 | 출처: KISA 보호나라, Cisco 제품 보안 업데이트 권고 (2026-05-07)

팔로알토 PAN-OS | 출처: KISA 보호나라, Palo Alto Networks 제품 보안 업데이트 권고 (2026-05-07)

시스코 유니티 커넥션 | 출처: KISA 보호나라, Cisco 제품 보안 업데이트 권고 (2026-05-08)

KISA 보안 공지 : 2026년 5월 1주차 권고사항 정리

jys275 — Sun, 30 Aug 2026 00:13:06 +0900

이번 주 KISA 보안공지 개요

2026년 4월 25일부터 5월 1일까지 보호나라에 올라온 보안공지는 5건이다. 제품 보안 업데이트 권고 4건과 주민센터 사칭 보이스피싱 주의 권고 1건이다.

보안 도구가 두 건 포함된 점이 확인된다. 취약점 스캐너 테너블 네서스와 리눅스 패키지 관리 프레임워크 패키지킷이다. 4월 초 트리비 공급망 공격에 이어, 보안 도구 자체가 표적이 되는 흐름이 이어지고 있다.

이번 주 공지 목록

게시일	대상	유형	조치
4월 27일	PackageKit	TOCTOU 경쟁 상태	1.3.5 이상
4월 28일	주민센터 사칭 보이스피싱	사칭 사기	응대 중단 후 기관 확인
4월 29일	GitHub Enterprise Server	명령어 삽입	계열별 패치 버전
4월 29일	Tenable Nessus	링크 추적	11.1.3 / 10.11.4 이상
4월 30일	Linux Kernel	영역 간 자원 전달 오류	계열별 패치 버전

깃허브 엔터프라이즈 서버 명령어 삽입 취약점

깃허브 엔터프라이즈 서버에서 명령어 삽입 취약점(CVE-2026-3854)이 확인됐다. 3.14부터 3.19까지 지원 중인 모든 계열이 영향을 받는다.

영향받는 버전과 해결 버전

영향받는 버전	해결 버전
3.14.25 미만	3.14.25 이상
3.15.20 미만	3.15.20 이상
3.16.16 미만	3.16.16 이상
3.17.13 미만	3.17.13 이상
3.18.7 미만	3.18.7 이상
3.19.4 미만	3.19.4 이상

자체 호스팅 깃허브 서버는 조직의 소스코드가 전부 집중되는 자리다. 여기에 더해 CI 파이프라인의 자격증명, 배포 키, 각종 시크릿이 함께 저장된다. 4월 초 트리비 사건에서 확인된 것처럼 개발 인프라 한 곳이 침해되면 그 권한으로 접근 가능한 모든 시스템이 다음 표적이 된다.

보안 도구 및 시스템 소프트웨어 취약점

테너블 네서스

취약점 스캐너 테너블 네서스와 네서스 에이전트에서 링크 추적 취약점(CVE-2026-33694)이 확인됐다. 윈도우용 네서스 에이전트 11.1.2 이하와 네서스 10.11.3 이하가 대상이다.

링크 추적은 프로그램이 심볼릭 링크를 그대로 따라가면서 의도하지 않은 파일에 접근하게 되는 유형이다. 네서스는 시스템 전반을 점검하기 위해 높은 권한으로 동작하기 때문에, 이 권한이 공격자에게 넘어가면 파급이 크다.

패키지킷 TOCTOU

리눅스 패키지 관리 프레임워크 패키지킷에서 TOCTOU 경쟁 상태 취약점(CVE-2026-41651)이 확인됐다. 1.0.2부터 1.3.4까지가 영향을 받으며 1.3.5 이상에서 해결된다. 패키지 설치와 업데이트를 처리하는 영역이라 루트 권한으로 동작하며, 검사 시점과 사용 시점 사이의 틈을 이용하면 권한 상승으로 이어질 수 있다.

리눅스 커널

리눅스 커널에서 영역 간 자원 전달 오류 취약점(CVE-2026-31431)이 확인됐다. 4.14부터 6.19까지 폭넓은 계열이 영향을 받는다.

영향받는 버전	해결 버전
6.19 이상 6.19.12 미만	6.19.12 이상
6.13 이상 6.18.22 미만	6.18.22 이상
6.7 이상 6.12.85 미만	6.12.85 이상
6.2 이상 6.6.137 미만	6.6.137 이상
5.16 이상 6.1.170 미만	6.1.170 이상
5.11 이상 5.15.204 미만	5.15.204 이상
4.14 이상 5.10.254 미만	5.10.254 이상

4월 3일 커널 TLS 취약점에 이어 한 달 만에 다시 커널 공지가 올라왔다. 배포판이 제공하는 커널 패키지를 업데이트하면 되지만 반영에는 재부팅이 요구된다.

주민센터 사칭 회신 유도 보이스피싱

KISA는 4월 28일 주민센터를 사칭한 보이스피싱 사례가 다수 발생하고 있다며 주의를 당부했다. 수법의 핵심은 한 번에 정보를 요구하지 않고, 피해자가 스스로 다른 번호로 전화를 걸게 만든다는 데 있다.

공격 흐름

먼저 주민센터 공무원을 사칭해 전화를 걸어, 누군가 민원인의 신분증과 위임장을 들고 등본이나 초본을 발급받으러 왔다고 알린다. 피해자가 본인 확인을 하려 하면, 명의도용 차단을 신청하라며 한국신용정보원을 사칭한 대표번호를 안내한다.

피해자가 직접 그 번호로 회신하도록 유도하는 것이 이 수법의 핵심이다. 걸려온 전화는 의심해도 자기가 건 전화는 의심하지 않는 심리를 대상으로 한 구조다. 회신하면 본인인증과 개인정보를 요구받게 된다. 문자로 링크를 보내 상담을 유도하는 변형도 함께 확인됐다.

신용정보원은 전화나 카카오톡으로 본인인증이나 개인정보를 요구하지 않는다. 이런 연락을 받으면 응대하지 말고 기관에 직접 확인 대상이다. 행정기관 공무원을 사칭한 전화는 발신번호 거짓표시 신고센터에 신고할 수 있다.

정리

이번 주 제품 취약점 4건 가운데 3건이 시스템 기반 영역에 있다. 커널, 패키지 관리자, 취약점 스캐너는 모두 높은 권한으로 동작하며, 애플리케이션 영역의 방어와 무관하게 시스템 전체에 영향을 미친다.

깃허브 엔터프라이즈 서버는 별도 우선순위로 대상이다. 4월 초 공급망 공격 사례에서 확인됐듯, 개발 인프라의 침해는 코드와 자격증명이 한꺼번에 노출되는 결과로 이어진다. 자체 호스팅 중이라면 이번 주 안에 버전을 확인하는 방법이다.

패키지킷 | 출처: KISA 보호나라, PackageKit 제품 보안 업데이트 권고 (2026-04-27)

주민센터 사칭 보이스피싱 | 출처: KISA 보호나라, 주민센터를 사칭한 대표번호 회신유도 보이스피싱 주의 (2026-04-28)

깃허브 엔터프라이즈 서버 | 출처: KISA 보호나라, GitHub 제품 보안 업데이트 권고 (2026-04-29)

테너블 네서스 | 출처: KISA 보호나라, Tenable 제품 보안 업데이트 권고 (2026-04-29)

리눅스 커널 | 출처: KISA 보호나라, Linux Kernel 보안 업데이트 권고 (2026-04-30)

KISA 보안 공지 : 2026년 4월 4주차 권고사항 정리

jys275 — Sun, 30 Aug 2026 00:11:46 +0900

이번 주 KISA 보안공지 개요

2026년 4월 18일부터 24일까지 보호나라에 올라온 보안공지는 1건이다. 오픈클로에서 특권 API를 잘못 사용하는 취약점이 확인됐다는 내용이다.

다만 오픈클로는 4월 7일에도 다수의 취약점으로 공지에 올랐다. 2주 만의 재등장이라는 점에서 이 제품을 사용 중이라면 확인 대상이다.

오픈클로 특권 API 오용 취약점

오픈클로에서 특권 API를 잘못 사용하는 취약점(CVE-2026-41329)이 확인됐다. 2026.3.28 이하가 영향을 받으며 2026.3.31 이상에서 해결된다.

영향받는 버전과 해결 버전

취약점	제품	영향받는 버전	해결 버전
CVE-2026-41329	OpenClaw	2026.3.28 이하	2026.3.31 이상

특권 API 오용은 프로그램이 높은 권한이 필요한 기능을 필요 이상으로 넓게 열어둘 때 발생한다. 일반 사용자 권한으로 접근하면 안 되는 기능이 노출되면서, 권한 경계를 넘는 통로가 만들어진다. 2주 전 공지에서도 권한 부여 누락과 잘못된 권한 부여 취약점이 여러 건 확인됐던 만큼, 이 제품의 권한 처리 전반을 신뢰하기 어려운 상황으로 볼 수 있다.

버전 표기가 날짜 기반이라 2026.3.28과 2026.3.31의 차이가 사흘로 보이지만, 실제로는 별개의 릴리스다. 설치된 정확한 버전 문자열을 확인해 대조 대상이다.

정리

이번 주 공지는 1건이다. 지난주 마이크로소프트 4월 정기 업데이트가 18종에 긴급 11종으로 컸던 만큼, 그 패치를 아직 적용하지 못했다면 이번 주가 처리하기 좋은 시점이다.

오픈클로 사용자라면 4월 7일 공지에서 다룬 취약점들까지 함께 확인하는 방법이다. 두 공지의 영향 버전 구간이 겹치는 부분이 있어, 한 번에 최신 버전으로 올리는 것이 가장 확실하다.

오픈클로 특권 API | 출처: KISA 보호나라, OpenClaw 제품 보안 업데이트 권고 (2026-04-21)

KISA 보안 공지 : 2026년 4월 3주차 권고사항 정리

jys275 — Sun, 30 Aug 2026 00:10:54 +0900

이번 주 KISA 보안공지 개요

2026년 4월 11일부터 17일까지 보호나라에 올라온 보안공지는 7건이다. 마이크로소프트 4월 정기 업데이트에서 긴급 등급이 11종으로 크게 늘었고, 카카오톡 공식 페이지를 사칭한 악성코드 유포와 중소기업을 대상으로 한 신규 랜섬웨어 확산 권고가 함께 게시됐다.

주의 권고 3건이 모두 사용자를 속이는 방식을 다뤘다는 점이 이번 주의 특징이다. 검색엔진 상위 노출, 사칭 이메일, 지원금 사칭 문자로 수단은 달랐지만 목적은 같았다.

이번 주 공지 목록

게시일	대상	유형	조치
4월 13일	Adobe Acrobat 계열	프로토타입 오염	26.001.21411 등
4월 15일	MS 4월 정기 업데이트	권한 상승, 원격 코드 실행	18종 패치 적용
4월 15일	카카오톡 사칭 악성코드	악성코드 유포	공식 홈페이지에서만 다운로드
4월 16일	중소기업 대상 신규 랜섬웨어	대응 권고	이메일 보안 강화
4월 16일	고유가 피해 지원금 사칭 피싱	사칭 사기	출처 불명 URL 클릭 금지
4월 17일	Cisco ISE, ISE-PIC	명령어 삽입, 경로 탐색	계열별 패치
4월 17일	nginx-ui	핵심 기능 인증 누락	최신 소스코드 패치

카카오톡 공식 페이지 사칭 악성코드 유포

KISA는 4월 15일 카카오톡 공식 다운로드 페이지를 사칭한 피싱사이트가 유포되고 있다며 주의를 당부했다. 국제 및 국가배후 해킹조직으로 의심되는 조직의 소행으로 보고 있다.

공격 방식

공격자는 카카오톡 다운로드 페이지처럼 보이는 피싱사이트를 만든 뒤, 검색엔진 상위에 노출시켜 이용자가 설치파일을 내려받고 실행하도록 유도했다. 위장된 설치파일을 실행하면 정보 유출이 가능한 악성코드가 내려와 실행되고, PC에 저장된 민감한 정보가 외부로 유출된다.

백신 탐지명으로는 Dropper/Win.Agent, Trojan/Win.Dapato, Trojan/Win.Masquerading 등이 확인됐다.

3월 11일 개발자 유틸리티 위장 악성코드에 이어, 검색엔진 상위 노출을 악용한 유포가 한 달 만에 다시 게시됐다. 그때는 개발자를 노렸고 이번에는 일반 이용자를 대상으로 했다는 차이만 있을 뿐 수법의 골격은 같다. 검색 결과 최상단에 있다는 사실이 신뢰의 근거가 되지 못한다는 점이 두 사건에서 공통으로 확인된다.

KISA는 주요 소프트웨어를 설치할 때 검색 결과가 아니라 공식 홈페이지를 통해 내려받으라고 안내했다. 검색 결과의 광고나 상단 링크는 도메인이 정상 사이트와 일치하는지 확인 대상이다. 카카오 공식 홈페이지 주소는 kakaocorp.com이다.

중소기업 대상 신규 랜섬웨어 확산

KISA는 4월 16일 국내 중소기업을 대상으로 한 신규 랜섬웨어 범죄가 확산되고 있다며 보안 권고문을 냈다. 2025년 12월과 2026년 2월에 이어 넉 달 새 세 번째 랜섬웨어 관련 권고다.

확인된 감염 경로

이번 권고가 지목한 경로는 이메일이다. 첫 번째 사례는 공문, 이력서, 견적서로 위장한 악성메일의 첨부파일을 실행해 감염된 경우다. 두 번째 사례가 더 정교하다. IT 서비스 제공업체를 사칭해 인프라 구성안이나 서비스 설치 안내로 위장한 메일을 보내 권한을 탈취하고 서버에 침입한 뒤 랜섬웨어를 설치했다.

두 번째 사례는 중소기업의 구조를 정확히 대상으로 한 것이다. 내부에 IT 인력이 없어 외부 업체에 유지보수를 맡기는 경우가 많고, 그 업체가 보내는 기술 문서를 의심 없이 열어보는 관행이 있기 때문이다.

KISA가 제시한 대응

이메일 사용자 측면에서는 송신자를 정확히 확인하고 모르는 메일과 첨부파일은 열지 않을 것, 첨부파일의 확장자를 확인해 문서 아이콘으로 위장한 실행파일을 클릭하지 않을 것이 제시됐다. 윈도우 탐색기에서 파일 확장명 표시를 활성화하라는 구체적 안내도 포함됐다. 알려진 파일 형식의 확장명을 숨기는 설정이 활성화돼 있으면 exe 파일이 문서처럼 보이기 때문이다.

마이크로소프트 4월 정기 업데이트

마이크로소프트는 4월 14일 정기 보안 업데이트로 18종을 발표했다. 긴급 11종과 중요 7종으로, 최근 다섯 달 가운데 긴급 등급이 가장 많다.

제품군별 영향

제품군	중요도	영향
Windows 11 (26H1, 25H2, 24H2, 23H2)	긴급	권한 상승
Windows Server 2025, 2022, 2019, 2016	긴급	권한 상승
원격 데스크톱 클라이언트	긴급	원격 코드 실행
Microsoft Office	긴급	원격 코드 실행
Microsoft .NET	긴급	서비스 거부
Microsoft SharePoint	중요	스푸핑
Visual Studio, Dynamics	중요	정보 유출
SQL Server, Azure, System Center	중요	권한 상승
PowerShell	중요	보안 기능 우회

원격 데스크톱 클라이언트의 원격 코드 실행이 긴급으로 오른 점을 확인 대상이다. 클라이언트 측 취약점은 사용자가 악성 서버에 접속했을 때 성립한다. 재택근무나 원격 유지보수로 RDP를 일상적으로 사용하는 환경이라면 사용자 단말의 클라이언트 버전도 확인 대상이다.

네트워크 접근 제어 및 웹 관리 도구 취약점

시스코 ISE

시스코 아이덴티티 서비스 엔진(ISE)과 ISE-PIC에서 명령어 삽입 취약점 2건(CVE-2026-20147, CVE-2026-20186)과 경로 탐색 취약점(CVE-2026-20180)이 확인됐다.

영향받는 버전	해결 버전
3.1 미만	해결 버전으로 마이그레이션
3.1	3.1 Patch 11 (2026년 4월)
3.2	3.2 Patch 10 (2026년 4월)
3.3	3.3 Patch 11 (2026년 4월)
3.4	3.4 Patch 6 (2026년 4월)
3.5	3.5 Patch 3

ISE는 조직 네트워크에 접속하는 사용자와 단말의 인증을 담당하는 제품이다. 누가 어느 망에 들어올 수 있는지를 결정하는 자리라, 명령어 삽입이 성립하면 접근 통제 정책 전체가 무의미해진다.

엔진엑스 UI, 한 달 만에 재등장

nginx-ui에서 핵심 기능에 대한 인증 누락 취약점(CVE-2026-33032)이 확인됐다. 2.3.3 이하는 마이그레이션이 필요하고, 2.3.4와 2.3.5는 최신 소스코드 패치 적용으로 해결된다.

이 제품은 3월 9일에도 인증 미적용 취약점으로 공지에 올랐고, 그때 해결 버전으로 제시된 것이 2.3.3이었다. 한 달 만에 그 버전도 영향 대상에 포함됐다. 아도비 아크로뱃 계열에서는 프로토타입 오염 취약점(CVE-2026-34621)이 확인돼 아크로뱃 DC와 리더 DC는 26.001.21411로, 아크로뱃 2024는 윈도우 24.001.30362와 macOS 24.001.30360에서 해결된다.

정리

이번 주에 게시된 주의 권고 3건은 모두 이용자를 속이는 방식을 다뤘다. 카카오톡 사칭은 검색 결과를, 랜섬웨어는 협력업체 사칭 메일을, 고유가 지원금 피싱은 정부 지원 정책을 각각 명분으로 사용했다.

기술적 대응만으로는 한계가 있는 영역이라, 조직 차원에서 두 가지 원칙을 세워두는 것이 실질적이다. 소프트웨어는 반드시 공식 배포처에서 내려받을 것, 그리고 파일 확장명 표시를 전사적으로 활성화하는 것이다. 둘 다 비용이 거의 들지 않으면서 이번 주 사례 대부분을 차단한다.

아도비 아크로뱃 | 출처: KISA 보호나라, Adobe 제품 보안 업데이트 권고 (2026-04-13)

MS 4월 정기 업데이트 | 출처: KISA 보호나라, MS 4월 보안 위협에 따른 정기 보안 업데이트 권고 (2026-04-15)

카카오톡 사칭 악성코드 | 출처: KISA 보호나라, 카카오톡 사칭 악성코드 유포 주의권고 (2026-04-15)

중소기업 랜섬웨어 확산 | 출처: KISA 보호나라, 국내 중소기업 대상 신규 랜섬웨어 범죄 확산에 따른 보안 권고문 (2026-04-16)

고유가 지원금 사칭 피싱 | 출처: KISA 보호나라, 고유가 피해 지원금 사칭 피싱 주의 권고 (2026-04-16)

시스코 ISE | 출처: KISA 보호나라, Cisco 제품 보안 업데이트 권고 (2026-04-17)

엔진엑스 UI | 출처: KISA 보호나라, NGINX 제품 보안 업데이트 권고 (2026-04-17)

KISA 보안 공지 : 2026년 4월 2주차 권고사항 정리

jys275 — Sun, 30 Aug 2026 00:09:17 +0900

이번 주 KISA 보안공지 개요

2026년 4월 4일부터 10일까지 보호나라에 올라온 보안공지는 5건이다. 오픈클로에서 다수의 취약점이 한꺼번에 공개됐고, 도커 엔진과 아파치 액티브MQ, 포트라 고애니웨어 MFT의 보안 업데이트 권고가 이어졌다.

국내 기업 실무와 직접 닿는 공지도 있었다. 인스웨이브 WGear의 원격 코드 실행 취약점과 관련해 KISA가 클리닝 서비스를 가동한다는 안내다. 기업뱅킹 전자금융 소프트웨어에 사용되는 제품이다.

이번 주 공지 목록

게시일	대상 제품	취약점	해결 버전
4월 7일	OpenClaw	권한 부여 누락, 명령어 삽입 등 다수	계열별 패치 버전
4월 8일	Docker Engine	인증 우회	29.3.1
4월 8일	Fortra GoAnywhere MFT	역직렬화, 명령어 삽입	7.8.4 / 7.6.3 이상
4월 9일	인스웨이브 WGear	원격 코드 실행	1.100.11
4월 10일	Apache ActiveMQ	입력값 검증 미흡, 코드 인젝션	5.19.4 / 6.2.3 이상

인스웨이브 WGear 취약점과 클리닝 서비스

KISA는 4월 9일 인스웨이브 WGear의 원격 코드 실행 취약점과 관련해 클리닝 서비스를 가동한다고 안내했다. WGear는 기업뱅킹 전자금융 서비스에 사용되는 소프트웨어다.

영향받는 버전과 해결 버전

제품	영향받는 버전	해결 버전
WGear	1.100.7.0205 이하 (1.100.2.25091 제외)	1.100.11

클리닝 서비스가 가동된다는 것은 이미 취약한 버전이 상당수 유통돼 있다는 뜻이다. 기업뱅킹 소프트웨어는 은행 업무를 위해 회계나 재무 담당자 PC에 설치되고, 한 번 깔면 사용자가 버전을 신경 사용하지 않는 부류다. 원격 코드 실행이 성립하면 자금 이체와 관련된 단말이 공격자 공격자에게 넘어가간다.

영향받는 버전 가운데 1.100.2.25091은 제외된다는 단서가 붙어 있으므로, 해당 버전을 사용 중이라면 별도 확인 대상이다. 재무와 회계 부서의 단말이 우선 점검 대상에 해당한다.

파일 전송 및 메시지 브로커 취약점

포트라 고애니웨어 MFT

파일 전송 솔루션인 포트라 고애니웨어 MFT의 라이선스 서블릿에서 신뢰할 수 없는 데이터의 역직렬화와 명령어 삽입 취약점(CVE-2025-10035)이 확인됐다. 7.8.4 미만과 7.6.3 미만이 영향을 받는다.

고애니웨어 MFT는 과거 대규모 데이터 탈취 사건의 진입점으로 사용된 이력이 있는 제품이다. 2월 26일 솔라윈즈 Serv-U 공지에 이어 파일 전송 서버 취약점이 다시 게시됐다. 외부 파트너와 파일을 주고받기 위해 인터넷에 열어두는 특성상 노출 영향 범위가 넓다.

아파치 액티브MQ

메시지 브로커 아파치 액티브MQ에서 입력값 검증 미흡과 코드 인젝션 취약점(CVE-2026-34197)이 확인됐다. 5.19.4 미만과 6.0.0부터 6.2.3 미만이 대상이며, 액티브MQ 브로커, 액티브MQ All, 액티브MQ 본체 모두 같은 구간이 적용된다.

메시지 브로커는 시스템 사이에서 데이터를 중계하는 위치에 있다. 여기서 코드 인젝션이 성립하면 연결된 여러 시스템으로 악성 메시지를 흘려보낼 수 있어, 단일 서버의 문제로 끝나지 않는다.

도커 엔진 인증 우회

도커 엔진에서 대체 경로나 채널을 이용한 인증 우회 취약점(CVE-2026-34040)이 확인됐다. 29.3.1 미만이 영향을 받으며 29.3.1로 해결된다. 컨테이너 런타임의 인증 우회는 호스트 권한 획득으로 이어질 수 있어, 여러 서비스를 한 호스트에 올려둔 환경에서는 격리가 무효화되는 결과를 낳는다.

오픈클로 취약점 다수 공개

오픈클로에서 취약점이 대거 공개됐다. 권한 부여 누락(CVE-2026-22172), 허용되지 않는 입력 목록 불완전(CVE-2026-28363), OS 명령어 삽입 2건(CVE-2026-28391, CVE-2026-28470), 인증 알고리즘 구현 오류(CVE-2026-28446), 잘못된 권한 부여(CVE-2026-28466), 핵심 기능 인증 누락(CVE-2026-28472) 등이다. 넥스트클라우드 톡 플러그인과 에이전트 플랫폼에서도 별도 취약점이 확인됐다.

주요 해결 버전

취약점	영향받는 버전	해결 버전
CVE-2026-22172	openclaw 2026.3.11 이하	2026.3.12
CVE-2026-28391, 28446, 28470, 28472	openclaw 2026.2.1 이하	2026.2.2 이상
CVE-2026-28466	openclaw 2026.2.14 미만	2026.2.14 이상
CVE-2026-28363	openclaw 2026.2.22-2 이하	2026.2.23 이상
CVE-2026-32038	openclaw 2026.2.23 이하	2026.2.24 이상
CVE-2026-28474	nextcloud-talk 2026.2.2 이하	2026.2.6 이상

취약점 종류가 인증과 권한 부여에 집중돼 있다는 점이 확인된다. 명령어 삽입까지 함께 있으니, 인증을 우회한 뒤 명령을 실행하는 연결 공격이 가능한 구조다. 버전 표기가 날짜 기반이라 계열을 헷갈리기 쉬우므로, 설치된 정확한 버전 문자열을 확인한 뒤 대조하는 방법이다.

정리

이번 주는 데이터가 오가는 경유 지점에 놓인 제품들이 나란히 올랐다. 고애니웨어 MFT는 파일 전송, 액티브MQ는 메시지 중계, 도커 엔진은 컨테이너 격리를 담당한다. 셋 다 침해되면 그 위를 지나는 데이터와 그 뒤의 시스템이 함께 위험해진다.

국내 실무 기준으로는 인스웨이브 WGear가 가장 영향 범위가 가장 넓다. KISA가 클리닝 서비스까지 가동한다는 것은 대응이 시급하다는 신호다. 기업뱅킹을 사용하는 조직이라면 재무 담당자 단말의 설치 버전부터 확인하는 것이 확인 대상이다.

오픈클로 | 출처: KISA 보호나라, OpenClaw 제품 보안 업데이트 권고 (2026-04-07)

도커 엔진 | 출처: KISA 보호나라, Docker 제품 보안 업데이트 권고 (2026-04-08)

포트라 고애니웨어 MFT | 출처: KISA 보호나라, Fortra 제품 보안 업데이트 권고 (2026-04-08)

인스웨이브 WGear | 출처: KISA 보호나라, 기업뱅킹 전자금융 소프트웨어 취약점 관련 클리닝 서비스 가동 안내 (2026-04-09)

아파치 액티브MQ | 출처: KISA 보호나라, Apache 제품 보안 업데이트 권고 (2026-04-10)

KISA 보안 공지 : 2026년 4월 1주차 권고사항 정리

jys275 — Sun, 30 Aug 2026 00:07:50 +0900

이번 주 KISA 보안공지 개요

2026년 3월 28일부터 4월 3일까지 보호나라에 올라온 보안공지는 6건이다. 이 가운데 3건이 하나의 사건으로 이어진다. 보안 스캐너 트리비(Trivy)의 자격증명이 탈취되면서 시작된 개발도구 공급망 연쇄 공격이다.

공격은 한 도구에서 멈추지 않았다. npm 패키지 64개 이상, PyPI 패키지, VS Code 확장, 깃허브 액션까지 여러 생태계로 확산됐다. KISA는 별도 헌팅 가이드까지 배포하며 자체 점검을 요청했다.

이번 주 공지 목록

게시일	대상	유형	조치
3월 30일	AquaSecurity Trivy	악성 코드 삽입	trivy 0.69.3으로 하향
4월 1일	개발도구 공급망 연쇄 공격	공급망 침해	헌팅 가이드로 자체 점검
4월 1일	LiteLLM	자격증명 탈취 시도	1.82.6 이하 사용
4월 3일	Cisco IMC, SSM On-Prem	입력값 검증 미흡	제품별 패치 버전
4월 3일	Linux Kernel TLS	힙 버퍼 오버플로	계열별 패치 버전
4월 3일	Oracle WebLogic Proxy Plug-in	입력값 검증 미흡	2026년 1월 CPU 적용

개발도구 공급망 연쇄 공격

KISA는 4월 1일 개발도구 공급망을 통한 연쇄적 사이버 공격에 대한 주의 권고를 냈다. 컨테이너 이미지 취약점 스캐너로 널리 사용되는 트리비가 시작 지점이었다.

공격 확산 경로

공격자는 먼저 트리비의 CI/CD 자격증명을 탈취해 악성 버전을 배포했다. 이 악성 버전이 실행되면 환경변수, SSH 키, 클라우드 인증정보, 프로세스 메모리에 있는 시크릿까지 수집해 외부로 유출한다.

여기서 탈취한 토큰이 다시 다른 생태계를 감염시키는 연쇄 구조가 이번 사건의 핵심이다. 보안 스캐너는 CI 파이프라인에서 높은 권한으로 돌아가며, 저장소와 배포 자격증명에 접근할 수 있다. 하나가 침해되면 그 권한으로 접근 가능한 모든 곳이 다음 표적이 된다.

대상	생태계	영향 버전
Trivy (바이너리, Action, Docker)	GitHub, Docker Hub	v0.69.4
npm 패키지 64개 이상 (CanisterWorm)	npm	헌팅 가이드 부록 참조
KICS/AST GitHub Actions, VS Code 확장 2개	OpenVSX, GitHub	ast-results 2.53.0, cx-dev-assist 1.7.0
litellm	PyPI	1.82.7, 1.82.8
telnyx	PyPI	4.87.1, 4.87.2

감염 시 남는 흔적

감염된 시스템에는 pgmon 또는 sysmon이라는 이름의 백도어가 설치되고, systemd 사용자 서비스로 등록돼 주기적으로 C2 서버와 통신하며 원격 제어 기능을 유지한다.

탐지 회피 수법도 함께 확인됐다. 일부 악성코드는 정상 스캔 결과를 출력하는 등 정상 동작으로 위장하고, 데이터 유출이 실패하면 깃허브 저장소를 이용한 우회 유출을 시도한다. 스캐너가 평소처럼 결과를 뱉는다고 해서 정상이라고 판단할 수 없다는 뜻이다.

트리비와 LiteLLM 대응

아쿠아시큐리티 트리비 관련 공지는 3월 30일 먼저 게시됐다. setup-trivy는 0.2.6, trivy-action은 0.35.0으로 올려야 하며, trivy 본체는 악성 버전이 0.69.4이므로 0.69.3이 해결 버전이다. 최신 버전이 아니라 이전 버전이 안전한 드문 경우다.

LiteLLM은 4월 1일 사용 주의 권고가 게시됐다. 1.82.7과 1.82.8에서 자격증명 탈취 시도가 있을 수 있어 PyPI에서 패키지 배포가 중단됐다. KISA는 1.82.6 이하의 안전한 버전을 사용할 것을 권고했다.

리눅스 커널 TLS 힙 버퍼 오버플로

리눅스 커널의 TLS 구현에서 힙 기반 버퍼 오버플로 취약점(CVE-2025-39946)이 확인됐다. 6.0부터 6.17 rc 계열까지 폭넓게 영향을 받는다.

영향받는 버전과 해결 버전

영향받는 버전	해결 버전
6.0 이상 6.1.154 미만	6.1.154 이상
6.2 이상 6.6.108 미만	6.6.108 이상
6.7 이상 6.12.49 미만	6.12.49 이상
6.13 이상 6.16.9 미만	6.16.9 이상
6.17 rc1 이상 rc6 이하	6.17 rc6 이후

커널 TLS는 암호화 통신 처리를 커널 수준에서 수행해 성능을 높이는 기능이다. 커널 공간에서 버퍼 오버플로가 발생하면 시스템 전체 권한으로 이어질 수 있어 영향 범위가 넓다. 배포판이 제공하는 커널 업데이트로 해결되며, 반영에는 재부팅이 요구된다.

시스코 관리 컨트롤러 및 오라클 웹로직 플러그인 취약점

시스코 IMC와 SSM 온프레미스

시스코 통합 관리 컨트롤러(IMC)에서 입력값 검증 미흡 취약점(CVE-2026-20093)이, 스마트 소프트웨어 매니저 온프레미스에서 자원이 잘못된 영역에 노출되는 취약점(CVE-2026-20160)이 확인됐다.

제품	영향받는 버전	해결 버전
5000 Series ENCS	4.15.5 미만	4.15.5 이상
Catalyst 8300 Series Edge uCPE	4.16 및 이전 / 4.18.3 미만	마이그레이션 / 4.18.3 이상
UCS C-Series M5 Rack Server	4.2 및 이전 / 4.3(2.260007) 미만	마이그레이션 / 4.3(2.260007) 이상
UCS C-Series M6 Rack Server	4.3(6.260017) 미만 / 6.0(1.250174) 미만	각 버전 이상

IMC는 서버 하드웨어를 원격으로 관리하는 컨트롤러다. 운영체제와 별개로 동작하기 때문에 OS 패치를 적용하더라도 이 영역은 별도 관리 대상이다. 관리 네트워크가 업무망과 분리돼 있는지 함께 확인 대상이다.

오라클 웹로직 프록시 플러그인

오라클 웹로직 서버의 아파치 HTTP 서버용 프록시 플러그인과 IIS용 플러그인에서 입력값 검증 미흡 취약점(CVE-2026-21962)이 확인됐다. 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0이 영향을 받으며 2026년 1월 크리티컬 패치 업데이트 적용으로 해결된다.

웹로직은 1월 6일 KISA가 침해사고 증가 공지에서 직접 이름을 언급한 제품이기도 하다. 아파치 톰캣 기반 자바 솔루션 가운데 반드시 최신 보안 업데이트를 적용하라고 지목했던 대상이다.

정리

이번 주 공지는 공급망 공격의 확산 범위를 다뤘다. 보안 도구 한 곳이 침해된 결과 npm, PyPI, VS Code 확장, 깃허브 액션까지 연쇄적으로 오염됐다. 개발 파이프라인에 포함된 도구는 그 자체가 높은 권한을 보유한다.

KISA가 제시한 조치는 다음과 같다. CI 파이프라인에서 트리비를 사용 중이라면 버전을 확인하고, LiteLLM은 1.82.6 이하로 내린다. 그다음 KISA 헌팅 가이드의 지표로 pgmon과 sysmon 백도어 존재 여부를 점검한다. 자격증명이 유출됐을 가능성을 감안해 CI에 등록된 토큰과 키를 재발급하는 것도 검토 대상이다.

아쿠아시큐리티 트리비 | 출처: KISA 보호나라, AquaSecurity 제품 보안 업데이트 권고 (2026-03-30)

개발도구 공급망 연쇄 공격 | 출처: KISA 보호나라, 개발도구 공급망을 통한 연쇄적 사이버 공격주의 권고 (2026-04-01)

LiteLLM | 출처: KISA 보호나라, LiteLLM 제품 사용 주의 권고 (2026-04-01)

시스코 IMC | 출처: KISA 보호나라, Cisco 제품 보안 업데이트 권고 (2026-04-03)

리눅스 커널 TLS | 출처: KISA 보호나라, Linux 제품 보안 업데이트 권고 (2026-04-03)

오라클 웹로직 플러그인 | 출처: KISA 보호나라, Oracle 제품 보안 업데이트 권고 (2026-04-03)

KISA 보안 공지 : 2026년 3월 4주차 권고사항 정리

jys275 — Sun, 30 Aug 2026 00:06:13 +0900

이번 주 KISA 보안공지 개요

2026년 3월 21일부터 27일까지 보호나라에 올라온 보안공지는 5건이다. 제품 보안 업데이트 권고 4건과 불법 스트리밍 앱 관련 주의 권고 1건이다.

이번 주에서 확인된 사항은 TP-Link 공지다. 다뤄진 취약점의 CVE 번호가 2015년까지 거슬러 올라간다. 10년 전 공개된 취약점이 지금도 패치되지 않은 공유기에 남아 있다는 뜻이다.

이번 주 공지 목록

게시일	대상	유형	조치
3월 24일	Oracle Identity Manager 외	핵심 기능 인증 누락	오라클 보안 패치
3월 25일	불법 스트리밍 앱	개인정보 유출, 문자 무단 발송	앱 삭제
3월 26일	Citrix NetScaler ADC, Gateway	범위 초과 읽기, 경쟁 상태	계열별 패치 버전
3월 26일	TP-Link 공유기 다수	경로 탐색, 명령어 삽입 등	모델별 펌웨어
3월 27일	Langflow	인증 없는 원격 코드 실행	1.9.0 이상

랭플로우 인증 없는 원격 코드 실행 취약점

AI 워크플로 제작 도구 랭플로우에서 인증 없이 원격 코드 실행이 가능한 취약점(CVE-2026-33017)이 확인됐다. 문제가 발생한 지점은 /api/v1/build_public_tmp/{flow_id}/flow 엔드포인트다. 1.8.2 이하가 영향을 받으며 1.9.0 이상에서 해결된다.

영향받는 버전과 해결 버전

취약점	제품	영향받는 버전	해결 버전
CVE-2026-33017	Langflow	1.8.2 이하	1.9.0 이상

인증 없는 원격 코드 실행은 공격 난이도가 가장 낮은 조합이다. 계정도 세션도 필요 없이 해당 엔드포인트에 요청을 보내는 것만으로 성립한다. 랭플로우는 AI 파이프라인을 시각적으로 구성하는 도구라 API 키와 모델 자격증명이 함께 저장되는 경우가 많고, 개발 편의를 위해 외부에 열어둔 사례도 적지 않다.

3월 6일 클로드 코드 공지에 이어 AI 개발 도구 관련 취약점이 한 달 새 두 번째다. AI 도구가 개발 환경에 사용되면서 이 영역이 새로운 공격 대상으로 다뤄지고 있다.

TP-Link 공유기 취약점

TP-Link 제품에서 다수의 취약점이 확인됐다. 확인된 사항은 CVE 번호의 연도다. 경로 탐색 취약점(CVE-2015-3035)은 2015년, 핵심 기능 인증 누락(CVE-2020-24363)은 2020년, 명령어 삽입(CVE-2023-33538)과 스푸핑을 통한 인증 우회(CVE-2023-50224)는 2023년에 부여된 번호다. 여기에 아처 NX 시리즈의 인증 누락과 OS 명령어 삽입 취약점(CVE-2025-15517부터 CVE-2025-15519까지)이 더해졌다.

주요 영향 모델

취약점	대상 모델	해결 방안
CVE-2015-3035	Archer C5/C7/C8/C9, TL-WDR 시리즈, TL-WR740N/841N 등	모델별 2015년 펌웨어 이상
CVE-2020-24363	TL-WA855RE	해당 모델 최신 펌웨어
CVE-2023-33538	TL-WR940N V2/V4, TL-WR841N V8/V10, TL-WR740N V1/V2	해당 모델 최신 펌웨어
CVE-2023-50224	Archer C7, TL-WR841N, TL-WR941ND, TL-WA901ND	해당 모델 최신 펌웨어
CVE-2025-15517 ~ 15519	Archer NX200, NX210, NX500, NX600	해당 모델 최신 펌웨어

가정용과 소규모 사무실용 공유기는 설치 후 펌웨어를 한 번도 올리지 않는 것이 일반적이다. 통신사가 제공한 장비라면 사용자가 관리 권한을 갖고 있지 않은 경우도 있다. 명령어 삽입 취약점이 성립하면 공유기가 공격자의 전제 조건이 되어, 그 뒤에 연결된 모든 기기의 트래픽이 노출된다.

영향받는 모델이 매우 많으므로 운영 중인 장비가 있다면 원본 공지에서 정확한 모델명과 하드웨어 버전을 대조 대상이다. 지원이 끝난 구형 모델이라면 펌웨어 자체가 제공되지 않을 수 있어 교체를 검토할 해당한다.

경계 장비 및 계정 관리 솔루션 취약점

시트릭스 넷스케일러

시트릭스 넷스케일러 ADC와 게이트웨이에서 범위를 벗어난 읽기 취약점(CVE-2026-3055)과 경쟁 상태 취약점(CVE-2026-4368)이 확인됐다.

취약점	제품	영향받는 버전	해결 버전
CVE-2026-3055	NetScaler ADC, Gateway	14.1-60.58 미만 / 13.1-62.23 미만	14.1-60.58 / 13.1-62.23 이상
CVE-2026-3055	NetScaler ADC FIPS, NDcPP	13.1.37.262 미만	13.1.37.262 이상
CVE-2026-4368	NetScaler ADC, Gateway	14.1-66.59 미만	14.1-66.59 이상

넷스케일러 게이트웨이는 원격 근무자가 사내망에 들어오는 접속 경로 역할을 한다. 외부에 노출될 수밖에 없는 위치라 과거에도 여러 차례 대규모 공격의 표적이 됐다. 두 취약점의 해결 버전이 서로 달라, 양쪽을 모두 반영하려면 14.1-66.59 이상으로 올리는 방법이다.

오라클 아이덴티티 매니저

오라클 아이덴티티 매니저와 웹 서비스 매니저에서 핵심 기능에 대한 인증이 누락된 취약점(CVE-2026-21992)이 확인됐다. 12.2.1.4.0과 14.1.2.1.0이 영향을 받으며 오라클 보안 패치 적용으로 해결된다.

아이덴티티 매니저는 2025년 11월 28일에도 사전 인증 원격 코드 실행 취약점으로 공지에 오른 바 있다. 넉 달 만에 다시 게시됐다. 웹 서비스 매니저는 오라클 퓨전 미들웨어 인프라스트럭처와 함께 설치되므로, 직접 도입한 기억이 없어도 환경에 포함돼 있을 수 있다.

불법 스트리밍 앱 관련 개인정보 유출

KISA는 3월 25일 불법 동영상 스트리밍 사이트를 통해 악성앱 설치를 유도하는 사례가 탐지됐다며 주의를 당부했다. 이 앱은 설치 과정에서 문자와 연락처 등 과도한 권한을 요구하고, 사용자가 인지하지 못하는 사이에 악성 기능을 수행한다.

실제 피해 양상

악성앱이 하는 일은 두 가지다. 피해자 스마트폰에 수신된 문자 메시지를 탈취하고, 피해자 번호로 도박 등 불법 문자를 무단 발송한다.

문자 탈취는 인증번호가 함께 새어 나간다는 점에서 금융 피해로 직결된다. 무단 발송 쪽도 가볍지 않다. 불법 스팸 발송 번호로 다수 신고되면 해당 전화번호의 이용이 정지될 수 있어, 피해자가 오히려 제재 대상이 된다.

KISA는 관련 앱을 설치했거나 이용한 적이 있다면 추가 피해 예방을 위해 삭제할 것을 권고했다. 의심스러운 문자는 보호나라 카카오톡 채널의 확인 서비스로 판별할 수 있다.

정리

이번 주 공지는 시간 축이 넓다. 랭플로우처럼 최근 등장한 AI 도구가 있는가 하면, 2015년에 공개된 공유기 취약점도 함께 올랐다. 새로 등장하는 도구를 따라가는 일과 오래된 장비를 정리하는 일이 동시에 필요하다는 뜻이다.

우선순위를 정한다면 외부 노출 여부가 기준이 된다. 시트릭스 넷스케일러와 랭플로우는 인터넷에서 접근 가능한 경우가 많아 앞선다. TP-Link 공유기는 조직 자산이라기보다 재택근무자의 가정 환경에 있을 가능성이 크므로, 원격근무 보안 안내에 펌웨어 확인 항목을 넣는 방식이 현실적이다.

오라클 아이덴티티 매니저 | 출처: KISA 보호나라, Oracle 제품 보안 업데이트 권고 (2026-03-24)

불법 스트리밍 앱 | 출처: KISA 보호나라, 불법 스트리밍 앱으로 인한 개인정보 유출 및 문자 무단 발송 주의 권고 (2026-03-25)

시트릭스 넷스케일러 | 출처: KISA 보호나라, Citrix 제품 보안 업데이트 권고 (2026-03-26)

TP-Link 공유기 | 출처: KISA 보호나라, TP-Link 제품 보안 업데이트 권고 (2026-03-26)

랭플로우 | 출처: KISA 보호나라, Langflow 제품 보안 업데이트 권고 (2026-03-27)

KISA 보안 공지 : 2026년 3월 3주차 권고사항 정리

jys275 — Sun, 30 Aug 2026 00:04:37 +0900

이번 주 KISA 보안공지 개요

2026년 3월 14일부터 20일까지 보호나라에 올라온 보안공지는 7건이다. 제품 보안 업데이트 권고 5건과 주의 권고 2건으로, 두 주의 권고가 모두 중동 정세와 연결돼 있다는 점이 이번 주의 특징이다.

KISA는 중동발 지정학적 긴장이 핵티비즘으로 확산되는서 국내 정부기관과 기업을 대상으로 한 공격이 확산되고 있다고 밝혔다. 같은 사안을 명분으로 사용한 스미싱 주의 권고도 함께 게시됐다.

이번 주 공지 목록

게시일	대상	유형	조치
3월 15일	sequelize	SQL 인젝션	6.37.8
3월 16일	Veeam Backup & Replication	접근제어 미흡, 원격 코드 실행	12.3.2.4465 / 13.0.1.2067
3월 16일	중동 사태 악용 스미싱	사칭 사기	출처 불명 URL 클릭 금지
3월 17일	Ruckus ZoneDirector 외	서명 검증 미흡, 코드 인젝션	제품별 패치 버전
3월 19일	Apple 전 제품군	메모리 취약점 3건	제품별 패치 버전
3월 19일	Ubuntu snapd	권한 체이닝	배포판별 패치 버전
3월 20일	중동발 사이버 위협	대응 강화 권고	인프라와 계정 점검

중동발 핵티비즘 관련 공격 확산

KISA는 3월 20일 중동에서 시작된 지정학적 갈등이 핵티비즘으로 이어지면서 DDoS 공격과 정보 탈취 등의 위협이 확산되고 있다며 기업의 대응체계 강화를 요청했다.

확인된 공격 사례

KISA가 언급한 사례는 두 갈래다. 친팔레스타인 성향 핵티비스트 그룹 리퍼섹(RipperSec)은 국내 방위산업체와 정부기관을 대상으로 DDoS 공격을 시도했다. 친이란 성향 그룹 한달라(Handala) 등은 DDoS에 더해 데이터 파괴와 유출까지 병행하는 복합 공격을 수행하고 있다.

핵티비즘 공격의 목적은 금전이 아니라 정치적 메시지 전달이다. 따라서 표적 선정이 수익성이 아니라 상징성을 따르고, 방위산업이나 정부기관처럼 국가를 대표하는 조직이 우선 대상이 된다. 협상이나 복구 대가를 기대할 수 없다는 점에서 랜섬웨어와 대응 방식이 다르다.

KISA가 요청한 점검 항목

인프라와 계정 측면에서는 주요 시스템과 관리자 및 개발자 단말의 모니터링 강화, 대외 IT 인프라의 보안 패치와 비정상 계정 생성 여부 점검, 네트워크 접근통제 설정 재확인이 제시됐다. 해외 지사를 운영한다면 그곳의 인프라도 국내와 동일한 수준으로 점검하라는 항목이 포함됐다.

공급망 관점의 항목도 확인된다. 협력사 단말과 공급망 소프트웨어를 오픈소스와 외부 라이브러리까지 포함해 점검하고, 셰어포인트 같은 업무 협력 서버의 접근통제를 강화하라는 내용이다. 시스템 유지관리 도구와 개발 도구는 반드시 공식 사이트에서만 내려받으라는 항목은 바로 전주의 유틸리티 위장 악성코드 공지와 직접 연결된다.

웹 서비스 측면에서는 웹 취약점 점검과 웹셸 탐지 수행이 요구됐다. DDoS가 주된 위협인 만큼 트래픽 급증 시의 대응 절차를 미리 점검 항목에 해당한다.

같은 사안을 악용한 스미싱

3월 16일에는 중동 사태를 명분으로 한 스미싱 주의 권고가 별도로 게시됐다. 유류비, 주유 지원금, 긴급자금, 방산주, 항공권 환불 같은 키워드를 쓴 문자가 유포되고 있다는 내용이다.

수법은 익숙한 세 갈래다. 주유비 지원이나 에너지 바우처를 내세운 문자로 악성 URL 클릭을 유도하고, 지원금 대상 조회 같은 키워드로 검색 결과 상단에 피싱사이트를 노출시키며, 지원금 대상자 통보를 빙자한 전화로 원격제어 앱 설치를 유도한다. 사회적 이슈가 생길 때마다 그 이슈를 명분으로 갈아 끼우는 구조다.

빔 백업 앤 리플리케이션 취약점 4건

빔 백업 앤 리플리케이션에서 취약점 4건이 확인됐다. 접근제어 미흡 2건(CVE-2026-21666, CVE-2026-21667)과 원격 코드 실행 2건(CVE-2026-21669, CVE-2026-21708)이다.

영향받는 버전과 해결 버전

취약점	영향받는 버전	해결 버전
CVE-2026-21666, CVE-2026-21667	12.3.2.4465 미만	12.3.2.4465 이상
CVE-2026-21669	13.0.1.2067 미만	13.0.1.2067 이상
CVE-2026-21708	12.3.2.4465 미만 / 13.0.1.2067 미만	12.3.2.4465 / 13.0.1.2067 이상

백업 서버는 랜섬웨어 대응의 마지막 방어선이다. KISA가 두 차례 랜섬웨어 권고에서 반복해 강조한 것이 백업 분리였는데, 백업 솔루션 자체가 원격 코드 실행으로 침해되면 그 방어선이 먼저 무효화된다. 공격자가 백업을 먼저 삭제하고 본 시스템을 암호화하는 순서를 밟는 이유이기도 하다.

무선 네트워크 장비 및 운영체제 취약점

럭커스 무선 컨트롤러

럭커스 제품에서 취약점 3건이 확인됐다. 암호 서명 검증 미흡(CVE-2020-22653), 무결성 검사 없는 코드 다운로드(CVE-2020-22658), 코드 인젝션(CVE-2023-25717)이다. 존디렉터, 스마트존, 솔로 R310 AP 등이 대상이며 제품과 계열마다 해결 버전이 다르다.

CVE 번호가 2020년과 2023년이라는 점이 확인된다. 몇 년 전 공개된 취약점이 지금까지 패치되지 않은 장비에 남아 있다는 뜻이다. 무선 컨트롤러는 한 번 설치하면 잘 건드리지 않는 장비라 이런 상황이 자주 생긴다. 서명 검증과 무결성 검사가 미흡하다는 것은 공격자가 조작된 펌웨어를 정상으로 통과시킬 수 있다는 의미다.

우분투 snapd 권한 체이닝

우분투의 패키지 관리 도구 snapd에서 권한 체이닝 취약점(CVE-2026-3888)이 확인됐다. 16.04 LTS부터 25.10까지 지원 중인 거의 모든 버전이 영향을 받는다.

배포판	해결 버전
Ubuntu 25.10	2.73+ubuntu25.10.1 이상
Ubuntu 24.04 LTS	2.73+ubuntu24.04.1 이상
Ubuntu 22.04 LTS	2.73+ubuntu22.04.1 이상
Ubuntu 20.04 LTS	2.67.1+20.04ubuntu1~esm1 이상
Ubuntu 18.04 LTS	2.61.4ubuntu0.18.04.1+esm2 이상
Ubuntu 16.04 LTS	2.61.4ubuntu0.16.04.1+esm2 이상

권한 체이닝은 낮은 권한을 여러 단계로 이어 붙여 결국 높은 권한을 확보하는 유형이다. 18.04와 16.04는 확장 보안 유지보수(ESM) 채널로 패치가 제공되므로, 해당 구독이 없는 환경이라면 패치를 받을 수 없다는 점이 확인 대상이다.

애플 메모리 취약점 3건 및 시퀄라이즈 SQL 인젝션

애플은 iOS, iPadOS, macOS 계열, 사파리, tvOS, visionOS, watchOS에서 발생하는 취약점 3건을 해결했다. 메모리 버퍼 범위를 벗어난 연산(CVE-2025-31277), 경쟁 상태(CVE-2025-43510), 고전적 버퍼 오버플로(CVE-2025-43520)다.

취약점	주요 해결 버전
CVE-2025-31277	iOS/iPadOS 18.6, macOS Sequoia 15.6, Safari 18.6, visionOS 2.6, watchOS 11.6 이상
CVE-2025-43510, CVE-2025-43520	iOS/iPadOS 26.1 또는 18.7.2, macOS Tahoe 26.1, Sequoia 15.7.2, Sonoma 14.8.2 이상

취약점마다 영향 구간과 해결 버전이 달라 표기가 복잡하다. macOS는 타호, 세쿼이아, 소노마 세 계열이 각각 별도 버전으로 지정돼 있으므로 운영 중인 계열을 먼저 확인 대상이다.

한편 노드 기반 ORM 라이브러리인 시퀄라이즈에서는 SQL 인젝션 취약점(CVE-2026-30951)이 확인돼 6.37.8이 배포됐다. ORM은 개발자가 직접 SQL을 사용하지 않도록 해주는 도구라 SQL 인젝션과 무관하다고 인식되는 경우가 있으나, 라이브러리 자체에 결함이 있으면 그 전제가 성립하지 않는다.

정리

이번 주 공지에서는 지정학적 상황이 국내 조직의 보안 과제로 제시됐다. 핵티비즘 공격은 표적 선정 기준이 다르기 때문에, 평소 랜섬웨어를 기준으로 세운 대비만으로는 부족할 수 있다. DDoS 대응 절차와 데이터 파괴에 대비한 백업 복구 절차를 함께 점검할 시점이다.

같은 시기에 같은 주에 백업 솔루션 빔의 원격 코드 실행 취약점이 공지됐다. 복구 계획이 의존하는 도구부터 먼저 확인하는 것이 확인 대상이다. 럭커스처럼 몇 년 전 취약점이 남아 있는 장비도 이번 기회에 함께 정리해 대상이다.

시퀄라이즈 | 출처: KISA 보호나라, sequelize 제품 보안 업데이트 권고 (2026-03-15)

빔 백업 앤 리플리케이션 | 출처: KISA 보호나라, Veeam 제품 보안 업데이트 권고 (2026-03-16)

중동 사태 악용 스미싱 | 출처: KISA 보호나라, 유류비, 주유 지원금 등 중동 사태를 악용한 스미싱 주의 권고 (2026-03-16)

럭커스 무선 장비 | 출처: KISA 보호나라, Ruckus 제품 보안 업데이트 권고 (2026-03-17)

애플 제품군 | 출처: KISA 보호나라, Apple 제품 보안 업데이트 권고 (2026-03-19)

우분투 snapd | 출처: KISA 보호나라, Ubuntu 제품 보안 업데이트 권고 (2026-03-19)

중동발 사이버 위협 대응 | 출처: KISA 보호나라, 중동발 지정학적 긴장고조에 따른 사이버 위협 대응 강화 권고 (2026-03-20)

KISA 보안 공지 : 2026년 3월 2주차 권고사항 정리

jys275 — Sun, 30 Aug 2026 00:02:49 +0900

이번 주 KISA 보안공지 개요

2026년 3월 7일부터 13일까지 보호나라에 올라온 보안공지는 3건이다. 엔진엑스 UI 취약점과 마이크로소프트 3월 정기 업데이트, 그리고 IT 관리자와 개발자를 대상으로 한 악성코드 유포 주의 권고다.

이번 주의 무게중심은 세 번째 공지에 있다. 개발자와 시스템 관리자가 매일 사용하는 유틸리티로 위장한 악성코드가 깃허브를 통해 퍼지고 있다는 내용으로, KISA는 감염 징후를 직접 확인할 수 있는 지표까지 함께 공개했다.

이번 주 공지 목록

게시일	대상	유형	조치
3월 9일	nginx-ui	인증 미적용, 암호화 키 노출	2.3.3
3월 11일	IT 관리자 대상 위장 악성코드	악성코드 유포	감염 징후 자체 점검
3월 11일	MS 3월 정기 업데이트	권한 상승, 원격 코드 실행	14종 패치 적용

개발자 유틸리티 위장 악성코드 유포

KISA는 3월 11일 IT 관리자와 개발자를 대상으로 한 악성코드가 깃허브를 통해 유포되고 있다며 주의를 당부했다. 공격자는 실무에서 자주 사용하는 유틸리티 프로그램으로 위장한 악성 MSI 설치 파일을 깃허브 저장소에 올려두었다.

위장 대상이 된 도구들

KISA가 밝힌 위장 대상은 Tftpd64, Postman, WinDbg, PsExec, USMT, IntuneWinAppUtil, BgInfo, RDCMan이다. 모두 시스템 관리자나 개발자가 필요할 때 검색해서 내려받는 종류의 도구다.

공격자는 검색엔진 최적화를 악용해 악성 저장소를 구글과 빙 검색 결과 상단에 노출시켰다. 이용자가 도구 이름을 검색했을 때 맨 위에 뜨는 결과를 정상 소프트웨어로 오인하고 내려받게 만드는 구조다. 공식 사이트 주소를 외우고 있지 않으면 식별하기 어렵다.

감염 징후 확인 방법

KISA는 자체 점검에 사용할 수 있는 지표를 네 갈래로 제시했다. 파일시스템에서는 %LOCALAPPDATA% 하위에 랜덤한 6자 디렉터리가 만들어졌는지, 그 안에 비정상적인 node.exe가 있는지 확인한다.

레지스트리에서는 HKCU\Software\Microsoft\Windows\CurrentVersion\Run 경로에 랜덤한 키가 등록돼 있고, node.exe로 .cfg나 .ini 파일을 실행하는 명령이 들어 있는지 확인한다. 프로세스 측면에서는 msiexec.exe가 cmd.exe를 부르고 다시 node.exe로 이어지는 체인이 관찰되는지를 본다.

네트워크에서는 rpc.mevblock 같은 이더리움 RPC 엔드포인트로 향하는 비정상 HTTPS 요청과, X-Bot-Server라는 커스텀 헤더가 붙은 요청을 탐지 대상으로 제시했다. 암호화폐와 연결된 통신이 확인된다는 점에서 금전적 목적의 공격으로 보인다.

KISA는 첨부된 헌팅 가이드 보고서를 참고해 자체 점검을 수행하고, 침해 정황이 확인되면 보호나라 누리집으로 즉시 신고할 것을 안내했다.

엔진엑스 UI 인증 미적용 취약점

엔진엑스 웹 관리 도구인 nginx-ui에서 인증이 적용되지 않아 백업 파일을 무단으로 내려받을 수 있고 암호화 키까지 노출되는 취약점(CVE-2026-27944)이 확인됐다. 2.3.2 미만이 영향을 받으며 2.3.3으로 해결된다.

영향받는 버전과 해결 버전

취약점	제품	영향받는 버전	해결 버전
CVE-2026-27944	nginx-ui	2.3.2 미만	2.3.3

백업 파일에는 서버 설정 전체가 담긴다. 여기에 암호화 키까지 함께 노출되면 공격자는 웹서버 구성을 그대로 파악한 뒤 다음 단계를 준비할 수 있다. nginx-ui는 편의를 위해 설치하는 관리 도구로, 인증 설정이 누락되는 경우가 있는데, 이번 건은 인증 자체가 적용되지 않는 문제였다.

마이크로소프트 3월 정기 업데이트

마이크로소프트는 3월 11일 정기 보안 업데이트로 14종을 발표했다. 긴급 2종과 중요 12종이다. 긴급으로 분류된 것은 오피스의 권한 상승과 셰어포인트의 원격 코드 실행이다.

제품군별 영향

제품군	중요도	영향
Microsoft Office	긴급	권한 상승
Microsoft SharePoint	긴급	원격 코드 실행
Windows 11 (26H1, 25H2, 24H2, 23H2)	중요	권한 상승
Windows Server 2025, 2022, 2019, 2016	중요	권한 상승
Microsoft SQL Server, Azure, System Center	중요	권한 상승
Microsoft .NET	중요	서비스 거부

셰어포인트가 긴급 등급으로 오른 것은 12월에 이어 두 번째다. 사내 문서 협업 서버는 외부 공개 여부와 무관하게 내부 자료가 집중되는 곳이라, 원격 코드 실행 취약점이 나오면 우선 대응 대상이 된다.

정리

이번 주 공지는 유틸리티 위장 악성코드는 IT 관리자와 개발자를 노렸고, nginx-ui는 관리 도구였다. 둘 다 시스템에 높은 권한으로 접근하는 사람과 도구를 대상으로 한 것이다.

KISA가 제시한 조치는 두 가지다. 하나는 KISA가 제시한 감염 징후 지표로 개발자와 관리자 단말을 점검하는 것이고, 다른 하나는 도구를 내려받을 때 반드시 공식 배포처를 거치도록 팀 내에 원칙을 세우는 것이다. 검색 결과 상단에 뜬다는 것은 더 이상 신뢰의 근거가 되지 못한다.

nginx-ui | 출처: KISA 보호나라, NGINX 제품 보안 업데이트 권고 (2026-03-09)

유틸리티 위장 악성코드 | 출처: KISA 보호나라, IT 관리자 및 개발자 대상 유틸리티 도구로 위장한 악성코드 유포 주의 권고 (2026-03-11)

MS 3월 정기 업데이트 | 출처: KISA 보호나라, MS 3월 보안 위협에 따른 정기 보안 업데이트 권고 (2026-03-11)

KISA 보안 공지 : 2026년 3월 1주차 권고사항 정리

jys275 — Sun, 30 Aug 2026 00:01:26 +0900

이번 주 KISA 보안공지 개요

2026년 2월 28일부터 3월 6일까지 보호나라에 올라온 보안공지는 5건으로, 모두 제품 보안 업데이트 권고다. 시스코 공지가 두 번 나왔고, AI 코딩 도구인 클로드 코드가 처음으로 KISA 공지에 등장했다.

클로드 코드 공지는 확인 대상이다. AI 개발 도구가 KISA 보안공지의 대상 제품으로 오른 것은 흔한 일이 아니었는데, 개발 환경에 AI 도구가 사용되면서 이 영역도 관리 대상에 포함되기 시작했다.

이번 주 공지 목록

게시일	대상 제품	취약점	해결 버전
3월 3일	Cisco SD-WAN, Nexus 외	권한 상승, 서비스 거부 등	제품별 패치 버전
3월 6일	Anthropic Claude Code	코드 인젝션, 민감정보 노출	v1.0.111 / v2.0.65
3월 6일	Cisco Secure Firewall FMC	인증 우회, 원격 코드 실행	계열별 패치 버전
3월 6일	pac4j-jwt	인증 우회	4.5.9 / 5.7.9 / 6.3.3 이상
3월 6일	Android Qualcomm Graphics	정수 오버플로우	최신 소스코드 패치

앤트로픽 클로드 코드 취약점 2건

앤트로픽의 AI 코딩 도구 클로드 코드에서 코드 인젝션 취약점(CVE-2025-59536)과 민감정보 노출 취약점(CVE-2026-21852)이 확인됐다.

영향받는 버전과 해결 버전

취약점	유형	영향받는 버전	해결 버전
CVE-2025-59536	코드 인젝션	v1.0.111 미만	v1.0.111
CVE-2026-21852	민감정보 노출	v2.0.65 미만	v2.0.65

AI 코딩 도구는 개발자 단말에서 소스코드와 자격증명에 광범위한 접근 권한을 갖고 동작한다. 여기서 코드 인젝션이 성립하면 공격자가 개발자 권한으로 명령을 실행할 수 있고, 민감정보 노출은 소스코드나 API 키가 새어 나가는 경로가 된다. 개발 환경은 운영 환경으로 이어지는 통로라 파급이 뒤따른다.

두 취약점의 해결 버전이 v1.0.111과 v2.0.65로 계열이 다르다. 어느 계열을 사용 중인지에 따라 필요한 버전이 달라지므로, 팀 단위로 설치 버전을 확인하는 방법이다. 사내 개발 도구의 자산 목록에 AI 도구가 포함돼 있는지도 이번 기회에 점검 대상이다.

시스코 제품 취약점 2건

SD-WAN과 넥서스 스위치

3월 3일 공지는 여러 제품군을 한꺼번에 다뤘다. SD-WAN 소프트웨어의 권한 상승 취약점 2건(CVE-2022-20775, CVE-2022-20818), NX-OS 소프트웨어의 서비스 거부 취약점(CVE-2026-20010), ACI 모드로 동작하는 넥서스 9000 시리즈 패브릭 스위치의 서비스 거부 취약점 2건(CVE-2026-20033, CVE-2026-20048), 넥서스 3600과 9500-R 시리즈의 서비스 거부 취약점(CVE-2026-20051), 미팅 매니지먼트의 임의 파일 업로드 취약점(CVE-2026-20098) 등이다.

SD-WAN 권한 상승 취약점 2건은 CVE 번호가 2022년으로 시작한다. 오래전에 공개된 취약점이 지금도 구버전에 남아 있다는 뜻이다. 18.4 이하, 19.2, 20.3 계열은 패치가 아니라 해결 버전으로의 마이그레이션 대상이다.

시큐어 파이어월 관리 센터

3월 6일 공지는 시스코 시큐어 파이어월 매니지먼트 센터(FMC)를 다뤘다. 인증 우회 및 스크립트 실행 취약점(CVE-2026-20079)과 역직렬화로 인한 원격 코드 실행 취약점(CVE-2026-20131)이다.

영향받는 버전	해결 버전
FMC 7.0.x	7.0.9 이상
FMC 7.1.x, 7.2.x	7.2.11 이상
FMC 7.3.x, 7.4.x	7.4.4 이상
FMC 7.6.x	7.6.4 이상
FMC 7.7.x	7.7.11 이상
FMC 6.4.0.13 이상 (CVE-2026-20131)	7.0.9 이상

FMC는 여러 대의 방화벽을 한곳에서 관리하는 콘솔이다. 여기서 인증 우회가 성립하면 관리 대상 방화벽 전체의 정책을 바꿀 수 있게 된다. 역직렬화 취약점은 프로그램이 외부에서 받은 데이터를 객체로 복원하는 과정을 대상으로 하는 유형으로, 원격 코드 실행으로 이어지는 대표적 경로다.

인증 라이브러리 및 안드로이드 그래픽 드라이버 취약점

pac4j-jwt 인증 우회

자바 보안 프레임워크 pac4j의 JWT 모듈에서 인증 우회 취약점(CVE-2026-29000)이 확인됐다. 4.0부터 4.5.9 미만, 5.0부터 5.7.9 미만, 6.0부터 6.3.3 미만이 영향을 받는다.

영향받는 버전	해결 버전
4.0 이상 4.5.9 미만	4.5.9 이상
5.0 이상 5.7.9 미만	5.7.9 이상
6.0 이상 6.3.3 미만	6.3.3 이상

JWT는 로그인한 사용자임을 증명하는 토큰이다. 이를 검증하는 라이브러리에서 인증 우회가 발생했다는 것은, 공격자가 위조한 토큰이 정상으로 통과할 수 있다는 뜻이다. 애플리케이션이 권한을 세분화해 두었더라도 그 앞단의 신원 확인이 성립하지 않으면 의미가 없다.

안드로이드 퀄컴 그래픽 드라이버

안드로이드의 퀄컴 그래픽 구성 요소에서 정수 오버플로우 취약점(CVE-2026-21385)이 확인됐다. kernel/msm-5.4와 graphics-kernel 여러 릴리스가 영향을 받으며, 배포판 업데이트가 아니라 최신 소스코드 패치 적용으로 해결된다.

커널 그래픽 드라이버는 높은 권한으로 동작하기 때문에, 여기서 메모리 관련 취약점이 발생하면 권한 상승의 전제 조건이 된다. 일반 이용자는 제조사가 배포하는 정기 보안 업데이트를 통해 반영되므로, 단말의 보안 패치 수준을 확인하는 것으로 충분하다.

정리

이번 주에서 가장 확인되는 변화는 AI 개발 도구가 취약점 공지의 대상이 됐다는 점이다. 개발 도구는 소스코드와 자격증명이 집중되는 자리라, 보안 관리 대상 목록에 새로 포함할 영역이 하나 늘어났다.

전통적인 우선순위로 보면 시스코 FMC가 앞선다. 방화벽 관리 콘솔의 인증 우회는 파급 범위가 관리 대상 전체로 퍼진다. pac4j-jwt는 애플리케이션 의존성에 숨어 있는 경우가 많으므로, 자바 프로젝트를 운영한다면 빌드 파일에서 버전을 직접 확인하는 방법이다.

시스코 SD-WAN 및 넥서스 | 출처: KISA 보호나라, Cisco 제품 보안 업데이트 권고 (2026-03-03)

앤트로픽 클로드 코드 | 출처: KISA 보호나라, Anthropic 제품 보안 업데이트 권고 (2026-03-06)

시스코 시큐어 파이어월 FMC | 출처: KISA 보호나라, Cisco 제품 보안 업데이트 권고 (2026-03-06)

pac4j-jwt | 출처: KISA 보호나라, pac4j-jwt 제품 보안 업데이트 권고 (2026-03-06)

안드로이드 퀄컴 그래픽 | 출처: KISA 보호나라, 안드로이드 제품 보안 업데이트 권고 (2026-03-06)

KISA 보안 공지 : 2026년 2월 4주차 권고사항 정리

jys275 — Sat, 29 Aug 2026 23:59:59 +0900

이번 주 KISA 보안공지 개요

2026년 2월 21일부터 27일까지 보호나라에 올라온 보안공지는 9건으로, 최근 석 달 가운데 가장 많다. 2월 26일 하루에만 5건이 집중됐다.

국산 소프트웨어 2건이 포함된 점이 확인된다. 포시에스의 OZ 리포트와 삼성전자의 매직인포 9 서버로, 둘 다 기업 내부에서 널리 사용되면서도 외부 공개 서버로 운영되는 경우가 있는 제품이다.

이번 주 공지 목록

게시일	대상 제품	취약점	해결 버전
2월 24일	Notepad++	임의 코드 실행	8.8.9 이상
2월 24일	포시에스 OZ Report	관리자 권한 탈취, 파일 다운로드	2026-01-28 이후 보안 패치
2월 26일	VMware Aria Operations 외	원격 코드 실행 외 2건	9.0.2.0 / 8.18.6
2월 26일	Cisco Catalyst SD-WAN Controller	권한 상승	계열별 패치 버전
2월 26일	Firefox, Thunderbird	정보 노출 외 4건	제품별 패치 버전
2월 26일	SolarWinds Serv-U	원격 코드 실행 4건	15.5.4
2월 26일	ZYXEL 네트워크 장비	명령어 삽입, 서비스 거부	모델별 펌웨어
2월 26일	삼성 MagicINFO 9 Server	파일 업로드, 하드코딩 자격증명	21.1090.1
2월 27일	Juniper Junos OS Evolved	원격 코드 실행	25.4R1-S1-EVO 이상

국산 솔루션 취약점 2건

이번 주 공지에는 국내 기업이 만든 제품 2건이 포함됐다. 해외 제품과 달리 국내 조직에 집중적으로 설치돼 있어, 취약점이 공개되면 표적 범위가 곧바로 국내로 좁혀진다는 특징이 있다.

포시에스 OZ 리포트

전자문서와 리포팅 솔루션인 OZ 리포트에서 관리자 권한 탈취와 파일 다운로드 등의 취약점이 확인됐다. 영향받는 모듈은 OZ 서버, OZ 스케줄러(HTML5 매니저), OZ HTML5 뷰어다.

영향받는 버전	해결 방안
V7.0 이하	V8.0 이상으로 업그레이드
V8.0 ~ V9.0	2026년 1월 28일 이후 배포된 최신 보안 패치 적용

V7.0 이하는 패치가 아니라 업그레이드 대상이다. 리포팅 솔루션은 한 번 붙여두면 수년간 그대로 운영하는 경우가 많아, 지원이 끝난 버전이 남아 있을 가능성이 높다. 관리자 권한 탈취가 가능한 취약점에 해당한다.

삼성전자 매직인포 9 서버

디지털 사이니지 관리 솔루션인 매직인포 9 서버에서 취약점 3건이 확인됐다. 파일 업로드 취약점(CVE-2026-25200), 파일 업로드 기반 원격 코드 실행 취약점(CVE-2026-25201), 하드코딩된 자격증명 취약점(CVE-2026-25202)이다. 21.1090.1 미만이 영향을 받는다.

하드코딩된 자격증명은 제품 소스에 계정 정보가 박혀 있는 경우를 말한다. 사용자가 비밀번호를 바꿔도 그 경로는 그대로 남기 때문에, 정보가 공개되면 모든 설치본이 동시에 위험해진다. 매직인포는 매장과 공항, 건물 로비의 디스플레이를 원격 관리하는 제품이라 외부망에 노출된 사례가 적지 않다.

파일 전송 및 가상화 관리 서버 취약점

솔라윈즈 Serv-U

파일 전송 서버인 솔라윈즈 Serv-U에서 원격 코드 실행 취약점 4건이 한꺼번에 공개됐다. 접근제어 오류(CVE-2025-40538), 타입 혼동 2건(CVE-2025-40539, CVE-2025-40540), 안전하지 않은 직접 객체 참조(CVE-2025-40541)로 원인은 다르지만 결과는 모두 원격 코드 실행이다. 15.5.4 미만이 영향을 받는다.

파일 전송 서버는 외부 파트너와 파일을 주고받기 위해 인터넷에 열어두는 경우가 많다. 과거 유사 제품의 취약점이 대규모 침해로 번진 사례가 있었던 만큼, 노출된 Serv-U가 있다면 즉시 확인 대상이다.

브로드컴 VMware 아리아 오퍼레이션스

VMware 아리아 오퍼레이션스와 클라우드 파운데이션 오퍼레이션스에서 원격 코드 실행(CVE-2026-22719), 크로스 사이트 스크립팅(CVE-2026-22720), 권한 상승(CVE-2026-22721) 취약점이 확인됐다.

제품	영향받는 버전	해결 버전
VMware Cloud Foundation, vSphere Foundation	9.x.x.x	9.0.2.0
VMware Aria Operations	8.x	8.18.6
VMware Cloud Foundation	4.x, 5.x	KB92148 참고
VMware Telco Cloud Platform, Infrastructure	2.x ~ 5.x	KB428241 참고

아리아 오퍼레이션스는 가상화 인프라를 모니터링하고 운영하는 관리 도구다. 1월 13일 ESXi 취약점에 이어 VMware 계열이 한 달 반 만에 다시 올랐다.

네트워크 장비 취약점 3건

시스코 카탈리스트 SD-WAN 컨트롤러

시스코의 카탈리스트 SD-WAN 컨트롤러에서 권한 상승 취약점(CVE-2026-20127)이 확인됐다. 20.9 이하 버전이 영향을 받으며, 계열에 따라 20.9.8.2, 20.12.6.1, 20.15.4.2, 20.18.2.1 등에서 해결된다. 일부 구버전은 해결 버전으로의 마이그레이션 대상이다.

주니퍼 Junos OS Evolved

주니퍼 네트웍스 PTX 시리즈에서 동작하는 Junos OS Evolved에서 원격 코드 실행 취약점(CVE-2026-21902)이 확인됐다. 25.4R1-S1-EVO 미만과 25.4R2-EVO 미만이 대상이다. PTX 시리즈는 대용량 트래픽을 처리하는 코어 라우터라, 장애 시 영향 범위가 서비스 전체에 미친다.

자이젤 가정용 및 사무용 장비

자이젤은 4G LTE와 5G NR CPE, DSL과 이더넷 CPE, 광 단말장치, 무선 확장기에서 발생하는 취약점 3건을 공개했다. 널 포인터 역참조로 인한 서비스 거부(CVE-2025-13942)와 명령어 삽입 취약점 2건(CVE-2025-13943, CVE-2026-1459)이다.

영향받는 모델이 LTE3301-PLUS, NR7101, DX4510, EX 시리즈 등 수십 종에 이르고 모델마다 펌웨어 버전이 제각각이다. 운영 중인 장비가 있다면 원본 공지에서 모델명을 직접 대조 대상이다. 명령어 삽입은 공격자가 장비에서 실행할 명령을 그대로 밀어 넣는 유형이라 장비 장악으로 직결된다.

모질라 파이어폭스와 썬더버드 취약점 5건

모질라는 파이어폭스와 썬더버드에서 발생하는 취약점 5건을 해결했다. 썬더버드의 정보 노출(CVE-2026-0818), iOS용 파이어폭스의 웹사이트 스푸핑(CVE-2026-2032), 힙 버퍼 오버플로(CVE-2026-2447), 보안 기능 우회(CVE-2026-24868), use-after-free(CVE-2026-24869)다.

영향받는 버전과 해결 버전

제품	영향받는 버전	해결 버전
Firefox	147.0.2 미만 / 147.0.4 미만	147.0.2 / 147.0.4
Firefox ESR	115.32.1 미만 / 140.7.1 미만	115.32.1 / 140.7.1
Firefox for iOS	147.2.1 미만	147.2.1
Thunderbird	140.7.1 미만 / 147.0.1 미만	140.7.1 / 147.0.1
Thunderbird	140.7.2 미만 / 147.0.2 미만	140.7.2 / 147.0.2

취약점마다 해결 버전이 달라 표기가 복잡하다. 가장 확실한 방법은 각 제품을 최신 버전으로 올리는 것이다. 노트패드 플러스 플러스도 이번 주에 다시 올라와, 8.8.9 미만 버전에서 임의 코드 실행 취약점(CVE-2025-15556)이 확인됐다.

정리

9건이 집중됐 한 주였지만 외부 노출 가능성이 높은 순서로 보면 솔라윈즈 Serv-U, 삼성 매직인포, 포시에스 OZ 리포트가 앞선다. 셋 다 인터넷에서 접근 가능한 형태로 운영되는 경우가 많고, 취약점 유형도 원격 코드 실행이나 권한 탈취다.

국산 솔루션 2건이 같은 주에 나온 것은 흔치 않다. 해외 제품과 달리 국내에 설치 기반이 집중돼 있어, 공격자 입장에서는 하나의 취약점으로 국내 조직을 대상으로 삼을 수 있다. 자산 목록에 이 제품들이 있다면 이번 주 안에 버전을 확인하는 방법이다.

노트패드 플러스 플러스 | 출처: KISA 보호나라, Notepad++ 제품 보안 업데이트 권고 (2026-02-24)

포시에스 OZ 리포트 | 출처: KISA 보호나라, 포시에스社 OZ Report 제품 보안 업데이트 권고 (2026-02-24)

VMware 아리아 오퍼레이션스 | 출처: KISA 보호나라, Broadcom 제품 보안 업데이트 권고 (2026-02-26)

시스코 SD-WAN 컨트롤러 | 출처: KISA 보호나라, Cisco 제품 보안 업데이트 권고 (2026-02-26)

모질라 파이어폭스 | 출처: KISA 보호나라, Mozilla 제품 보안 업데이트 권고 (2026-02-26)

솔라윈즈 Serv-U | 출처: KISA 보호나라, SolarWinds 제품 보안 업데이트 권고 (2026-02-26)

자이젤 네트워크 장비 | 출처: KISA 보호나라, ZYXEL 제품 보안 업데이트 권고 (2026-02-26)

삼성 매직인포 | 출처: KISA 보호나라, 삼성전자 제품 보안 업데이트 권고 (2026-02-26)

주니퍼 Junos OS Evolved | 출처: KISA 보호나라, Juniper 제품 보안 업데이트 권고 (2026-02-27)

KISA 보안 공지 : 2026년 2월 3주차 권고사항 정리

jys275 — Sat, 29 Aug 2026 23:58:14 +0900

이번 주 KISA 보안공지 개요

2026년 2월 14일부터 20일까지 보호나라에 올라온 보안공지는 3건으로, 모두 제품 보안 업데이트 권고다. 원격 지원 솔루션 비욘드트러스트, 텍스트 편집기 노트패드 플러스 플러스, 구글 크롬이 대상이다.

세 건 모두 코드 실행 계열 취약점이라는 공통점이 있다. 다만 노출 경로가 서로 달라, 조직 관점에서는 비욘드트러스트가 우선순위가 높다.

이번 주 공지 목록

게시일	대상 제품	취약점	해결 방안
2월 16일	BeyondTrust Remote Support 외	원격 코드 실행	패치 또는 업그레이드
2월 19일	Notepad++	임의 코드 실행	8.9.2
2월 20일	Google Chrome	use-after-free	145.0.7632.75 이상

비욘드트러스트 원격 지원 솔루션 원격 코드 실행 취약점

비욘드트러스트의 리모트 서포트와 프리빌리지드 리모트 액세스에서 원격 코드 실행 취약점(CVE-2026-1731)이 확인됐다. 두 제품 모두 외부에서 내부 시스템에 접속하는 통로 역할을 하는 솔루션이다.

영향받는 버전과 해결 방안

제품	영향받는 버전	해결 방안
Remote Support	25.3.1 이하	패치 BT26-02-RS (v21.3 ~ 25.3.1) 또는 25.3.2 이상 업그레이드
Privileged Remote Access	24.3.4 이하	패치 BT26-02-PRA (v22.1 ~ 24.X) 또는 25.1 이상 업그레이드

프리빌리지드 리모트 액세스는 이름 그대로 특권 계정의 원격 접속을 관리하는 제품이다. 여기서 원격 코드 실행이 성립하면 공격자는 조직이 가장 엄격하게 통제하려던 권한 경로를 그대로 확보하는다. 유지보수 업체나 협력사의 접속을 이 제품으로 통제하는 조직이라면 우선 대응 대상이다.

대응 방식은 두 갈래다. 버전 업그레이드가 어려운 환경이면 해당 계열에 맞는 패치를 적용하고, 가능하면 리모트 서포트는 25.3.2 이상, 프리빌리지드 리모트 액세스는 25.1 이상으로 올리는 방법으로 안내됐다.

노트패드 플러스 플러스 임의 코드 실행 취약점

텍스트 편집기 노트패드 플러스 플러스에서 임의 코드 실행 취약점(CVE-2026-25926)이 확인돼 8.9.2가 배포됐다. 8.9.2 미만 버전이 모두 영향을 받는다.

영향받는 버전과 해결 버전

제품	영향받는 버전	해결 버전
Notepad++	8.9.2 미만	8.9.2

바로 전주에는 윈도우 기본 메모장에서 원격 코드 실행 취약점이 공지됐다. 두 주 연속으로 텍스트 편집기가 대상이 됐다. 편집기는 사용자가 외부에서 받은 파일을 별 의심 없이 열어보는 도구라, 악성 파일 유포자 입장에서는 선호되는 표적이다.

노트패드 플러스 플러스는 개발자와 운영자의 단말에 거의 기본으로 깔려 있으면서도, 조직의 소프트웨어 자산 목록에는 빠져 있는 경우가 많다. 자동 업데이트를 활성화하지 않은 환경에서는 설치 버전이 확인 대상이다.

크롬 use-after-free 취약점

구글은 크롬에서 발생하는 use-after-free 취약점(CVE-2026-2441)을 해결한 업데이트를 배포했다. 145.0.7632.75 미만 버전이 대상이다.

영향받는 버전과 해결 버전

플랫폼	영향받는 버전	해결 버전
Windows	145.0.7632.75 미만	145.0.7632.75 또는 145.0.7632.76
Mac	145.0.7632.75 미만	145.0.7632.75 또는 145.0.7632.76
Linux	145.0.7632.75 미만	144.0.7559.75

리눅스는 해결 버전이 다른 플랫폼과 다르게 표기돼 있으므로, 원본 공지의 참고 사이트에서 배포 채널을 함께 확인하는 방법이다. 크롬은 업데이트를 내려받아도 브라우저를 재시작해야 반영된다.

정리

이번 주 세 건은 모두 코드 실행 취약점이지만 성격이 갈린다. 크롬과 노트패드 플러스 플러스는 사용자가 악성 콘텐츠를 열어야 성립하는 반면, 비욘드트러스트는 외부에 노출된 접속 접속 경로 자체가 대상이다.

대응 순서를 정한다면 비욘드트러스트가 영향 범위가 가장 넓다. 이어서 개발자와 운영자 단말의 노트패드 플러스 플러스 버전을 확인하고, 크롬은 전사 공지로 재시작을 안내하는 정도로 정리할 수 있다.

비욘드트러스트 | 출처: KISA 보호나라, BeyondTrust 제품 보안 업데이트 권고 (2026-02-16)

노트패드 플러스 플러스 | 출처: KISA 보호나라, Notepad++ 제품 보안 업데이트 권고 (2026-02-19)

구글 크롬 | 출처: KISA 보호나라, 구글 Chrome 브라우저 보안 업데이트 권고 (2026-02-20)

KISA 보안 공지 : 2026년 2월 2주차 권고사항 정리

jys275 — Sat, 29 Aug 2026 23:56:58 +0900

이번 주 KISA 보안공지 개요

2026년 2월 7일부터 13일까지 보호나라에 올라온 보안공지는 8건이다. 마이크로소프트 2월 정기 업데이트를 비롯한 제품 보안 업데이트 권고 7건과, 설 연휴를 앞두고 나온 사이버 사기 주의 권고 1건이다.

이번 주는 관리 도구와 일상 도구가 나란히 올랐다. 이반티 엔드포인트 매니저와 포티클라이언트 EMS 같은 관리 제품이 있는가 하면, 윈도우 메모장과 노트패드 플러스 플러스 같은 편집기도 포함됐다.

이번 주 공지 목록

게시일	대상	유형	조치
2월 10일	FortiClientEMS	SQL 인젝션	7.4.5 이상
2월 11일	MS 2월 정기 업데이트	권한 상승 외	16종 패치 적용
2월 12일	Windows Notepad	원격 코드 실행	11.2510 이상
2월 12일	설 연휴 사이버 사기	스미싱, 피싱	출처 불명 URL 클릭 금지
2월 13일	Apple 전 제품군	임의 코드 실행	26.3 이상
2월 13일	Ivanti Endpoint Manager	SQL 인젝션, 인증 우회	2024 SU5
2월 13일	SandboxJS	샌드박스 탈출	0.8.31
2월 13일	WordPress WPvivid	임의 파일 업로드	0.9.124

설 연휴 기간 사이버 사기 주의 권고

KISA는 2월 12일 설 명절 연휴 기간의 스미싱과 피싱 등 사이버 사기에 주의할 것을 당부했다. 명절마다 반복되는 공지지만, 이번에는 연휴 상황을 구체적으로 이용하 세 가지 수법을 제시했다.

연휴에 집중되는 세 가지 수법

첫째는 공공기관 사칭이다. 연휴에 차량으로 지역 간 이동이 많다는 점을 이용해, 교통법규 위반이나 쓰레기 분리수거 위반 과태료 조회를 빙자한 문자를 보낸다.

둘째는 선물 위장이다. 지인과 친지 사이 선물 배송이 늘어나는 시기라는 점을 이용해 명절 선물 수취 확인, 상품권이나 기프티콘 지급을 내세운다.

셋째는 쇼핑몰 사칭이다. 배송 지연이나 물량 부족을 이유로 비대면 직거래를 유도하거나 허위 쇼핑몰로 연결한다.

세 수법 모두 연휴라는 상황 자체를 명분으로 삼는다는 공통점이 있다. 평소라면 의심할 문자도 과태료 조회나 선물 배송이라는 맥락이 붙으면 그럴듯해 보인다. 연휴 기간에 받은 문자일수록 링크를 누르기 전에 한 번 더 확인하는 확인 절차가 안내됐다.

의심스러운 문자는 보호나라 카카오톡 채널의 확인 서비스로 판별할 수 있다. 스미싱과 피싱은 물론 QR코드를 이용한 큐싱까지 함께 확인 가능하다.

마이크로소프트 2월 정기 업데이트

마이크로소프트는 2월 11일 정기 보안 업데이트로 16종을 발표했다. 긴급 1종과 중요 15종으로, 긴급 8종이었던 1월과 비교하면 등급 분포가 크게 완화됐다.

제품군별 영향

제품군	중요도	영향
Windows 11 (26H1, 25H2, 24H2, 23H2)	중요	권한 상승
Windows Server 2025, 2022, 2019, 2016	중요	권한 상승
Microsoft Office, SharePoint, Exchange Server	중요	보안 기능 우회
Microsoft SQL Server	중요	원격 코드 실행
Microsoft .NET	중요	보안 기능 우회
Microsoft Visual Studio	중요	원격 코드 실행

오피스, 셰어포인트, 익스체인지 서버가 모두 보안 기능 우회로 묶여 올라온 점이 확인된다. 보안 기능 우회는 매크로 차단이나 첨부파일 검사 같은 방어 장치를 무력화하는 유형이라, 단독으로는 피해를 내지 않지만 다른 공격의 성공률을 크게 높인다.

같은 시기 별도 공지로는 윈도우 메모장의 원격 코드 실행 취약점(CVE-2026-20841)이 올라왔다. 11.2510 미만 버전이 대상이다. 메모장에서 원격 코드 실행이 성립한다는 것은 조작된 텍스트 파일을 여는 것만으로 공격이 가능하다는 뜻이라, 확인 대상이다.

관리 제품 취약점 2건

포티넷과 이반티가 이번 주에도 공지에 올랐다. 두 제품 모두 조직의 단말을 일괄 관리하는 위치에 있다.

포티클라이언트 EMS

포티넷의 엔드포인트 관리 서버인 포티클라이언트 EMS에서 SQL 인젝션 취약점(CVE-2026-21643)이 확인됐다. 영향받는 버전은 7.4.4로 특정돼 있으며 7.4.5 이상으로 올리면 해결된다.

이반티 엔드포인트 매니저

이반티 엔드포인트 매니저에서는 SQL 인젝션 취약점(CVE-2026-1602)과 인증 우회 취약점(CVE-2026-1603)이 함께 확인됐다. 2024 SU4 SR1 이하가 영향을 받으며 2024 SU5에서 해결된다.

이반티는 2025년 12월, 2026년 1월에 이어 이번이 세 번째 공지다. 12월에는 엔드포인트 매니저에서 4건, 1월에는 엔드포인트 매니저 모바일에서 2건이었다. 이 제품군을 사용 중이라면 공지 확인을 정기 업무로 잡아두는 방법이다. 특히 1월에 RPM 스크립트로 임시 조치한 경우, 이번 업데이트와 함께 적용 상태가 점검 대상이다.

애플 임의 코드 실행 취약점 외 3건

애플은 iOS, iPadOS, macOS Tahoe, visionOS, tvOS, watchOS에서 발생하는 임의 코드 실행 취약점(CVE-2026-20700)을 해결했다. 26.3 미만 버전이 모두 영향을 받으며 26.3 이상으로 올리면 된다. 2025년 12월 19일 use-after-free 취약점에 이어 두 달 만의 전 제품군 대상 공지다.

샌드박스JS 샌드박스 탈출

자바스크립트 격리 실행 라이브러리인 샌드박스JS에서 샌드박스 탈출 취약점(CVE-2026-25881)이 확인됐다. 0.8.30 이하가 영향을 받으며 0.8.31로 해결된다. 샌드박스는 신뢰할 수 없는 코드를 가둬놓고 실행하는 장치인데, 이 격리를 통과하는 취약점이라 격리를 전제로 설계된 시스템 전체의 가정이 무효화된다.

워드프레스 WPvivid 백업 플러그인

워드프레스 백업 플러그인인 WPvivid Backup and Migration에서 임의 파일 업로드 취약점(CVE-2026-1357)이 확인됐다. 0.9.123 이하가 영향을 받으며 0.9.124로 해결된다. 임의 파일 업로드는 공격자가 실행 가능한 파일을 서버에 올릴 수 있게 하는 유형으로, 웹셸 설치의 전형적인 경로다.

정리

이번 주 8건은 관리 서버부터 메모장까지 층위가 다양했다. 다만 실무 관점에서 우선순위를 매기면 이반티와 포티클라이언트 EMS가 앞선다. 한 대가 관리하는 단말이 많을수록 그 한 대의 침해가 만드는 파급이 크기 때문이다.

설 연휴 사기 주의는 이용자 개인의 문제로 보이기 쉽지만, 조직 입장에서도 의미가 있다. 연휴 기간에 개인 단말이 감염되면 복귀 후 그 단말이 사내망에 다시 접속한다. 연휴 전 공지 한 번이 복귀 후 대응 비용을 줄인다.

포티클라이언트 EMS | 출처: KISA 보호나라, Fortinet 제품 보안 업데이트 권고 (2026-02-10)

MS 2월 정기 업데이트 | 출처: KISA 보호나라, MS 2월 보안 위협에 따른 정기 보안 업데이트 권고 (2026-02-11)

윈도우 메모장 | 출처: KISA 보호나라, Microsoft 제품 보안 업데이트 권고 (2026-02-12)

설 연휴 사이버 사기 | 출처: KISA 보호나라, 설 명절 연휴기간 스미싱, 피싱 등 사이버 사기 주의 (2026-02-12)

애플 제품군 | 출처: KISA 보호나라, Apple 제품 보안 업데이트 권고 (2026-02-13)

이반티 엔드포인트 매니저 | 출처: KISA 보호나라, Ivanti 제품 보안 업데이트 권고 (2026-02-13)

샌드박스JS | 출처: KISA 보호나라, SandboxJS 보안 업데이트 권고 (2026-02-13)

워드프레스 WPvivid | 출처: KISA 보호나라, WordPress 플러그인 보안 업데이트 권고 (2026-02-13)

KISA 보안 공지 : 2026년 2월 1주차 권고사항 정리

jys275 — Sat, 29 Aug 2026 23:55:21 +0900

이번 주 KISA 보안공지 개요

2026년 1월 31일부터 2월 6일까지 보호나라에 올라온 보안공지는 5건이다. 포티넷 인증 우회, 오래된 인증 프로토콜인 NET-NTLM v1 사용 중단 권고, 랜섬웨어 예방 권고, 샤오미 무선 이어폰 사용 주의, n8n 원격 코드 실행이다.

KISA가 랜섬웨어 예방 권고를 다시 낸 점이 확인된다. 2025년 12월 6일 이후 두 달 만이다. 같은 내용을 반복해 낸다는 것은 그만큼 피해가 이어지고 있다는 신호로 읽힌다.

이번 주 공지 목록

게시일	대상	유형	조치
2월 2일	Fortinet 다수 제품	인증 우회	제품별 패치 버전
2월 2일	NET-NTLM v1	취약한 인증 프로토콜	v2로 전환
2월 4일	랜섬웨어 예방 권고	대응 권고	외부 접속과 백업 점검
2월 5일	Xiaomi Redmi Buds Pro	정보 노출, 서비스 거부	사용 주의
2월 5일	n8n	원격 코드 실행	1.123.17 / 2.5.2 이상

포티넷 제품군 인증 우회 취약점

포티넷은 FortiAnalyzer, FortiManager, FortiOS, FortiProxy, FortiWeb에서 발생하는 인증 우회 취약점(CVE-2026-24858)을 공개했다. 방화벽, 프록시, 로그 분석, 통합 관리까지 주요 제품군이 한꺼번에 영향을 받는다.

영향받는 버전과 해결 버전

제품	영향받는 버전	해결 버전
FortiAnalyzer	7.6.0 ~ 7.6.5 / 7.4.0 ~ 7.4.9	7.6.6 / 7.4.10 이상
FortiAnalyzer	7.2.0 ~ 7.2.11 / 7.0.0 ~ 7.0.15	7.2.12 / 7.0.16 (출시 예정)
FortiManager	7.6.0 ~ 7.6.5 / 7.4.0 ~ 7.4.9	7.6.6 / 7.4.10 이상
FortiManager	7.2.0 ~ 7.2.11 / 7.0.0 ~ 7.0.15	7.2.12 / 7.0.16 (출시 예정)
FortiOS	7.6.0 ~ 7.6.5 / 7.4.0 ~ 7.4.10	7.6.6 / 7.4.11 이상
FortiOS	7.2.0 ~ 7.2.12 / 7.0.0 ~ 7.0.18	7.2.13 / 7.0.19 (출시 예정)
FortiProxy	7.6.0 ~ 7.6.4 / 7.4.0 ~ 7.4.12	7.6.6 / 7.4.13 (출시 예정)
FortiProxy	7.2.0 ~ 7.2.15 / 7.0.0 ~ 7.0.22	7.2.16 / 7.0.23 (출시 예정)

구버전 계열일수록 해결 버전이 아직 나오지 않았다는 점이 문제다. 7.0과 7.2 계열은 상당수가 출시 예정 상태다. 지금 당장 올릴 수 있는 버전이 없다면, 관리 인터페이스의 외부 노출을 차단하고 접근 가능한 IP를 제한하는 완화 조치를 먼저 적용하는 방법이다.

포티넷은 2025년 12월 10일에도 인증 우회 취약점으로 공지에 올랐다. 두 달 사이 같은 유형이 반복됐다. 경계 장비의 관리 화면이 인터넷에 그대로 열려 있는지 점검해 볼 시점이다.

NET-NTLM v1 사용 중단 권고

KISA는 2월 2일 NET-NTLM v1 인증 프로토콜의 사용 중단을 권고했다. 특정 제품의 취약점이 아니라 프로토콜 설계 자체가 문제라는 점에서 성격이 다른 공지다.

무엇이 문제인가

KISA가 지적한 결함은 네 가지다. 암호 알고리즘으로 이미 깨진 DES를 사용하고, 해시로는 MD4를 사용한다. 서버가 고정된 챌린지 값을 사용하며, 서버와 사용자 사이의 상호 인증 절차가 없다.

고정된 챌린지 값을 사용한다는 것은 공격자가 미리 계산해 둔 표로 응답을 역산할 수 있다는 뜻이다. 여기에 상호 인증이 없으니 가짜 서버를 세워 인증 요청을 가로채는 공격도 성립한다. 결과적으로 계정 자격증명이 노출된다.

해결책은 v2로 전환하는 것이다. 다만 오래된 장비나 레거시 애플리케이션이 v1만 지원하는 경우가 있어, 전환 전에 어떤 시스템이 v1을 사용 중인지 파악하는 작업이 영향 범위가 가장 넓다. 윈도우 도메인 환경이라면 그룹 정책에서 LAN 매니저 인증 수준 설정을 확인하는 것이 시작 지점이 된다.

랜섬웨어 감염 예방 보안 강화 권고

KISA는 2월 4일 랜섬웨어 감염 피해 예방을 위한 보안 강화 권고를 냈다. 2025년 12월 6일 같은 취지의 권고가 나온 지 두 달 만이다.

권고 내용은 이전과 큰 틀에서 같다. 외부에 열려 있는 시스템 현황을 파악해 불필요한 연결을 차단하고, 특히 테스트 서버나 유휴 서버처럼 방치된 시스템을 점검하라는 것이다. 22번, 1433번, 3389번 같은 기본 서비스 포트의 사용을 지양하고, 외부 접속이 꼭 필요하면 접속 IP와 단말을 제한하고 다중 인증을 걸라고 안내했다.

비정상 접속 여부를 주기적으로 확인하라는 항목도 반복됐다. 해외에서 들어온 접속, 야간이나 주말의 접속, 평소와 다른 네트워크 통신량이 확인 대상으로 제시됐다. 유지보수를 위한 외부 업체의 접속은 필요할 때만 열고 상시 연결은 피하라는 권고도 함께 게시됐다.

샤오미 레드미 버즈 프로 사용 주의 권고

샤오미의 무선 이어폰 레드미 버즈 프로에서 정보 노출 취약점(CVE-2025-13834)과 서비스 거부 취약점(CVE-2025-13328)이 확인됐다. 레드미 버즈 3 프로부터 6 프로까지 네 개 모델이 대상이다.

영향받는 제품

취약점	제품
CVE-2025-13834 (정보 노출)	Redmi Buds 3 Pro, 4 Pro, 5 Pro, 6 Pro
CVE-2025-13328 (서비스 거부)	Redmi Buds 3 Pro, 4 Pro, 5 Pro, 6 Pro

이번 공지는 보안 업데이트 권고가 아니라 사용 주의 권고다. 해결 버전이 제시되지 않았다는 뜻이다. 1월 14일 에어로하 블루투스 오디오 SDK 취약점에 이어 무선 오디오 기기 관련 공지가 한 달 새 두 번째로, 블루투스 주변기기가 새로운 공격 대상에 포함되고 있다.

정리

이번 주는 해결 버전이 아직 없는 공지가 유난히 많았다. 포티넷은 구버전 계열의 패치가 출시 예정 상태이고, 샤오미 이어폰은 해결 버전 자체가 제시되지 않았으며, NET-NTLM v1은 프로토콜을 바꾸는 것 말고는 답이 없다.

이런 경우 할 수 있는 일은 노출면을 줄이는 것이다. 관리 인터페이스를 외부에서 끊고, 접근 가능한 IP를 좁히고, 사용하지 않는 서비스를 비활성화하는 조치가 패치를 대기 중인 동안의 실질적 방어선이 된다. 랜섬웨어 권고가 반복해서 지적하는 항목과 정확히 겹치는 지점이기도 하다.

포티넷 인증 우회 | 출처: KISA 보호나라, Fortinet 제품 보안 업데이트 권고 (2026-02-02)

NET-NTLM v1 | 출처: KISA 보호나라, NET-NTLM v1 보안 업데이트 권고 (2026-02-02)

랜섬웨어 예방 권고 | 출처: KISA 보호나라, 랜섬웨어 감염 피해 예방을 위한 보안 강화 권고 (2026-02-04)

샤오미 레드미 버즈 | 출처: KISA 보호나라, Xiaomi 제품 사용 주의 권고 (2026-02-05)

n8n 원격 코드 실행 | 출처: KISA 보호나라, n8n 제품 보안 업데이트 권고 (2026-02-05)

KISA 보안 공지 : 2026년 1월 5주차 권고사항 정리

jys275 — Sat, 29 Aug 2026 23:53:39 +0900

이번 주 KISA 보안공지 개요

2026년 1월 24일부터 30일까지 보호나라에 올라온 보안공지는 5건으로, 모두 제품 보안 업데이트 권고다. GNU 아이넛유틸스, 마이크로소프트 오피스, n8n, 이반티 엔드포인트 매니저 모바일, 오픈SSL이 대상이다.

이번 주 특징은 정식 패치가 아직 없는 건이 둘이라는 점이다. GNU 아이넛유틸스와 n8n은 최신 소스코드 패치를 직접 적용해야 하고, 이반티는 정식 버전이 나오기 전까지 RPM 스크립트로 임시 조치가 제공된다.

이번 주 공지 목록

게시일	대상 제품	취약점	해결 방안
1월 26일	GNU Inetutils telnetd	인증 우회	최신 소스코드 패치
1월 27일	Microsoft Office	보안 기능 우회	빌드별 업데이트
1월 29일	n8n	원격 코드 실행, 임의 코드 실행	최신 소스코드 패치
1월 30일	Ivanti EPMM	코드 인젝션 2건	RPM 스크립트 임시 조치
1월 30일	OpenSSL	스택 버퍼 오버플로우 2건	계열별 패치 버전

오픈SSL 스택 버퍼 오버플로우 2건

암호화 라이브러리 오픈SSL에서 스택 기반 버퍼 오버플로우 취약점 2건(CVE-2025-11187, CVE-2025-15467)이 확인돼 보안 업데이트가 배포됐다. 두 취약점은 영향 구간이 서로 달라 확인 대상이다.

영향받는 버전과 해결 버전

취약점	영향받는 버전	해결 버전
CVE-2025-11187	3.4.x / 3.5.x / 3.6.x	3.4.4 / 3.5.5 / 3.6.1
CVE-2025-15467	3.0.x / 3.3.x / 3.4.x / 3.5.x / 3.6.x	3.0.19 / 3.3.6 / 3.4.4 / 3.5.5 / 3.6.1

오픈SSL은 직접 설치한 기억이 없어도 시스템 곳곳에 들어가 있는 라이브러리다. 웹서버, 데이터베이스, 프로그래밍 언어 런타임, 각종 네트워크 도구가 모두 이 라이브러리를 통해 암호화 통신을 처리한다. 운영체제 패키지 관리자로 설치된 버전과 애플리케이션이 자체적으로 번들한 버전이 따로 있을 수 있어, 양쪽을 함께 확인 대상이다.

스택 버퍼 오버플로우는 프로그램이 스택 영역에 정해진 크기를 넘는 데이터를 기록할 때 발생한다. 인접한 메모리가 덮이면서 프로그램 실행 흐름이 바뀔 수 있어, 암호화 처리 경로에서 발생하면 통신을 주고받는 것만으로 공격이 성립할 여지가 생긴다.

정식 패치가 제공되지 않는 취약점 3건

이번 주 공지 가운데 셋은 통상적인 버전 업데이트로 끝나지 않는다. 대응 방식이 다르므로 따로 짚어둔다.

GNU 아이넛유틸스 telnetd

GNU 아이넛유틸스의 텔넷 데몬에서 인증 우회 취약점(CVE-2026-24061)이 확인됐다. 1.9.3부터 2.7까지가 영향을 받으며, 배포판 패키지가 아니라 최신 소스코드 패치 적용으로 해결된다.

텔넷은 통신 내용을 암호화하지 않는 오래된 원격 접속 프로토콜이라 오늘날 신규 환경에서는 거의 사용하지 않는다. 문제는 레거시 장비나 오래된 유닉스 서버에 telnetd가 활성화된 채 방치돼 있는 경우다. 패치를 적용하기 전에, 애초에 이 서비스가 활성화 상태가 유지될 필요가 있는지가 우선 확인 대상이다.

n8n 취약점 두 건

업무 자동화 도구 n8n에서 원격 코드 실행 취약점(CVE-2026-0863)과 임의 코드 실행 취약점(CVE-2026-1470)이 확인됐다. 1.123.14 미만과 2.x 계열 일부가 영향을 받으며, 마찬가지로 최신 소스코드 패치 적용으로 해결된다.

n8n은 2025년 12월 26일, 2026년 1월 8일에 이어 이번이 한 달 새 세 번째 공지다. 자체 호스팅 사용자라면 이 제품의 보안 공지를 정기적으로 확인하는 체계를 만들어 두는 방법이다.

이반티 엔드포인트 매니저 모바일

이반티의 모바일 단말 관리 제품에서 코드 인젝션 취약점 2건이 확인됐다. 하나는 관리 기능 처리 과정(CVE-2026-1281), 다른 하나는 API 요청 처리 과정(CVE-2026-1340)에서 발생한다. EPMM 12.5.0.0부터 12.7.0.0까지 여러 계열이 영향을 받는다.

영향받는 버전	조치
EPMM 12.5.0.0 / 12.6.0.0 / 12.7.0.0 이하	RPM 12.x.0.x (ivanti-security-update-1761642-1.0.0S-5)
EPMM 12.5.1.0 / 12.6.1.0 이하	RPM 12.x.1.x (ivanti-security-update-1761642-1.0.0L-5)

정식 릴리스인 12.8.0.0이 나오기 전까지는 RPM 스크립트를 적용하는 임시 조치가 제공된다. 임시 조치는 정식 패치가 나온 뒤 다시 적용 상태를 확인해야 하므로, 적용 시점과 담당자를 기록해 두는 방법이다. 이반티 엔드포인트 매니저는 2025년 12월에도 취약점 4건으로 공지에 오른 바 있다.

마이크로소프트 오피스 보안 기능 우회 취약점

마이크로소프트 오피스에서 보안 기능 우회 취약점(CVE-2026-21509)이 확인됐다. 보안 기능 우회는 매크로 차단이나 보호된 보기 같은 안전장치를 무력화하는 유형으로, 악성 문서를 여는 것만으로 공격이 성립할 여지를 만든다.

영향받는 버전과 해결 버전

제품	영향받는 버전	해결 버전
Microsoft Office 2016 (32/64비트)	16.0.5539.1001 이전	16.0.5539.1001
Microsoft Office 2019 (32/64비트)	16.0.10417.20095 이전	16.0.10417.20095
Office LTSC 2021, LTSC 2024, Microsoft 365 Apps	모든 버전	자동 보안 업데이트 적용

LTSC 계열과 마이크로소프트 365 앱은 자동 업데이트로 해결되지만, 반영하려면 오피스 응용프로그램을 재시작이 요구된다. 워드나 엑셀을 활성화한 채로 며칠씩 사용하는 경우에는 업데이트가 내려와도 적용되지 않으니 확인 대상이다. 즉시 조치가 필요한 상황이라면 레지스트리 설정을 통한 임시 완화 조치도 제공된다.

정리

이번 주 다섯 건 가운데 셋이 정식 버전 업데이트가 아닌 다른 방식의 대응을 요구했다. 소스코드 패치, RPM 스크립트, 레지스트리 설정처럼 손이 더 가는 조치들이다.

이런 임시 조치는 적용 여부를 시스템이 자동으로 알려주지 않는다는 점이 특성이다. 버전 번호만으로는 조치되지 않은 서버가 식별되지 않는다. 적용한 서버 목록과 시점을 따로 기록해 두고, 정식 패치가 나오면 다시 확인하는 절차를 잡아두는 방법이다.

GNU 아이넛유틸스 | 출처: KISA 보호나라, GNU Inetutils 취약점 보안 업데이트 권고 (2026-01-26)

마이크로소프트 오피스 | 출처: KISA 보호나라, Microsoft Office 제품 보안 업데이트 권고 (2026-01-27)

n8n 코드 실행 | 출처: KISA 보호나라, n8n 제품 보안 업데이트 권고 (2026-01-29)

이반티 EPMM | 출처: KISA 보호나라, Ivanti 제품 보안 업데이트 권고 (2026-01-30)

오픈SSL | 출처: KISA 보호나라, OpenSSL 취약점 보안 업데이트 권고 (2026-01-30)

KISA 보안 공지 : 2026년 1월 4주차 권고사항 정리

jys275 — Sat, 29 Aug 2026 23:52:11 +0900

이번 주 KISA 보안공지 개요

2026년 1월 17일부터 23일까지 보호나라에 올라온 보안공지는 1건이다. TP-Link의 네트워크 카메라 제품군에서 인증 우회 취약점이 확인됐다는 내용으로, 이번 주는 조용한 편이었다.

다만 대상이 CCTV 카메라라는 점은 확인 대상이다. 인증 우회가 성립하면 공격자가 영상에 직접 접근할 수 있게 된다.

TP-Link VIGI 카메라 인증 우회 취약점

TP-Link의 VIGI C 시리즈와 VIGI 인사이트 카메라 제품에서 인증 우회 취약점(CVE-2026-0629)이 확인됐다. 문제가 발생한 지점은 로컬 웹페이지의 비밀번호 복구 기능이다. 비밀번호를 잊었을 때 되찾도록 만든 경로가, 오히려 비밀번호 없이 접근하는 경로로 사용된다.

네트워크 카메라의 인증 우회는 곧 영상 유출로 직결된다. 사무실이나 매장, 가정에 설치된 카메라라면 촬영 대상이 곧 피해 범위가 된다. 게다가 CCTV는 한 번 설치하면 펌웨어를 갱신하지 않고 수년간 그대로 두는 경우가 대부분이다.

영향받는 모델과 해결 버전

모델	영향받는 버전	해결 버전
VIGI C345, C445	3.1.0 Build 250820 Rel.57668n 미만	3.1.0 Build 250820 Rel.57668n 이상
VIGI C355, C455	3.1.0 Build 250820 Rel.58873n 미만	3.1.0 Build 250820 Rel.58873n 이상
VIGI C385, C485	3.0.2 Build 250630 Rel.71279n 미만	3.0.2 Build 250630 Rel.71279n 이상
VIGI C340S	3.1.0 Build 250625 Rel.65381n 미만	3.1.0 Build 250625 Rel.65381n 이상
VIGI C540S, EasyCam C540S	3.1.0 Build 250625 Rel.66601n 미만	3.1.0 Build 250625 Rel.66601n 이상
VIGI C540V	2.1.0 Build 250702 Rel.54300n 미만	2.1.0 Build 250702 Rel.54300n 이상
VIGI C250	2.1.0 Build 250702 Rel.54301n 미만	2.1.0 Build 250702 Rel.54301n 이상
VIGI C350, C450	2.1.0 Build 250702 Rel.54294n 미만	2.1.0 Build 250702 Rel.54294n 이상
VIGI C220I, C320I, C420I (1.0)	2.1.0 Build 251014 Rel.58331n 미만	2.1.0 Build 251014 Rel.58331n 이상
VIGI C220I, C320I, C420I (1.20)	2.1.0 Build 250701 Rel.44071n 미만	2.1.0 Build 250701 Rel.44071n 이상

영향받는 모델이 많고 같은 모델도 하드웨어 리비전에 따라 해결 버전이 갈린다. 위 표에 없는 모델도 있으므로, 운영 중인 카메라가 있다면 원본 공지에서 정확한 모델명과 리비전을 확인하는 방법이다.

정리

공지 1건으로 조용했던 한 주지만, 대상이 네트워크 카메라라는 점에서 점검 대상이 넓다. 사무실 천장에 달린 카메라는 자산 관리 목록에 들어 있지 않은 경우가 흔하고, 설치 업체가 초기 설정만 하고 떠난 뒤 아무도 손대지 않는 일이 많다.

이번 기회에 조직 내 네트워크 카메라의 모델명과 펌웨어 버전을 목록으로 정리해 두면, 다음 취약점 공지 때 확인 시간이 크게 줄어든다. 카메라가 외부 인터넷에 직접 노출돼 있는지도 함께 확인 대상이다.

TP-Link VIGI 카메라 | 출처: KISA 보호나라, TP-Link 제품 보안 업데이트 권고 (2026-01-21)

KISA 보안 공지 : 2026년 1월 3주차 권고사항 정리

jys275 — Sat, 29 Aug 2026 23:51:12 +0900

이번 주 KISA 보안공지 개요

2026년 1월 10일부터 16일까지 보호나라에 올라온 보안공지는 6건이다. QR코드를 이용한 큐싱 주의 권고 1건과 제품 보안 업데이트 권고 5건으로, 마이크로소프트 1월 정기 업데이트가 포함돼 있다.

제품 취약점 가운데 확인되는 것은 관리 콘솔을 대상으로 한 건들이다. 트렌드마이크로 에이펙스 센트럴, HPE 원뷰, VMware ESXi는 모두 다른 시스템을 관리하는 위치에 있는 제품이다.

이번 주 공지 목록

게시일	대상	유형	조치
1월 10일	정부기관 사칭 큐싱	QR코드 기반 피싱	출처 불명 QR코드 촬영 금지
1월 12일	Trend Micro Apex Central	원격 코드 실행 외 2건	7190 이상
1월 13일	HPE OneView	원격 코드 실행	전용 패치 적용
1월 13일	VMware ESXi 외	TOCTOU, 임의 쓰기, 정보 노출	제품별 패치 버전
1월 14일	Airoha 블루투스 오디오 SDK	인증 누락, 권한 상승	SDK 및 펌웨어 업데이트
1월 14일	MS 1월 정기 업데이트	권한 상승, 원격 코드 실행	11종 패치 적용

정부기관 및 싱크탱크 사칭 큐싱

KISA는 1월 10일 국내외 싱크탱크와 정부기관을 사칭해 QR코드를 유포하는 큐싱 공격에 주의를 당부했다. 큐싱은 QR코드로 악성 사이트나 앱 설치를 유도하는 수법으로, 문자 링크와 달리 눈으로 목적지를 확인할 수 없다는 점을 대상으로 한다.

공격 시나리오

공격자는 싱크탱크 직원을 사칭해 국내외 정세 변화에 대한 자문이나 설문을 요청하며 QR코드 촬영을 유도한다. 또 다른 갈래는 외교 관련 정부기관 직원을 사칭해, 민감정보에 접근하는 수단이라며 QR코드를 제시하는 방식이다.

QR코드를 찍으면 두 갈래로 나뉜다. 하나는 스마트폰 권한을 탈취하는 악성앱 설치로 이어지고, 다른 하나는 정상 사이트와 유사하게 만든 가짜 SNS 로그인 페이지로 유인해 계정정보를 가로챈다.

공격자의 최종 목표는 개인이 아니라 그 사람이 속한 조직의 IT 인프라 접근 권한이다. 피해자를 거쳐 기업 시스템의 인증정보를 탈취하려는 구조이고, 개인 스마트폰을 경유하기 때문에 회사의 보안 시스템이 작동하지 않는 경로를 택한 것이다.

대응 요령

출처가 불분명한 발신자의 메일이나 메시지에 담긴 QR코드는 촬영하지 않는 것이 원칙이다. 이미 앱을 설치했다면 기기명과 IMEI 같은 단말 정보, 문자 메시지와 사진 등 개인정보가 유출됐을 수 있다. 보호나라 카카오톡 채널의 큐싱 확인 서비스로 악성 여부를 판별하고 신고할 수 있다.

관리 콘솔 원격 코드 실행 취약점 3건

이번 주 제품 취약점 가운데 트렌드마이크로, HPE, VMware 세 건은 성격이 겹친다. 모두 여러 시스템을 한곳에서 관리하는 제품이라, 관리 콘솔이 침해되면 관리 대상 전체가 위험해진다.

트렌드마이크로 에이펙스 센트럴

보안 기업 트렌드마이크로의 통합 관리 콘솔인 에이펙스 센트럴 온프레미스 버전에서 취약점 3건이 확인됐다. 원격 코드 실행(CVE-2025-69258), 메시지 NULL 반환값 미검사로 인한 서비스 거부(CVE-2025-69259), 범위를 벗어난 읽기 기반 서비스 거부(CVE-2025-69260)다. 7190 미만 버전이 영향을 받는다.

백신과 엔드포인트 보안을 관리하는 콘솔이 공격 대상이 됐다는 점이 확인된 사항이다. 이 콘솔은 관리 대상 단말에 정책과 업데이트를 배포하는 권한을 갖고 있어, 장악당하면 보안 솔루션이 오히려 악성코드 배포 경로가 될 수 있다.

HPE 원뷰

HPE의 인프라 관리 소프트웨어인 원뷰에서 원격 코드 실행 취약점(CVE-2025-37164)이 확인됐다. v10.20 이하가 영향을 받으며, 버전 업그레이드가 아니라 HPE_OneView_CVE_37164_Z7550-98077 패치 적용으로 해결된다. 이 패치는 v5.20 이상부터 적용 가능하다.

주의할 조건이 하나 있다. 원뷰를 v6.60.xx에서 v7.00.00으로 업그레이드한 경우, 시너지 컴포저 재이미징을 포함해 해결 패치를 다시 적용하는 절차가 안내됐다. 업그레이드 과정에서 패치가 되돌아갈 수 있기 때문이다.

VMware ESXi 계열

VMware는 ESXi, 워크스테이션, 퓨전에서 발생하는 취약점 3건을 해결했다. TOCTOU 취약점(CVE-2025-22224), 임의 사용하기 취약점(CVE-2025-22225), 범위를 벗어난 읽기 기반 정보 노출 취약점(CVE-2025-22226)이다.

제품	영향받는 버전	해결 버전
VMware ESXi	7.0	ESXi70U3s-24585291
VMware ESXi	8.0	ESXi80U2d-24585300 / ESXi80U3d-24585383
VMware Workstation	17.x	17.6.3
VMware Fusion	13.x	13.6.3
VMware Cloud Foundation	4.5.x / 5.x	해당 ESXi 비동기 패치 적용
VMware Telco Cloud Platform, Infrastructure	2.x ~ 5.x	KB389385 참고

TOCTOU는 값을 검사한 시점과 실제로 사용하는 시점 사이의 틈을 대상으로 하는 유형이다. 하이퍼바이저에서 발생하면 가상머신 경계를 넘는 공격으로 이어질 수 있어, 한 대의 물리 서버에 여러 고객사나 여러 부서의 워크로드를 함께 올려둔 환경에서는 영향 범위가 넓다.

에어로하 블루투스 오디오 SDK 취약점

칩셋 제조사 에어로하의 블루투스 오디오 SDK에서 취약점 3건이 확인됐다. BLE GATT RACE 서비스의 인증 누락(CVE-2025-20700), 비페어링 모드에서 블루투스 BR/EDR 인증을 허용하는 취약점(CVE-2025-20701), RACE 프로토콜 접근통제 미흡으로 인한 권한 상승(CVE-2025-20702)이다.

영향받는 제품과 해결 방안

대상	영향받는 버전	해결 방안
Airoha 칩셋	AB156x, AB157x, AB158x, AB159x 시리즈, AB1627	해결 버전 SDK 적용
IoT SDK for BT Audio	v5.5.0 이하	v5.5.0 이후 버전
Airoha AB1561x/1562x/1563x SDK	v3.3.1 이하	v3.3.1 이후 버전

에어로하 칩셋은 무선 이어폰과 헤드셋에 널리 사용된다. 이용자가 직접 SDK를 업데이트할 수는 없고, 자브라와 델 등 완제품 제조사가 배포하는 펌웨어 업데이트 적용으로 해결된다. 인증 없이 접근이 가능한 취약점이라, 물리적으로 가까운 거리의 공격자가 페어링 없이 기기에 접근할 수 있다는 점이 문제다.

마이크로소프트 1월 정기 업데이트

마이크로소프트는 1월 13일 정기 보안 업데이트로 11종을 발표했다. 긴급 8종과 중요 3종으로, 전체 취약점 수는 148개다. 전달인 12월이 긴급 2종이었던 것과 비교하면 긴급 등급이 크게 늘었다.

제품군별 영향

제품군	중요도	영향
Windows 11 (25H2, 24H2, 23H2)	긴급	권한 상승
Windows Server 2025, 2022, 2019, 2016	긴급	권한 상승
Microsoft Office	긴급	원격 코드 실행
Microsoft SharePoint	중요	원격 코드 실행
Microsoft SQL Server	중요	권한 상승
Microsoft Azure	중요	권한 상승

윈도우 클라이언트와 서버의 권한 상승 취약점이 모두 긴급으로 분류된 점이 이번 업데이트의 특징이다. 권한 상승은 보통 중요 등급에 머무는데, 긴급으로 올라갔다는 것은 악용 난이도가 낮거나 이미 공격에 사용되고 있을 가능성이 있다. 함께 공개된 취약점 목록에는 보안 부팅 인증서 만료로 인한 보안 기능 우회 취약점(CVE-2026-21265)도 포함됐다.

정리

이번 주 공지는 관리 권한과 관련된 건이 다수다. 큐싱 공격은 개인 스마트폰을 거쳐 조직 인프라의 인증정보를 노렸고, 트렌드마이크로와 HPE, VMware 취약점은 관리 콘솔 자체를 대상으로 했다. 마이크로소프트 정기 업데이트에서 긴급으로 오른 것도 대부분 권한 상승이었다.

관리 영역은 자산 수가 적어 패치 우선순위에서 제외되는 경우가 있다. 그러나 한 대가 관리하는 대상이 수백 대라면, 그 한 대의 위험도는 대수가 아니라 영향 범위를 기준으로 판단된다. HPE 원뷰처럼 업그레이드 후 패치를 다시 적용해야 하는 조건이 붙는 경우도 있으니 적용 결과 확인이 함께 요구된다.

정부기관 사칭 큐싱 | 출처: KISA 보호나라, 정부기관, 싱크탱크 사칭 큐싱(Quishing) 유포 주의 권고 (2026-01-10)

트렌드마이크로 에이펙스 센트럴 | 출처: KISA 보호나라, Trend Micro 제품 보안 업데이트 권고 (2026-01-12)

HPE 원뷰 | 출처: KISA 보호나라, HPE 제품 보안 업데이트 권고 (2026-01-13)

VMware ESXi 계열 | 출처: KISA 보호나라, VMware 제품 보안 업데이트 권고 (2026-01-13)

에어로하 블루투스 SDK | 출처: KISA 보호나라, Airoha 제품 보안 업데이트 권고 (2026-01-14)

MS 1월 정기 업데이트 | 출처: KISA 보호나라, MS 1월 보안 위협에 따른 정기 보안 업데이트 권고 (2026-01-14)

KISA 보안 공지 : 2026년 1월 2주차 권고사항 정리

jys275 — Sat, 29 Aug 2026 23:49:28 +0900

이번 주 KISA 보안공지 개요

2026년 1월 3일부터 9일까지 보호나라에 올라온 보안공지는 2건이다. 새해 첫 공지는 제품 취약점이 아니라 KISA가 기업 보안 담당자에게 직접 보낸 대응 요청이었다.

KISA는 신원 미상의 해커그룹이 해킹포럼을 통해 국내 웹사이트를 대상으로 한 정보 탈취 공격을 지속하고 있다며, 주요 시스템 점검을 요청했다. 실제 피해가 비영리 협회, 대학, 중소 병원에서 다수 확인됐다는 점도 함께 밝혔다.

이번 주 공지 목록

게시일	대상	유형	조치
1월 6일	침해사고 증가 기업보안 강화 요청	대응 요청	웹서버 패치와 관리자 계정 점검
1월 8일	n8n	인증 없는 파일 접근	1.121.0 이상

침해사고 증가에 따른 기업보안 강화 요청

KISA는 1월 6일 최근 침해사고 증가에 따른 기업보안 강화를 요청하는 공지를 냈다. 특정 제품의 취약점을 알리는 통상적인 권고와 성격이 다르다. 공격이 이미 진행 중이니 각자 시스템을 점검하라는 주문에 가깝다.

확인된 피해 양상

피해가 비영리 협회, 대학, 중소 병원에서 다수 발견됐다는 점이 이번 공지의 핵심이다. 대기업이 아니라 보안 전담 인력이 얇은 조직들이 표적이 됐다는 뜻이다. 해커그룹은 해킹포럼을 통해 국내 웹사이트의 정보를 탈취하는 공격을 이어가고 있다.

KISA가 지목한 점검 항목

첫째는 웹서버와 주요 시스템의 보안 패치다. KISA는 특히 아파치 톰캣 기반 자바 솔루션을 콕 집었다. 오라클 웹로직, 아틀라시안 컨플루언스, 아파치 스트럿츠2가 예시로 제시됐는데, 모두 과거 대규모 침해의 진입점으로 사용된 이력이 있는 제품이다. GNU 배시 셸의 최신 패치 적용도 함께 요구했다.

둘째는 웹 관리자 계정 보안이다. 비밀번호 복잡도 설정과 주기적 변경, 관리자 로그인 시 SMS나 OTP를 이용한 이중 인증, 관리자 페이지 접근 IP 제한이 항목으로 올랐다. 관리자 전용 단말을 따로 지정해 웹 서핑이나 메일 확인 같은 다른 용도로는 사용하지 말라는 권고도 포함됐다.

셋째는 웹서버 취약점 점검이다. 웹 방화벽과 IPS로 공격을 탐지하고 차단하되, 파일 업로드 기능과 관리자 로그인 페이지를 집중적으로 보라고 안내했다. 업로드 가능한 파일 타입을 검증하고 업로드 폴더에 실행 권한이 있는지 확인하는 것이 구체적 방법이다. SQL 인젝션 대응을 위한 입력값 검증과 필터링 규칙 적용도 함께 제시됐다.

중소기업은 보호나라의 홈페이지 보안강화 서비스를 통해 무료 점검을 신청할 수 있다. 자체 점검 여력이 부족한 조직이라면 이 경로를 활용대상이다.

n8n 인증 없는 파일 접근 취약점

업무 자동화 도구 n8n에서 인증되지 않은 파일 접근 취약점(CVE-2026-21858)이 확인됐다. 인증 절차를 거치지 않은 상태에서 서버의 파일에 접근할 수 있는 유형으로, 워크플로 설정 파일이나 자격증명이 저장된 경로가 노출되면 그대로 다른 서비스 침해로 이어진다.

영향받는 버전과 해결 버전

취약점	제품	영향받는 버전	해결 버전
CVE-2026-21858	n8n	1.65.0 이하	1.121.0 이상

n8n은 2025년 12월 26일에도 원격 코드 실행 취약점으로 공지에 올랐다. 3주 만에 다시 게시됐다. 자체 호스팅해 사용 중이라면 이번 기회에 자동 업데이트 설정 여부를 함께 점검해 두는 방법이다.

정리

새해 첫 주 공지는 제품 목록이 아니라 조직의 기본기를 묻는 내용이었다. KISA가 요구한 항목은 새로운 기술이 아니다. 패치 적용, 관리자 계정 이중 인증, 접근 IP 제한, 파일 업로드 검증처럼 오래된 항목들이다.

그럼에도 이런 공지가 나온 이유는 피해 조직의 면면에 있다. 비영리 협회와 대학, 중소 병원은 시스템을 장기간 사용하고 관리 인력은 적은 경우가 많다. 공격자는 그 지점을 정확히 대상으로 했다. 지금 운영 중인 웹서버의 관리자 페이지가 외부에 그대로 열려 있는지부터 확인 대상이다.

기업보안 강화 요청 | 출처: KISA 보호나라, 최근 침해사고 증가에 따른 기업보안 강화 요청 (2026-01-06)

n8n 파일 접근 | 출처: KISA 보호나라, n8n 제품 보안 업데이트 권고 (2026-01-08)

KISA 보안 공지 : 2025년 12월 4주차 권고사항 정리

jys275 — Sat, 29 Aug 2026 23:48:19 +0900

이번 주 KISA 보안공지 개요

2025년 12월 20일부터 26일까지 보호나라에 게시된 보안공지는 3건으로, 모두 제품 보안 업데이트 권고다. 방화벽 운영체제인 워치가드 파이어웨어 OS, 문서형 데이터베이스 몽고DB, 업무 자동화 도구 n8n이 대상이다.

세 제품 모두 지원이 종료된 구버전 사용자에게 마이그레이션을 요구하는 항목이 포함돼 있다. 해당 버전은 패치가 제공되지 않는다.

이번 주 공지 목록

게시일	대상 제품	취약점	해결 버전
12월 23일	WatchGuard Fireware OS	임의 코드 실행	계열별 패치 버전
12월 26일	MongoDB	초기화되지 않은 힙 메모리 반환	계열별 패치 버전
12월 26일	n8n	원격 코드 실행	1.120.4 / 1.121.1 / 1.122.0

워치가드 파이어웨어 OS 임의 코드 실행 취약점

워치가드는 방화벽 제품의 운영체제인 파이어웨어 OS에서 임의 코드 실행 취약점(CVE-2025-14733)을 해결한 업데이트를 발표했다. 방화벽은 조직 네트워크의 외부 경계에 배치되는 장비이므로, 이 장비에서 코드 실행이 성립하면 내부로 향하는 통제가 무효화된다.

영향받는 버전과 해결 버전

영향받는 버전	해결 버전
2025.1	2025.1.4
12.x	12.11.6
12.5.x (T15, T35 모델)	12.5.15
12.3.1 (FIPS 인증 릴리스)	12.3.1_Update4 (B728352)
11.x	지원 종료. 12.11.6으로 마이그레이션

11.x 계열은 지원이 종료돼 패치가 제공되지 않는다. 이 버전은 업데이트가 아니라 12.11.6으로의 마이그레이션 대상이다. 모델에 따라 지원 버전이 구분되며, T15와 T35는 12.5.15 계열이 별도로 지정돼 있다.

몽고DB 초기화되지 않은 힙 메모리 반환 취약점

몽고DB에서 초기화되지 않은 힙 메모리를 반환하는 취약점(CVE-2025-14847)이 확인됐다. 새로 할당한 메모리를 초기화하지 않고 반환할 때, 해당 영역에 남아 있던 이전 데이터가 함께 노출되는 유형이다. 데이터베이스에서 발생하면 다른 세션이 처리하던 값이 노출될 수 있다.

영향받는 버전과 해결 버전

영향받는 버전	해결 버전
8.2.0 이상 8.2.3 미만	8.2.3
8.0.0 이상 8.0.17 미만	8.0.17
7.0.0 이상 7.0.28 미만	7.0.28
6.0.0 이상 6.0.27 미만	6.0.27
5.0.0 이상 5.0.32 미만	5.0.32
4.4.0 이상 4.4.30 미만	4.4.30
4.2, 4.0, 3.6 전 버전	4.4.30으로 마이그레이션

영향 구간은 3.6까지 포함한다. 4.2 이하 계열은 해당 계열의 패치가 아니라 4.4.30으로 이동해야 해결되므로, 애플리케이션 호환성 확인이 함께 이뤄지는 작업이다.

n8n 원격 코드 실행 취약점

업무 자동화 도구 n8n에서 원격 코드 실행 취약점(CVE-2025-68613)이 확인돼 보안 업데이트가 배포됐다. 0.211.0 이상 버전이 영향을 받으며, 1.120.4, 1.121.1, 1.122.0 가운데 운영 중인 계열에 해당하는 버전에서 해결된다.

영향받는 버전과 해결 버전

제품	영향받는 버전	해결 버전
n8n	0.211.0 이상	1.120.4 / 1.121.1 / 1.122.0

n8n은 여러 서비스의 API 키와 계정 정보를 저장하고 워크플로를 실행하는 구조다. 자체 호스팅하는 경우가 많으며, 이 도구가 침해되면 연결된 외부 서비스의 자격증명도 함께 노출된다.

정리

이번 주 세 건은 방화벽, 데이터베이스, 자동화 도구로 용도가 다르지만, 모두 구버전 사용자에게 마이그레이션을 요구한다는 공통점이 있다.

워치가드 11.x나 몽고DB 4.2 이하처럼 지원이 종료된 버전은 이후 공개되는 취약점에서도 패치 대상에서 제외된다. 자산 목록에서 지원 종료 버전을 구분해 두면 이후 공지 대응 시 확인 범위가 좁혀진다.

워치가드 파이어웨어 OS | 출처: KISA 보호나라, WatchGuard 제품 보안 업데이트 권고 (2025-12-23)

몽고DB | 출처: KISA 보호나라, MongoDB 제품 보안 업데이트 권고 (2025-12-26)

n8n | 출처: KISA 보호나라, n8n 제품 보안 업데이트 권고 (2025-12-26)

KISA 보안 공지 : 2025년 12월 3주차 권고사항 정리

jys275 — Sat, 29 Aug 2026 23:47:09 +0900

이번 주 KISA 보안공지 개요

2025년 12월 13일부터 19일까지 보호나라에 게시된 보안공지는 3건이다. 이커머스 개인정보 유출을 악용한 사기 사례를 정리한 주의 권고 1건과, 애플과 구글 크롬의 보안 업데이트 권고 2건이 12월 19일에 집중됐다.

사칭 사기 공지는 3주 연속 게시됐다. 11월 29일 공지가 예상되는 수법을 제시한 것이었다면, 12월 19일 공지는 실제로 탐지된 사례를 유형별로 정리했다.

이번 주 공지 목록

게시일	대상	유형	조치
12월 19일	이커머스 유출 악용 사기 사례	사칭 사기	URL 접속과 원격제어 앱 설치 중단
12월 19일	Apple 전 제품군	use-after-free	iOS 18.7.3 / 26.2 이상
12월 19일	Google Chrome	메모리 범위 초과 접근	143.0.7499.109 이상

이커머스 유출 악용 사기 탐지 사례

KISA는 12월 19일 이커머스 개인정보 유출 이슈를 악용한 스미싱과 보이스피싱 사례가 지속적으로 탐지되고 있다고 밝혔다.

탐지된 세 가지 유형

첫째는 피해보상 안내를 명분으로 한 스미싱이다. 문자로 피싱사이트나 텔레그램 접속을 유도하며, 문자 안에 실제 개인정보가 포함돼 있어 서비스가 발송한 문자로 오인할 가능성이 있다.

둘째는 수사기관 사칭 보이스피싱이다. 검찰이나 경찰을 사칭해 유출된 개인정보로 명의도용 계좌가 개설됐다는 범죄 사실을 주장하고, 추가 피해 예방을 명분으로 피싱사이트 접속과 원격제어 앱 설치를 유도한다.

셋째는 우편물 배송을 명분으로 한 보이스피싱이다. 카드 배송 전화를 걸어 가짜 고객센터로 연결하고 개인정보를 탈취하거나 악성앱을 설치하게 만든다.

KISA가 안내한 대응

문자에 실제 개인정보가 포함돼 있다는 점이 이번 사례의 특징이다. 이름이나 주문 내역이 일치한다는 사실은 발신자가 정상 사업자임을 증명하지 못한다. 해당 정보가 이미 유출된 상태이기 때문이다.

의심스러운 문자는 보호나라 카카오톡 채널의 스미싱 확인 서비스로 판별하거나 스팸으로 신고할 수 있다. 전기통신금융사기 통합신고대응센터(1566-1188)와 KISA 인터넷침해대응센터(118)를 통한 상담도 안내됐다. 정부기관과 금융회사는 전화나 문자로 원격제어 앱 설치를 요구하지 않는다.

애플 제품군 use-after-free 취약점

애플은 iOS, iPadOS, macOS Tahoe, watchOS, visionOS, tvOS, 사파리에서 발생하는 use-after-free 취약점(CVE-2025-43529)을 해결한 업데이트를 배포했다. 애플이 배포하는 운영체제 대부분이 대상이다.

use-after-free는 이미 해제된 메모리 영역을 프로그램이 다시 참조할 때 발생한다. 공격자가 해당 영역에 조작된 데이터를 배치하면 프로그램 실행 흐름을 변경할 수 있다. 브라우저나 웹 렌더링 엔진에서 발생할 경우 웹페이지 접속만으로 공격이 성립할 수 있으며, 이번 건에 사파리가 포함된 이유다.

영향받는 버전과 해결 버전

제품	영향받는 버전	해결 버전
iOS, iPadOS	18.7.3 미만 / 26.2 미만	18.7.3 이상 / 26.2 이상
macOS Tahoe	26.2 미만	26.2 이상
watchOS, visionOS, tvOS	26.2 미만	26.2 이상
Safari	26.2 미만	26.2 이상

iOS와 iPadOS는 해결 버전이 두 가지로 구분된다. 최신 계열은 26.2, 18 계열에 머물러 있는 단말은 18.7.3에서 해결된다.

크롬 ANGLE 메모리 범위 초과 접근 취약점

구글은 크롬의 ANGLE 구성 요소에서 발생하는 메모리 범위를 벗어난 접근 취약점(CVE-2025-14714)을 해결한 업데이트를 배포했다. ANGLE은 웹 그래픽 명령을 각 운영체제의 그래픽 API로 변환하는 구성 요소로, 웹페이지가 요청한 렌더링을 직접 처리한다.

영향받는 버전과 해결 버전

플랫폼	영향받는 버전	해결 버전
Windows	143.0.7499.109 미만	143.0.7499.109 또는 143.0.7499.110
Mac	143.0.7499.109 미만	143.0.7499.109 또는 143.0.7499.110
Linux	143.0.7499.109 미만	143.0.7499.109

크롬은 업데이트를 내려받아도 재시작해야 반영된다. 브라우저를 장시간 종료하지 않는 환경에서는 설정의 정보 화면에서 현재 버전을 확인할 수 있다. 크로미움 기반 브라우저는 각 제조사의 업데이트를 별도로 확인하는 대상이다.

정리

이번 주 제품 취약점 2건은 개인 단말에서 사용하는 소프트웨어에 해당한다. 서버 취약점과 달리 조직의 패치 관리 절차로 일괄 처리되지 않는 경우가 많다.

사칭 사기는 3주 연속 공지됐고, 수법은 예상 시나리오에서 실제 탐지 사례로 구체화됐다. 유출된 정보가 문자에 포함되기 시작한 상황에서, 내용의 정확성은 발신자의 신원을 확인하는 근거가 되지 않는다.

이커머스 유출 악용 사기 사례 | 출처: KISA 보호나라, (사례) 이커머스 해킹 피해 악용 스미싱 및 피싱 주의권고 (2025-12-19)

애플 제품군 | 출처: KISA 보호나라, Apple 제품 보안 업데이트 권고 (2025-12-19)

구글 크롬 | 출처: KISA 보호나라, 구글 Chrome 브라우저 보안 업데이트 권고 (2025-12-19)

KISA 보안 공지 : 2025년 12월 2주차 권고사항 정리

jys275 — Sat, 29 Aug 2026 23:45:51 +0900

이번 주 KISA 보안공지 개요

2025년 12월 6일부터 12일까지 보호나라에 게시된 보안공지는 7건이다. 제품 보안 업데이트 권고 4건에 더해, 랜섬웨어 예방 권고와 리눅스 루트킷 점검 가이드 배포처럼 KISA가 직접 대응 자료를 제공한 공지가 2건 포함됐다.

랜섬웨어 권고는 바로 전주에 공지된 리액트 서버 컴포넌트 취약점을 실제 악용 사례로 언급했다. 취약점 공지 다음 날 해당 취약점을 이용한 랜섬웨어 경고가 게시된 것이다.

이번 주 공지 목록

게시일	대상	유형	조치
12월 6일	랜섬웨어 예방 보안강화 권고	대응 권고	외부 접속, 계정, 백업 점검
12월 9일	Apache Tika	XXE 인젝션	3.2.2 이상
12월 10일	Fortinet 다수 제품	인증 우회	제품별 패치 버전
12월 11일	Ivanti Endpoint Manager	원격 코드 실행 외 3건	2024 SU4 SR1
12월 11일	MS 12월 정기 업데이트	권한 상승, 원격 코드 실행	11종 패치 적용
12월 11일	Windows PowerShell 외	원격 코드 실행, 권한 상승	빌드별 패치 적용
12월 11일	리눅스 커널 루트킷 점검 가이드	점검 도구 배포	스크립트로 자체 점검

랜섬웨어 감염 예방 보안강화 권고

KISA는 12월 6일 랜섬웨어 감염 피해 예방을 위한 보안강화 권고를 게시했다. 배경으로 제시된 것은 리액트 서버 컴포넌트의 사전 인증 원격 코드 실행 취약점(CVE-2025-55182)이다. 국내외에서 이 취약점을 악용한 랜섬웨어 위협이 발생하고 있다는 내용이다.

KISA가 정리한 감염 경로

권고문은 감염 경로를 서버, PC, NAS 세 가지로 구분했다. 서버 사례로는 클라우드 서비스 회사가 리액트 서버 보안 패치를 적용하지 않아 감염된 건, 액티브 디렉터리 같은 중앙관리 솔루션의 계정과 권한 관리가 미흡해 감염된 건, 파일 업로드 같은 웹 취약점을 악용당한 건, 그리고 단순한 패스워드로 22번, 1433번, 3389번 원격 포트를 외부에 개방한 건이 제시됐다.

PC 사례는 공문, 이력서, 견적서로 위장한 메일 첨부파일을 실행한 경우다. NAS 사례는 공장 출하 시 설정된 기본 관리자 패스워드를 변경하지 않았거나 보안 업데이트를 적용하지 않아 감염된 경우다.

제시된 조치

권고문은 백업을 수행했음에도 복구하지 못한 기업이 다수라고 지적했다. 원본과 동일한 저장소에 백업을 보관하면 랜섬웨어가 백업본까지 함께 암호화하기 때문이다. KISA는 중요 자료를 네트워크와 분리된 별도 저장소에 정기적으로 백업할 것을 권고했다.

이 밖에 외부에 개방된 시스템 현황을 파악해 불필요한 연결을 차단하고, 테스트 서버나 유휴 서버처럼 관리되지 않는 시스템을 점검하는 항목이 포함됐다. 계정 측면에서는 기본 관리자 패스워드 변경, 미사용 계정 비활성화, 2차 인증 적용이 제시됐다.

네트워크 장비와 관리 솔루션 취약점

이번 주 제품 취약점 가운데 포티넷과 이반티는 조직의 경계와 관리 기능을 담당하는 제품이다. 이 제품들이 침해되면 그 제품이 통제하거나 관리하는 자산도 영향을 받는다.

포티넷 인증 우회

포티넷은 FortiOS, FortiProxy, FortiSwitchManager에서 발생하는 인증 우회 취약점(CVE-2025-59718)과 FortiWeb의 인증 우회 취약점(CVE-2025-59719)을 해결했다. 인증 우회는 로그인 절차 자체를 통과하지 않고 접근하는 유형이다.

취약점	제품	영향받는 버전	해결 버전
CVE-2025-59718	FortiOS	7.0.0 ~ 7.0.17 / 7.2.0 ~ 7.2.11 / 7.4.0 ~ 7.4.8 / 7.6.0 ~ 7.6.3	7.0.18 / 7.2.12 / 7.4.9 / 7.6.4 이상
CVE-2025-59718	FortiProxy	7.0.0 ~ 7.0.21 / 7.2.0 ~ 7.2.14 / 7.4.0 ~ 7.4.10 / 7.6.0 ~ 7.6.3	7.0.22 / 7.2.15 / 7.4.11 / 7.6.4 이상
CVE-2025-59718	FortiSwitchManager	7.0.0 ~ 7.0.5 / 7.2.0 ~ 7.2.6	7.0.6 / 7.2.7 이상
CVE-2025-59719	FortiWeb	7.4.0 ~ 7.4.9 / 7.6.0 ~ 7.6.4 / 8.0.0	7.4.10 / 7.6.5 / 8.0.1 이상

이반티 엔드포인트 매니저

이반티는 엔드포인트 매니저에서 취약점 4건을 해결했다. 원격 코드 실행(CVE-2025-13659), 임의 코드 실행(CVE-2025-13662), 임의 파일 작성(CVE-2025-13661), 크로스 사이트 스크립팅(CVE-2025-10573)이다. 2024 SU4 이하 버전이 모두 영향을 받으며 2024 SU4 SR1에서 해결된다.

엔드포인트 매니저는 조직의 단말을 일괄 관리하는 제품이다. 관리 서버가 침해되면 관리 대상 단말 전체에 악성코드를 배포하는 경로가 확보된다. 앞서 언급된 랜섬웨어 권고에서 제시한 중앙관리 솔루션 감염 사례와 동일한 구조다.

아파치 티카

문서 파싱 라이브러리인 아파치 티카에서 XML 외부 엔티티 인젝션 취약점 2건(CVE-2025-54988, CVE-2025-66516)이 확인됐다. 1.13부터 3.2.1까지가 영향을 받으며 3.2.2 이상에서 해결된다. 티카는 검색 엔진이나 문서 관리 시스템이 첨부파일 내용을 추출할 때 내부적으로 사용하는 경우가 많아, 직접 설치하지 않았어도 의존성에 포함될 수 있다.

마이크로소프트 12월 정기 업데이트

마이크로소프트는 12월 9일 정기 보안 업데이트로 11종을 발표했다. 등급은 긴급 2종과 중요 9종이다. 긴급으로 분류된 것은 마이크로소프트 오피스와 셰어포인트이며, 두 건 모두 원격 코드 실행 취약점이다.

제품군별 영향

제품군	중요도	영향
Microsoft Office	긴급	원격 코드 실행
Microsoft SharePoint	긴급	원격 코드 실행
Microsoft Azure	중요	원격 코드 실행
Microsoft Exchange Server	중요	권한 상승
Windows 11 (25H2, 24H2, 23H2)	중요	권한 상승
Windows Server 2025, 2022, 2019, 2016	중요	권한 상승

같은 날 별도로 게시된 마이크로소프트 제품 보안 업데이트 권고는 윈도우 파워셸의 원격 코드 실행 취약점(CVE-2025-54100)과 클라우드 파일 미니 필터 드라이버의 권한 상승 취약점(CVE-2025-62221)을 다뤘다. 윈도우 10의 여러 빌드가 영향을 받으며, 빌드 번호 단위로 해결 버전이 지정돼 있어 정기 업데이트 적용 시 함께 해결된다.

리눅스 커널 루트킷 점검 스크립트 배포

KISA는 12월 11일 리눅스 시스템을 대상으로 한 루트킷 악성코드 위협이 확대되고 있다며 점검 스크립트와 가이드를 공개했다. 루트킷은 커널 수준에서 동작하며 자신의 존재를 은폐하는 악성코드로, 일반적인 사용자 레벨 명령어로는 탐지되지 않는다.

배포된 스크립트는 이 특성을 이용한다. 부팅과 서비스 디렉터리의 파일시스템 아이노드를 직접 스캔한 결과와, 사용자 레벨에서 조회한 파일 목록을 비교한다. 두 결과의 차이가 은폐된 루트킷 서비스에 해당한다. 점검 결과는 터미널과 로그 파일로 출력된다.

KISA는 자체 점검 후 침해사고가 확인되면 보호나라 누리집으로 신고할 것을 안내했다. 전반적인 보안 점검이 필요한 경우 별도로 제공되는 리눅스 해킹진단도구를 함께 사용하는 방법도 제시했다.

정리

리액트 서버 컴포넌트 취약점은 12월 5일 공지됐고, 다음 날 해당 취약점을 악용한 랜섬웨어 경고가 게시됐다. 취약점 공개와 실제 공격 사이의 간격이 하루였다는 의미다.

제품 취약점 가운데 포티넷과 이반티는 인증 우회와 원격 코드 실행에 해당하며, 두 제품 모두 다른 자산에 대한 접근이나 관리 권한을 보유한다. 랜섬웨어 권고에서 지적한 백업 저장소 분리는 취약점 패치와 별개의 점검 항목이다.

랜섬웨어 예방 권고 | 출처: KISA 보호나라, 랜섬웨어 악성코드 감염피해 예방을 위한 보안강화 권고 (2025-12-06)

아파치 티카 | 출처: KISA 보호나라, Apache 제품 보안 업데이트 권고 (2025-12-09)

포티넷 인증 우회 | 출처: KISA 보호나라, Fortinet 제품 보안 업데이트 권고 (2025-12-10)

이반티 엔드포인트 매니저 | 출처: KISA 보호나라, Ivanti 제품 보안 업데이트 권고 (2025-12-11)

MS 12월 정기 업데이트 | 출처: KISA 보호나라, MS 12월 보안 위협에 따른 정기 보안 업데이트 권고 (2025-12-11)

윈도우 파워셸 | 출처: KISA 보호나라, Microsoft 제품 보안 업데이트 권고 (2025-12-11)

리눅스 루트킷 점검 가이드 | 출처: KISA 보호나라, 리눅스 커널 루트킷 점검 가이드 배포 (2025-12-11)

KISA 보안 공지 : 2025년 12월 1주차 권고사항 정리

jys275 — Sat, 29 Aug 2026 23:43:50 +0900

이번 주 KISA 보안공지 개요

2025년 11월 29일부터 12월 5일까지 보호나라에 게시된 보안공지는 3건이다. 이커머스 침해사고를 명분으로 한 스미싱 주의 권고 1건과, 리액트 서버 컴포넌트 및 안드로이드OS 보안 업데이트 권고 2건이다.

리액트 서버 컴포넌트 취약점은 인증 없이 원격 코드 실행이 가능한 유형이다. 다음 주 KISA가 별도로 게시한 랜섬웨어 예방 권고에서 이 취약점이 실제 악용 사례로 언급됐다.

이번 주 공지 목록

게시일	대상	유형	조치
11월 29일	이커머스 침해사고 사칭 스미싱	사칭 사기	출처 불명 URL 접속 중단
12월 5일	React Server Components	사전 인증 원격 코드 실행	계열별 패치 버전
12월 5일	안드로이드OS	정보 노출, 권한 상승	2025-12-01 패치

리액트 서버 컴포넌트 사전 인증 원격 코드 실행 취약점

리액트 서버 컴포넌트(RSC)에서 사전 인증 원격 코드 실행 취약점(CVE-2025-55182)이 확인돼 12월 5일 보안 업데이트 권고가 게시됐다. 함께 공지된 CVE-2026-66478은 이후 NIST가 동일 취약점으로 판단해 중복 처리하고 정보를 삭제했다.

사전 인증은 공격자가 계정이나 세션 없이 로그인 이전 단계에서 서버 코드 실행을 시도할 수 있다는 의미다. 서버 컴포넌트는 서버에서 렌더링을 수행하는 구조이므로, 공격이 성립하면 애플리케이션 서버의 실행 권한이 공격자에게 넘어간다.

영향받는 버전과 해결 버전

제품	영향받는 버전	해결 버전
react-server-dom-webpack	19.0 / 19.1.0 ~ 19.1.1 / 19.2.0	19.0.1 / 19.1.2 / 19.2.1
react-server-dom-parcel	19.0 / 19.1.0 ~ 19.1.1 / 19.2.0	19.0.1 / 19.1.2 / 19.2.1
react-server-dom-turbopack	19.0 / 19.1.0 ~ 19.1.1 / 19.2.0	19.0.1 / 19.1.2 / 19.2.1
Next.js	15.0.x / 15.1.x / 15.2.x	15.0.5 / 15.1.9 / 15.2.6
Next.js	15.3.x / 15.4.x / 15.5.x	15.3.6 / 15.4.8 / 15.5.7
Next.js	16.0.x	16.0.7
Next.js	14.3.0-canary.77 이상	최신 14.x 안정 버전으로 다운그레이드

Next.js 14 계열의 캐너리 버전은 상위 버전이 아니라 하위 안정 버전으로 이동하는 방식으로 해결된다. 캐너리는 정식 배포 전 시험 버전이라 별도 패치가 제공되지 않기 때문이다. KISA는 14.3.0-canary.77 이상 사용자에게 최신 안정 버전인 14.x로 다운그레이드할 것을 권고했다.

리액트와 Next.js는 국내 서비스 프런트엔드에서 널리 사용된다. 직접 의존성 목록에 없더라도 프레임워크가 내부적으로 참조하는 경우가 있으므로, 패키지 잠금 파일의 react-server-dom 계열 실제 설치 버전이 확인 대상이다.

안드로이드OS 12월 정기 보안 업데이트

구글은 안드로이드 프레임워크에서 발생하는 정보 노출 취약점(CVE-2025-48633)과 권한 상승 취약점(CVE-2025-48572)을 해결한 12월 정기 보안 업데이트를 배포했다. 안드로이드 13부터 16까지가 영향을 받는다.

영향받는 버전과 해결 버전

취약점	유형	영향받는 버전	해결 버전
CVE-2025-48633	정보 노출	Android 13, 14, 15, 16	2025-12-01 패치
CVE-2025-48572	권한 상승	Android 13, 14, 15, 16	2025-12-01 패치

권한 상승 취약점은 단독으로 기기를 장악하기보다, 이미 설치된 악성 앱이 허용된 범위를 넘어서는 권한을 확보하는 데 사용된다. 정보 노출 취약점과 결합되면 사용자가 인지하기 어려운 형태의 데이터 유출이 가능하다.

삼성 단말은 구글 패치와 별개로 삼성 모바일 보안 페이지에서 제조사 업데이트 적용 여부를 확인하는 절차가 안내됐다. 제조사마다 패치 반영 시점이 다르기 때문이다.

이커머스 침해사고를 명분으로 한 스미싱

KISA는 11월 29일 국내 이커머스 기업의 해킹 피해를 악용한 스미싱과 피싱 시도가 예상된다고 밝혔다. 침해사고 자체가 아니라, 그 사고를 인지한 이용자의 불안을 이용하는 2차 공격을 경고한 내용이다.

예상되는 공격 형태

KISA가 제시한 수법은 세 가지다. 문자로는 긴급 앱 업데이트, 피해보상 신청, 환불 같은 문구를 사용해 악성 URL 접속을 유도한다. 검색포털에서는 피해사실 조회 같은 키워드로 피싱사이트를 검색결과 상단이나 광고에 노출시켜 접속을 유도한다. 전화로는 정보유출 대상자 통보와 보상 절차 안내를 명분으로 원격제어 앱 설치를 유도한다.

KISA가 안내한 대응

정부기관과 금융회사는 전화나 문자로 원격제어 앱 설치를 요구하지 않는다. 정식 스토어에 등록된 앱도 마찬가지다.

의심스러운 문자는 보호나라 카카오톡 채널의 스미싱 확인 서비스로 악성 여부를 판별하거나, 문자 수신 화면에서 스팸으로 신고할 수 있다. URL 접속 후 앱을 설치한 경우 모바일 백신으로 악성 앱을 삭제하고, 해당 단말로 금융 서비스를 이용했다면 인증서와 보안카드를 폐기한 뒤 재발급하는 절차가 안내됐다.

피해자 번호가 도용돼 동일한 문자가 지인에게 재발송되는 사례도 확인됐다. 통신사 부가서비스에서 무료로 신청할 수 있는 번호도용문자차단서비스가 2차 확산을 줄이는 수단으로 제시됐다.

정리

이커머스 침해사고는 기술적 대응이 끝난 뒤에도 그 사실을 인지한 이용자를 대상으로 한 사칭 공격으로 이어졌다.

제품 측면에서는 리액트 서버 컴포넌트가 영향 범위가 가장 넓다. 사전 인증 원격 코드 실행이라는 조건 때문에 공격에 필요한 사전 정보가 없고, 이 취약점을 악용한 랜섬웨어 사례가 다음 주 공지에서 보고됐다.

이커머스 사칭 스미싱 | 출처: KISA 보호나라, 이커머스 해킹 피해 악용 스미싱 및 피싱 주의 권고 (2025-11-29)

리액트 서버 컴포넌트 | 출처: KISA 보호나라, React 서버 컴포넌트 보안 업데이트 권고 (2025-12-05)

안드로이드OS | 출처: KISA 보호나라, 안드로이드OS 보안 업데이트 권고 (2025-12-05)

KISA 보안 공지 : 2025년 11월 5주차 권고사항 정리

jys275 — Sat, 29 Aug 2026 23:20:40 +0900

이번 주 KISA 보안공지 개요

한국인터넷진흥원(KISA) 보호나라에 2025년 11월 22일부터 28일까지 게시된 보안공지는 6건이다. 일반 이용자를 대상으로 한 사칭 사기 주의 권고가 2건, 제품 보안 업데이트 권고가 4건이다.

제품 취약점 4건 가운데 3건이 원격 코드 실행에 해당한다. 공격자가 대상 시스템에서 임의의 코드를 실행할 수 있는 유형이다.

이번 주 공지 목록

게시일	대상	유형	조치
11월 26일	우체국 사칭 보이스피싱	사칭 사기	응대 중단 후 기관에 직접 확인
11월 28일	민생회복 소비쿠폰 피싱메일	사칭 사기	첨부파일과 링크 열람 중단
11월 28일	Cisco Unified CCX	원격 코드 실행	12.5 SU3 ES07 / 15.0 ES01
11월 28일	Oracle Identity Manager	사전 인증 원격 코드 실행	별도 보안 패치 적용
11월 28일	WordPress W3 Total Cache	원격 코드 실행	2.8.13
11월 28일	7-Zip	임의 코드 실행	25.00

공공기관 사칭 사기 주의 권고 2건

이번 주에 게시된 주의 권고 2건은 수법이 다르지만 공통점이 있다. 이용자가 기관의 이름과 전화번호를 신뢰한다는 점을 이용한다는 것이다.

우체국 사칭 카드 배송 보이스피싱

KISA는 11월 26일 우체국 대표번호를 악용한 카드 배송 사칭 보이스피싱 사례가 잇따르고 있다고 밝혔다. 악용된 번호는 1588-1300, 1599-1900, 1588-1900, 1599-0100 등으로, 실제 우체국이 사용하는 대표번호다.

공격자는 우체국 배송 기사나 고객센터 직원을 사칭해 전화한 뒤 카드 신청 이력이 있는지 질문한다. 이후 본인 확인을 명목으로 이름, 생년월일, 주소를 요구한다. 직접 수령이 어렵다고 답하면 가짜 배송 조회 사이트 주소를 안내하고 접속을 유도한다.

우체국은 카드 배송을 이유로 고객에게 먼저 전화하지 않는다. KISA는 이런 전화를 받으면 응대하지 말고 해당 기관에 직접 연락해 사실 여부를 확인할 것을 안내했다. 앱 설치나 URL 접속을 유도하는 시점에서 통화를 중단하는 것이 KISA가 제시한 대응이다.

민생회복 소비쿠폰 사칭 피싱메일

11월 28일에는 민생회복 소비쿠폰의 과지급과 환수를 명분으로 한 피싱메일이 유포되고 있다는 공지가 게시됐다. 발신자를 민생회복지원금 운영센터처럼 표기하고, 메일 주소를 mois.minseng.go.kr 형태로 구성해 행정안전부가 발송한 것처럼 보이게 만드는 방식이다. 실제 행정안전부 홈페이지 주소는 mois.go.kr이다.

메일 본문은 과지급된 쿠폰을 환수한다며 환급 절차 신청을 유도한다. 이 과정에서 개인정보를 입력받는 피싱사이트로 연결하거나, 제출 양식으로 위장한 악성 프로그램을 첨부한다. KISA는 동일한 수법이 문자로도 유포되고 검색포털에 피싱사이트가 노출될 가능성도 있다고 밝혔다.

정부는 소비쿠폰과 관련해 특정 개인에게 메일을 직접 발송하지 않으며, 안내 메시지에도 URL을 포함하지 않는다. KISA는 확인이 필요한 경우 지자체에 직접 연락할 것을 안내했다.

원격 코드 실행 취약점 3건

11월 28일 게시된 제품 보안 업데이트 권고 가운데 3건이 원격 코드 실행 취약점이다. 대상 제품은 고객센터 시스템, 계정 관리 솔루션, 웹사이트 캐시 플러그인으로 서로 다르지만, 모두 조직 내부에서 동작하는 서버 제품이다.

영향받는 버전과 해결 버전

취약점	제품	유형	영향받는 버전	해결 버전
CVE-2025-20354	Cisco Unified CCX (Java RMI)	파일 업로드	12.5 SU3 이하 / 15.0	12.5 SU3 ES07 / 15.0 ES01
CVE-2025-20358	Cisco Unified CCX (CCX Editor)	원격 코드 실행	12.5 SU3 이하 / 15.0	12.5 SU3 ES07 / 15.0 ES01
CVE-2025-61757	Oracle Identity Manager	사전 인증 원격 코드 실행	12.2.1.4.0, 14.1.2.1.0	별도 보안 패치 적용
CVE-2025-9501	WordPress W3 Total Cache	원격 코드 실행	2.8.12 이하	2.8.13

시스코 유니파이드 CCX

시스코는 고객센터 솔루션인 유니파이드 CCX에서 확인된 취약점 2건을 해결한 업데이트를 발표했다. 하나는 자바 RMI 프로세스에서 발생하는 파일 업로드 취약점이고, 다른 하나는 CCX 에디터 애플리케이션의 원격 코드 실행 취약점이다. 파일 업로드 취약점은 공격자가 서버에 실행 가능한 파일을 업로드할 수 있게 하며, 이는 코드 실행의 전제 조건이 된다.

오라클 아이덴티티 매니저

오라클은 퓨전 미들웨어 계열의 아이덴티티 매니저에서 사전 인증 원격 코드 실행 취약점을 해결했다. 사전 인증은 로그인 이전 단계에서 공격이 성립한다는 의미로, 유효한 계정 정보 없이도 시도할 수 있다. 아이덴티티 매니저는 조직 구성원의 계정과 권한을 관리하는 제품이므로, 침해될 경우 이 제품이 관리하는 다른 시스템의 접근 권한도 영향을 받는다.

이 건은 버전 업데이트가 아니라 별도 보안 패치로 제공된다. 오라클 지원 포털에서 해당 패치를 내려받아 적용하는 방식이다.

워드프레스 W3 Total Cache

웹 성능 최적화 플러그인인 W3 Total Cache에서도 원격 코드 실행 취약점이 확인돼 2.8.13이 배포됐다. 2.8.12 이하가 영향받는 버전이다. 워드프레스 플러그인은 설치 후 별도로 관리하지 않는 경우가 많아, 자동 업데이트를 활성화하지 않은 환경에서는 설치된 플러그인 목록과 버전이 확인 대상에 해당한다.

7-Zip 임의 코드 실행 취약점

압축 유틸리티 7-Zip의 설치 환경에서 임의 코드 실행 취약점(CVE-2025-11001)이 확인돼 25.00 버전이 배포됐다. 25.00 미만 버전이 모두 영향을 받는다.

영향받는 버전과 해결 버전

취약점	제품	영향받는 버전	해결 버전
CVE-2025-11001	7-Zip	25.00 미만	25.00

앞선 3건이 서버 제품인 것과 달리 7-Zip은 개인 PC와 업무용 단말에 설치되는 도구다. 사용자가 개별적으로 설치하는 경우가 많아 조직의 소프트웨어 자산 목록에서 누락되기도 한다.

정리

이번 주 공지는 사람을 속이는 공격과 시스템 취약점을 이용하는 공격으로 나뉜다. 앞의 2건은 기관 사칭으로 이용자의 신뢰를 확보했고, 뒤의 4건은 인증 절차를 우회하거나 생략해 시스템 권한을 확보하는 유형이다.

제품 취약점 4건은 모두 해결 버전이 공개된 상태다. 오라클 아이덴티티 매니저만 버전 교체가 아니라 별도 패치 적용 방식이라는 점에서 다른 3건과 대응 방법이 다르다.

우체국 사칭 보이스피싱 | 출처: KISA 보호나라, 공공기관 대표번호를 악용한 카드 배송 사칭 보이스피싱 주의 (2025-11-26)

민생회복 소비쿠폰 피싱메일 | 출처: KISA 보호나라, 민생회복 소비쿠폰 과지급/환수 관련 피싱 이메일 주의 권고 (2025-11-28)

시스코 유니파이드 CCX | 출처: KISA 보호나라, Cisco 제품 보안 업데이트 권고 (2025-11-28)

오라클 아이덴티티 매니저 | 출처: KISA 보호나라, Oracle 제품 보안 업데이트 권고 (2025-11-28)

워드프레스 W3 Total Cache | 출처: KISA 보호나라, WordPress 플러그인 보안 업데이트 권고 (2025-11-28)

7-Zip | 출처: KISA 보호나라, 7Zip 제품 보안 업데이트 권고 (2025-11-28)

47. 이미지 & 코드 무결성 : AWS Signer, EC2 Image Builder 골든 AMI 파이프라인

jys275 — Fri, 14 Aug 2026 20:29:45 +0900

무결성은 배포 이전의 문제다

실행 중인 리소스를 아무리 잘 감시해도, 처음부터 잘못된 코드와 잘못된 이미지가 올라갔다면 탐지는 사후 처리에 불과하다. 무결성 통제는 실행 이전 단계에 놓여야 한다.

이 지점을 두 가지 방향에서 다룬다. 하나는 배포되는 코드가 신뢰할 수 있는 발행자에게서 왔고 도중에 변조되지 않았음을 증명하는 것이고, 다른 하나는 인스턴스가 올라오는 근거인 AMI 자체를 표준화된 절차로 만들어 재현 가능하게 두는 것이다. 앞의 것을 AWS Signer가, 뒤의 것을 EC2 Image Builder가 맡는다.

AWS Signer

코드에 서명을 붙여 신뢰와 무결성을 보장하는 완전 관리형 코드 서명 서비스다. 코드 서명 인증서의 공개 키와 개인 키를 사용해 코드에 서명하고, 이후 그 코드는 디지털 서명과 대조해 검증된다. 검증이 통과하면 그 코드는 변조되지 않았고 신뢰할 수 있는 발행자에게서 왔다는 뜻이다.

동작 순서

AWS Signer에서 signing profile을 만든다
서명할 코드를 보낸다
암호화 연산을 거쳐 코드에 서명이 붙는다
서명된 코드는 신뢰할 수 있는 것으로 검증된다

Lambda 코드 서명

패키지를 Lambda에 업로드하기 전에 디지털 서명을 한다. 그러면 우리가 서명한 신뢰된 코드만 함수에서 실행되도록 강제할 수 있다. 기업 환경에서 중요한 성질이다.

코드 형태의 Lambda에만 지원되고 컨테이너 이미지로 배포하는 Lambda 함수에는 지원되지 않는다.

AWS IoT 코드 서명

IoT와 Amazon FreeRTOS용 코드에도 서명할 수 있다. 서명 인증서의 생성과 가져오기는 ACM과 통합되어 처리된다.

서명 폐기

신뢰를 회수해야 하는 상황이 생긴다. 특정 대상에 부여한 신뢰를 거두면, 이미 배포된 Lambda 배포 패키지의 서명을 무효화할 수 있다. 그러면 Lambda는 서명 검증에 실패하고 해당 코드를 실행하지 않는다.

폐기 범위는 두 단계다.

RevokeSignature : 개별 서명 하나를 폐기한다
RevokeSigningProfile : signing profile 전체를 폐기한다

되돌릴 수 없는 작업이므로 심각한 상황에서만 사용한다. 관리자가 RevokeSignature를 호출하면 그 서명으로 서명된 코드는 검증에 실패하므로, 해당 Lambda 함수는 더 이상 그 코드를 사용할 수 없게 된다.

EC2 Image Builder

가상 머신 이미지와 컨테이너 이미지의 생성을 자동화하는 서비스다. EC2 인스턴스용 AMI를 만들고, 유지하고, 검증하고, 테스트하는 과정 전체를 자동화한다.

여기서 나오는 결과물이 흔히 말하는 골든 AMI다. 인스턴스가 뜬 뒤에 설정 스크립트를 돌리는 방식은 실행 시점마다 결과가 달라질 여지가 있지만, 필요한 설정을 이미지 안에 미리 굳혀 두면 그 이미지에서 올라온 모든 인스턴스가 동일한 상태로 시작한다. 무결성 관점에서 이미지 자체를 통제 지점으로 삼는 접근이다.

파이프라인 동작

EC2 Image Builder가 빌더 EC2 인스턴스를 자동으로 생성한다
그 인스턴스 위에서 정의해 둔 구성 요소를 빌드하고 소프트웨어를 커스터마이징한다. Java 설치, CLI 업데이트, 시스템 소프트웨어 업데이트, 방화벽 설치, 애플리케이션 설치 등이 여기 해당한다
그 인스턴스에서 AMI가 생성된다
생성된 AMI로 테스트용 EC2 인스턴스를 띄우고 미리 정의한 테스트를 실행한다
테스트를 통과한 AMI를 배포한다

테스트 단계에서는 AMI가 정상 동작하는지, 안전한지, 애플리케이션이 제대로 실행되는지를 확인한다. 테스트를 원하지 않으면 이 단계를 건너뛸 수 있다.

멀티 리전 배포

EC2 Image Builder 자체는 하나의 리전에서 동작하지만, 만들어진 AMI는 여러 리전으로 배포할 수 있다. 애플리케이션과 워크플로를 여러 리전에 동일한 이미지로 펼칠 수 있다는 뜻이다.

실행 시점

주간 단위 같은 일정에 맞춰 실행
패키지가 업데이트될 때 실행
수동 실행

비용

서비스 자체는 무료이고 그 과정에서 사용되는 리소스에만 비용이 든다. 빌드와 테스트 과정에서 생성되는 EC2 인스턴스, 그리고 생성되고 배포된 AMI가 차지하는 스토리지가 과금 대상이다.

EC2 Image Builder 트러블슈팅

S3 버킷에서 Access Denied 403이 발생하는 경우

원인은 권한이다. EC2 Image Builder에 연결된 인스턴스 프로파일에 필요한 권한이 없거나, S3로 로깅할 권한이 빠져 있는 상태다. 빌드 과정의 로그가 S3에 기록되어야 정상 동작하므로 이 권한이 없으면 파이프라인이 진행되지 않는다.

해결

적절한 IAM 역할을 붙이고, IAM에서 제공되는 관리형 정책을 활용한다.

AmazonSSMManagedInstanceCore
EC2InstanceProfileForImageBuilder
EC2InstanceProfileForImageBuilderECRContainerBuilds : 컨테이너를 생성하는 경우에 사용한다

여기에 더해 인스턴스 프로파일 역할에 대상 S3 버킷으로의 PutObject 권한을 부여하는 정책을 추가한다.

ASG Instance Refresh

새 AMI를 만들어 두는 것만으로는 아무것도 바뀌지 않는다. 이미 실행 중인 인스턴스들은 여전히 예전 이미지로 떠 있기 때문이다. 취약점을 패치한 골든 AMI를 만들었다면 그것을 실제 인스턴스에 반영하는 단계가 필요하고, 그 역할을 Auto Scaling Group의 instance refresh가 맡는다. 이 기능은 단독으로 등장하기보다 다른 보안 개념과 결합된 형태로 나온다.

동작 방식

Auto Scaling Group에 아홉 개의 인스턴스가 예전 시작 템플릿으로 떠 있는 상황을 가정한다.

Auto Scaling Group의 시작 템플릿을 새 버전으로 갱신한다
StartInstanceRefresh API를 호출한다
지정한 최소 정상 비율에 맞춰 일부 인스턴스가 종료되고, 새 시작 템플릿으로 새 인스턴스가 생성된다
이 과정이 반복되어 그룹 전체가 새 시작 템플릿 기반 인스턴스로 교체된다

시작 템플릿을 갱신하는 것만으로는 기본적으로 아무 일도 일어나지 않는다. instance refresh를 시작해야 교체가 진행된다.

조절 가능한 값

최소 정상 비율 : 교체 도중 서비스 중인 상태로 유지할 인스턴스의 비율이다. 50%로 두면 한 번에 절반 정도씩 교체된다
워밍업 시간 : 새로 생성된 인스턴스가 사용 가능한 상태가 될 때까지 기다리는 시간이다

이 두 값이 교체 속도와 가용성 사이의 균형을 결정한다. 최소 정상 비율을 낮추면 교체가 빨라지지만 그만큼 처리 용량이 줄고, 높이면 서비스는 안정적으로 유지되지만 전체 교체에 시간이 더 걸린다.

46. Lambda 보안 : 실행 역할, VPC 배치, Function URL 인증

jys275 — Fri, 14 Aug 2026 20:29:30 +0900

실행 역할이 Lambda 권한의 전부다

Lambda 실행 역할은 함수에 붙는 IAM 역할이고, 함수가 다른 AWS 서비스와 리소스에 접근할 권한을 부여한다. Lambda에 마법은 없다. 함수가 무엇과 상호작용하는지 파악하고 그에 맞는 권한을 가진 역할을 직접 만들어 주어야 함수가 정상 동작한다.

대표적인 관리형 정책은 다음과 같다.

AWSLambdaBasicExecutionRole : CloudWatch에 로그를 업로드한다. 단순하지만 이 권한이 없으면 로그가 남지 않는다
AWSLambdaKinesisExecutionRole : Kinesis에서 읽는다
LambdaDynamoDBExecutionRole : DynamoDB Streams에서 읽는다
SQS에서 읽기 위한 정책
VPC에 Lambda 함수를 배포하기 위한 정책. 네트워크 인터페이스를 직접 생성해야 하므로 별도 권한이 필요하다
X-Ray로 추적 데이터를 업로드하기 위한 정책

Event Source Mapping이 함수를 호출하는 구조에서도 마찬가지다. 이벤트 데이터를 읽는 주체는 함수 자신이므로, 소스에서 데이터를 읽어 오는 권한 역시 실행 역할에 들어 있어야 한다.

모범 사례는 함수 하나당 실행 역할 하나를 만드는 것이다. 역할을 공유하면 권한 집합이 모든 함수의 합집합으로 부풀어 최소 권한이 무너진다.

실행 역할과 리소스 기반 정책은 방향이 반대다

실행 역할은 Lambda가 밖으로 나갈 때 쓰는 권한이고, 리소스 기반 정책은 밖에서 Lambda로 들어올 때 쓰는 권한이다. 리소스 기반 정책은 다른 계정과 다른 서비스에 내 함수를 사용할 권한을 준다는 점에서 S3 버킷 정책과 성격이 같다.

IAM 주체가 Lambda에 접근하는 경로는 둘이다.

주체에 붙은 IAM 정책이 허용하는 경우. 사용자가 직접 접근하는 상황이다
리소스 기반 정책이 허용하는 경우. 서비스가 서비스를 호출하는 상황이다

두 번째가 필요한 전형적인 예가 S3다. S3 이벤트로 Lambda 함수를 트리거하려면 S3에 붙일 IAM 정책이라는 것이 존재하지 않으므로, 함수 쪽 리소스 기반 정책으로 접근을 허용하는 방법밖에 없다.

CloudWatch Logs에 필요한 네 가지 권한

Lambda 함수는 로그 그룹 하나에 여러 개의 로그 스트림을 만들며 CloudWatch로 로그를 보낸다. 이 동작이 성립하려면 실행 역할에 네 가지 권한이 순서대로 들어 있어야 한다.

CreateLogGroup : 대상 로그 그룹을 생성한다
CreateLogStream : 함수 실행에 대응하는 개별 로그 스트림을 생성한다
PutLogEvents : 로그 스트림에 실제 로그 이벤트를 기록한다
DescribeLogStreams : 기록할 스트림을 찾는다

로그가 전혀 남지 않는 함수를 만났을 때 코드를 먼저 의심할 이유가 없다. 실행 역할에 이 권한들이 있는지부터 확인한다.

Lambda는 기본적으로 내 VPC 밖에 있다

기본 상태의 Lambda 함수는 AWS가 소유한 별도의 VPC에서 실행된다. 여기서 결과가 갈린다.

퍼블릭 웹사이트와 외부 API에 접근할 수 있다
DynamoDB 같은 퍼블릭 엔드포인트를 가진 서비스에도 접근할 수 있다
내 VPC 안의 리소스에는 접근할 수 없다

접근할 수 없는 대상에는 EC2 인스턴스, RDS 데이터베이스, ElastiCache, 내부용 로드 밸런서가 포함된다. 프라이빗 서브넷에 RDS를 두었다면 기본 배치의 Lambda로는 도달하지 못한다.

VPC에 배치하면 ENI가 생긴다

내 VPC 리소스에 접근하려면 함수를 VPC 안에 배치한다. 설정해야 하는 값은 VPC ID, 서브넷, 그리고 함수에 붙일 보안 그룹이다.

이때 뒤에서 벌어지는 일이 핵심이다. Lambda는 선택한 서브넷에 ENI를 생성하고, 함수의 모든 VPC 통신은 이 ENI를 거친다. ENI를 만드는 주체가 Lambda이므로 VPC 배치에는 Lambda VPC Access Execution Role이 필요하다. 권한이 없으면 인터페이스 생성 단계에서 실패한다.

보안 그룹 설정

ENI에 Lambda 보안 그룹이 붙기 때문에 접근 제어는 EC2와 완전히 같은 방식으로 이루어진다. RDS에 접근하려면 RDS 보안 그룹의 인바운드 규칙이 Lambda 보안 그룹을 허용해야 한다. 서버리스라고 해서 예외적인 규칙이 적용되지 않는다.

VPC 안에 넣는 순간 인터넷이 끊긴다

VPC 안에 배포된 Lambda 함수는 기본적으로 인터넷에 접근할 수 없다. 내 VPC 리소스를 얻는 대신 밖으로 나가는 경로를 잃는 교환이다.

퍼블릭 서브넷에 넣으면 된다는 오해

가장 자주 틀리는 지점이다. Lambda 함수를 퍼블릭 서브넷에 배포해도 인터넷 접근 권한이나 퍼블릭 IP가 생기지 않는다. 퍼블릭 서브넷이 인터넷 접근을 준다는 명제는 EC2 인스턴스에만 성립하고 Lambda에는 성립하지 않는다.

올바른 구성

함수를 프라이빗 서브넷에 배포하고 퍼블릭 서브넷의 NAT Gateway 또는 NAT Instance를 경유시킨다. 트래픽은 NAT를 지나 VPC의 Internet Gateway를 통해 외부 API로 나간다. 이 경로는 전적으로 라우팅 테이블과 VPC 구성으로 결정된다.

DynamoDB에 접근하는 두 경로

NAT와 Internet Gateway를 거치는 퍼블릭 경로. NAT를 이미 구성했다면 그대로 동작한다
VPC Endpoint를 거치는 프라이빗 경로. NAT와 Internet Gateway 없이 AWS 서비스에 사설로 접근한다. DynamoDB의 경우 Gateway 유형 엔드포인트를 만들고 함수가 그 엔드포인트로 통신한다

CloudWatch Logs는 예외다

프라이빗 서브넷에 배포된 Lambda의 CloudWatch Logs는 엔드포인트도 NAT Gateway도 없이 동작한다. 로깅은 어떤 네트워크 구성에서도 끊기지 않는다. 다른 서비스 호출은 실패하는데 로그만 정상적으로 남는 상황이 이상하게 보일 수 있으나 정상이다.

Lambda Function URL

API Gateway나 Application Load Balancer를 거치지 않고 함수를 HTTP 엔드포인트로 노출하는 기능이다. 함수마다 절대 바뀌지 않는 고유 URL이 하나 부여되고 IPv4와 IPv6를 지원한다. 웹 브라우저, 명령줄, Postman 등 어떤 HTTP 클라이언트로도 HTTPS 요청을 보낼 수 있다.

퍼블릭 인터넷 전용

Function URL은 퍼블릭 인터넷을 통해서만 접근된다. 사설 URL이 필요한 상황이라면 이 기능으로는 해결되지 않는다.

적용 대상

모든 함수 alias 또는 함수의 최신 버전에 적용할 수 있고, 특정 함수 버전에는 적용할 수 없다. 콘솔과 API 양쪽에서 생성하고 구성한다.

호출량 제어

함수의 실행량을 특정 수준으로 묶고 싶다면 Lambda의 Reserved Concurrency로 제한한다. Function URL 자체에 스로틀링 설정이 있는 것이 아니라 동시성 제한이 그 역할을 대신한다.

CORS

다른 도메인에서 Function URL을 호출하면 CORS 구성이 필요하다. S3에서 본 것과 같은 개념이다. S3 버킷을 CloudFront로 감싸 example.com으로 서비스하고 API는 api.example.com이라는 Function URL로 두었다면, 도메인이 다르므로 Function URL 쪽에 CORS 설정을 넣어야 동작한다.

Function URL 인증 방식

보안은 리소스 기반 정책으로 관리한다. 이 정책에 어떤 계정, 어떤 CIDR IP 범위, 어떤 IAM 주체가 Function URL에 접근할 수 있는지를 적는다. AuthType 값에 따라 정책이 평가되는 방식이 달라진다.

AuthType NONE

퍼블릭하고 인증되지 않은 접근을 허용한다. 다만 이름과 달리 정책이 없어도 되는 것은 아니다. 요청 허용 여부는 여전히 리소스 기반 정책이 결정한다. Principal을 별표로 두고 lambda:InvokeFunctionUrl을 허용하는 정책을 명시적으로 넣어야 인터넷에서 호출된다.

AuthType AWS_IAM

IAM이 요청을 인증하고 인가한다. 주체의 자격 증명 기반 정책과 함수의 리소스 기반 정책이 모두 평가되며, 이 둘 사이에 lambda:InvokeFunctionUrl 권한이 존재해야 호출이 성립한다.

동일 계정과 교차 계정의 차이

동일 계정에서는 자격 증명 기반 정책과 리소스 기반 정책 중 하나만 허용해도 호출이 통과한다. S3 버킷과 같은 평가 논리다.

교차 계정에서는 양쪽 모두 허용이어야 한다. 계정 A의 함수에 리소스 기반 정책을 붙여 Principal로 계정 B의 역할을 지정하는 것만으로는 부족하고, 계정 B의 IAM 역할에도 계정 A의 Function URL을 호출할 수 있다는 자격 증명 기반 정책이 있어야 한다. 두 조건이 함께 충족될 때 비로소 계정 B의 역할이 계정 A의 Function URL을 사용한다.

45. 컨테이너 보안 : ECR 이미지 스캔, ECS Secret 관리, EKS 보안 모델

jys275 — Fri, 14 Aug 2026 20:29:17 +0900

ECR이 맡는 자리

Amazon ECR은 Docker 이미지를 저장하고 관리하는 레지스트리다. Docker Hub 같은 외부 레지스트리 대신 이미지를 AWS 안에 두는 선택지다. 저장 방식은 두 가지로 나뉜다. 자기 계정에서만 쓰는 프라이빗 저장소를 만들 수도 있고, Amazon ECR Public Gallery에 공개하는 퍼블릭 저장소를 만들 수도 있다.

ECS와 완전히 통합되어 있고, 이미지의 실제 데이터는 뒤에서 Amazon S3에 저장된다.

ECS가 이미지를 가져오는 경로

ECS 클러스터의 EC2 인스턴스가 ECR 저장소에서 이미지를 pull하고, 받아온 이미지로 컨테이너를 시작한다. 이때 인스턴스에는 ECR에서 이미지를 가져올 수 있는 IAM Role이 붙어 있어야 한다.

ECR에 대한 모든 접근은 IAM으로 통제된다. ECR에서 권한 오류가 났다면 원인은 거의 항상 정책 쪽에 있다.

저장소 외의 기능

단순 저장소에 그치지 않는다.

이미지 취약점 스캔
버저닝
이미지 태그
이미지 라이프사이클

저장소 암호화

ECR 저장소는 KMS 키로 저장 데이터를 암호화할 수 있다. 방식은 Envelope Encryption이고, Data Encryption Key로 이미지를 암호화한다.

활성화 시점의 제약

KMS 암호화는 저장소를 만드는 시점에만 켤 수 있다. 이미 만들어진 암호화되지 않은 저장소를 나중에 암호화로 전환하는 경로는 없다. 암호화된 저장소를 새로 만들고 이미지를 옮기는 것이 유일한 방법이다. 저장소를 만들기 전에 암호화 여부를 결정해야 한다는 뜻이다.

ECR이 KMS와 상호작용하는 방식

ECR은 사용자를 대신해 KMS Grant를 생성하고 그것으로 KMS를 호출한다. Grant에 담기는 권한은 네 가지다.

DescribeKey
Decrypt
GenerateDataKey
RetireGrant : 저장소를 삭제할 때 사용된다

이미지 스캔

ECR의 image scanning은 컨테이너 이미지 안에 들어 있는 소프트웨어 취약점을 찾는 기능이다. 수준이 두 가지로 나뉜다.

Basic Scanning

ECR이 공개된 CVE 데이터베이스를 기준으로 이미지를 검사한다. 실행 시점은 두 가지 중에서 고른다.

scan on push : 저장소에 이미지를 푸시할 때마다 스캔한다
수동 스캔 : 원하는 시점에 직접 실행한다

Advanced Scanning

Amazon Inspector를 외부 서비스로 사용한다. Inspector가 이미지를 지속적이고 자동으로 스캔하며, 검사 범위도 넓다. 운영체제 패키지뿐 아니라 프로그래밍 언어 패키지의 취약점까지 본다.

Inspector는 새로운 취약점이 알려질 때마다 기존 이미지를 다시 스캔한다. 두 수준의 차이가 여기서 갈린다. 이미지는 그대로인데 취약점만 나중에 발견되는 상황이 흔하다. 푸시 시점에 한 번 검사하는 방식으로는 어제까지 깨끗했던 이미지가 오늘부터 취약해진 사실을 알 수 없다. 스캔을 이벤트가 아니라 상태 감시로 바꾼 것이 Advanced Scanning이다.

Findings의 흐름

Inspector가 만들어낸 findings는 Amazon EventBridge로 들어간다. 이후 SNS로 알림을 보내거나 Lambda를 실행해 자동화를 붙인다.

Scan Filter

어떤 저장소를 스캔할지 지정하는 필터다. 저장소 이름 패턴으로 거른다. 예를 들어 *prod* 를 지정하면 이름에 prod가 들어간 저장소가 모두 매칭되고, 해당 저장소들에서 스캔이 자동으로 활성화된다.

교차 계정 접근

한 계정의 저장소에 있는 컨테이너 이미지를 다른 계정이 사용해야 하는 경우다. 해법은 repository policy다. 저장소에 붙는 리소스 정책이고, 대상 계정이 이 저장소를 상대로 명령을 실행할 수 있게 허용한다.

실제 동작 순서는 다음과 같다.

계정 B에서 docker login을 수행한다. 이때 인증 대상 URL로 이미지가 있는 계정 A를 참조해야 한다
인증 토큰을 받는다
대상 ECR 저장소에 맞는 이름으로 이미지를 푸시한다. pull도 같은 방식이다

권한 제어는 전부 repository policy에서 끝난다.

ECR 접근 실패의 원인

403 Forbidden 또는 No Basic Auth Credentials 오류가 나는 상황이다. ecr get-login-password로 docker login에 성공했는데도 이 오류가 뜰 수 있다. 원인은 세 갈래다.

다른 리전에 인증했다

docker login은 리전을 넘어서 통하지 않는다. 대상 저장소가 있는 리전에서 로그인을 새로 받아야 한다.

IAM 권한이 없다

로그인 자체는 정상적으로 발급되었지만 푸시나 풀에 필요한 IAM 권한이 빠진 경우다. 인증과 인가는 별개이므로 로그인 성공이 작업 성공을 보장하지 않는다.

토큰이 만료되었다

인증 토큰의 유효 기간은 12시간이다. 그 이후에는 다시 받아야 한다.

ECS의 Secret 주입

ECS는 민감 데이터를 컨테이너에 환경 변수로 주입할 수 있다. 값을 이미지나 태스크 정의 안에 평문으로 박아 두지 않고 실행 시점에 가져오게 만드는 구조다.

저장 위치

비밀 값은 SSM Parameter Store나 Secrets Manager에 안전하게 보관한다. 데이터베이스 비밀번호는 Secrets Manager에, API 키는 Parameter Store에 두는 식으로 나눠 쓸 수 있고, 둘 다 컨테이너 정의에서 참조된다.

주입 시점

컨테이너 정의에 참조를 적어 두면 ECS 태스크가 부팅될 때 해당 값을 가져와 환경 변수로 넣는다. 애플리케이션은 그 환경 변수로 RDS 데이터베이스에 접속하거나 외부 API를 호출한다.

필요한 권한

Secrets Manager나 Parameter Store 권한만으로는 부족하고, 값을 암호화한 KMS 키에 대한 권한도 함께 있어야 한다. 비밀 값은 암호화된 상태로 저장되어 있으므로 읽기 권한과 복호화 권한이 둘 다 성립해야 주입이 완료된다. 여기서 한쪽이 빠지면 태스크가 기동 단계에서 실패한다.

EKS의 로그 보존

Amazon EKS는 AWS에서 Kubernetes 클러스터를 관리하는 서비스다. 클러스터 안에서 벌어지는 일은 두 층위로 나눠 볼 수 있다. 컨테이너에 해당하는 pod에서 일어나는 일과, 그 아래 인프라에 해당하는 node에서 일어나는 일이다.

이벤트의 수명

EKS 안에서 발생한 이벤트의 TTL은 60분이고 변경할 수 없다. 60분이 지나면 사라진다. 그 이상의 기록을 남기려면 이벤트를 CloudWatch Logs로 보내야 한다. 보관을 별도로 구성하지 않은 클러스터는 한 시간 이전에 무슨 일이 있었는지 확인할 방법이 없다는 뜻이다.

CloudWatch Logs로 보낼 수 있는 것

EKS control plane 로그
pod 안에서 발생한 이벤트

control plane 로깅의 종류

control plane 로깅을 켜면 다음 로그를 받는다. 어떤 로그 타입을 CloudWatch Logs로 보낼지는 직접 선택한다.

audit 로그
diagnostic 로그
controller 로그

44. AWS RAM & Service Catalog : 안전한 교차 계정 공유와 표준화된 프로비저닝

jys275 — Fri, 14 Aug 2026 20:29:07 +0900

계정을 쪼갠 대가

조직은 보안 경계와 청구 분리를 위해 계정을 여러 개로 나눈다. 나누는 순간 두 가지 비용이 따라온다. 하나는 계정마다 같은 인프라를 다시 만들게 되는 중복이고, 다른 하나는 계정마다 리소스를 만드는 방식이 제각각이 되는 표준 붕괴다.

AWS RAM은 앞의 문제를, Service Catalog는 뒤의 문제를 다룬다. 하나는 이미 만들어 둔 것을 나눠 쓰게 하고, 다른 하나는 새로 만드는 것의 형태를 미리 정해 둔다.

AWS Resource Access Manager

소유한 AWS 리소스를 다른 계정과 공유하는 서비스다. 조직 내부 계정은 물론 조직 밖 계정과도 공유할 수 있다. 목적은 하나다. 리소스 중복을 없애는 것이다.

공유할 수 있는 리소스

콘솔에서 resource share를 만들 때 선택 가능한 항목들이다.

Aurora DB Cluster
Capacity Reservations
CodeBuild Projects
Dedicated Host
Image Builder
License Configurations
Resolver Rules
Resource Groups
Subnets
Traffic Mirror Targets
Transit Gateways

공유할 수 없는 것

Security Group
기본 VPC

목록이 길지만 실제로 의미가 큰 것은 VPC Subnet이다. 서브넷 공유가 네트워크 계층 전체를 계정 간에 하나로 묶어 주기 때문이다. 나머지는 특정 리소스 하나를 빌려 쓰는 수준에 그친다.

VPC Subnet 공유의 구조

서브넷 공유는 같은 organization 안에서만 가능하다. VPC를 소유한 계정이 서브넷을 공유하면, 참가 계정들은 그 서브넷 안에 자기 리소스를 배포한다.

여기서 소유권과 가시성이 갈린다. 참가 계정은 자기가 만든 리소스만 관리한다. 다른 참가 계정의 리소스도, VPC 소유자의 리소스도 조회하거나 수정하거나 삭제할 수 없다. 반대로 VPC 소유자 역시 참가 계정이 만든 EC2 인스턴스를 볼 수 없다.

공유되는 것은 VPC라는 네트워크 계층이지 VPC 안의 리소스가 아니다.

구체적인 배치

VPC 소유자 계정이 프라이빗 서브넷을 가진 VPC를 만들고, 계정 1과 계정 2가 이 VPC를 함께 쓴다고 하자.

계정 1은 EC2 인스턴스와 Application Load Balancer를 배포한다
계정 2는 자기 EC2 인스턴스를 배포한다
VPC 소유자 계정은 RDS 데이터베이스를 배포한다

세 계정의 리소스가 같은 서브넷 안에 놓이지만 서로의 콘솔에는 나타나지 않는다. 공유된 것은 주소 공간과 라우팅뿐이다.

프라이빗 IP 통신이 만들어 내는 이득

같은 VPC 안에 있으므로 계정이 달라도 리소스끼리 프라이빗 IP로 통신한다. 계정이 분리되어 있다는 이유만으로 공인 IP를 거쳐 서로를 호출하던 구조가 사라진다. 트래픽이 인터넷으로 나갔다 들어올 필요가 없으니 보안 이득이 크다.

Security Group 참조

여기서 한 단계 더 조일 수 있다. VPC 소유자 계정의 RDS security group이 계정 1의 EC2 security group을 인바운드로 허용하면, 계정 1의 EC2는 RDS에 접근할 수 있다. 같은 방식으로 계정 1의 ALB security group을 허용해 두면 계정 2의 EC2가 프라이빗 IP나 프라이빗 DNS로 ALB에 직접 접근한다.

Security Group 자체는 RAM으로 공유할 수 없지만, 공유된 VPC 안에서는 다른 계정의 security group을 규칙에서 참조할 수 있다. 공유 대상 목록과 참조 가능 여부는 다른 얘기다. 이 덕분에 CIDR 범위를 넓게 열어 두는 대신 계정을 넘어 security group 단위로 접근을 제어할 수 있다.

공유 절차

콘솔의 RAM은 공유 방향에 따라 화면이 나뉜다. 내가 공유한 것과 나에게 공유된 것을 따로 본다.

resource share를 만들고 이름을 붙인다
공유할 리소스 유형과 대상 리소스를 고른다
principal을 지정한다. 계정 번호, OU, organization 단위로 줄 수 있고 비워 둘 수도 있다
태그를 붙이고 생성한다
공유받는 계정이 resource share를 수락한다

공유받는 쪽이 수락해야 사용이 시작된다. 소유자가 일방적으로 밀어 넣는 구조가 아니다.

AWS Service Catalog가 해결하는 문제

AWS를 처음 쓰는 사용자에게는 선택지가 너무 많다. 아무 제약 없이 원하는 것을 만들게 두면 그 결과물이 조직의 나머지와 어긋난다. 태그가 빠지고, 암호화가 꺼져 있고, 네트워크 배치가 제각각인 리소스가 쌓인다.

반대로 모든 생성 요청을 관리자가 대신 처리하면 병목이 생긴다. 필요한 것은 사용자가 스스로 만들되 만들 수 있는 것의 형태는 미리 정해져 있는 구조다. Service Catalog는 관리자가 승인한 제품 목록만 보여 주는 셀프서비스 포털을 제공해 이 지점을 메운다.

Product와 Portfolio

Product

관리자가 만드는 단위다. product의 실체는 파라미터가 적절히 설정된 CloudFormation 템플릿이다. 가상 머신, 데이터베이스, 스토리지 같은 것들이 product가 된다.

Portfolio

product를 묶은 모음이다. 접근 권한은 portfolio 단위로 정의한다. 누가 어떤 product를 실행할 수 있는지가 여기서 결정된다.

사용자가 보는 화면

포털에 로그인하면 자기 권한으로 실행 가능한 product 목록이 나온다. 실행하면 CloudFormation이 자동으로 프로비저닝한다.

사용자는 RDS를 제대로 만드는 법을 몰라도 된다. 관리자가 만든 RDS product를 실행하기만 하면 구성과 태깅이 조직 기준에 맞은 상태로 배포된다. 표준 준수의 책임이 사용자에게서 템플릿으로 옮겨 간다는 것이 핵심이다.

두 서비스가 겹치는 지점

RAM과 Service Catalog는 다루는 대상이 반대다. RAM은 이미 존재하는 리소스를 여러 계정이 나눠 쓰게 만들고, Service Catalog는 앞으로 생길 리소스가 어떤 모양이어야 하는지를 고정한다.

그럼에도 통제 방식은 같은 형태다. 중앙에서 무엇을 쓸 수 있는지 정의하고, 대상을 계정이나 사용자 단위로 지정하고, 나머지는 각자 알아서 쓰게 둔다. 계정을 잘게 나눈 조직이 중복과 무질서를 동시에 피하려면 두 축이 모두 필요하다.

43. CloudFormation 보안 : Service Role, Stack Policy, Drift, CloudFormation Guard

jys275 — Fri, 14 Aug 2026 20:28:58 +0900

CloudFormation을 보안 관점에서 본다는 것

CloudFormation은 템플릿을 받아 인프라를 만든다. 이 구조에서 보안 문제는 네 방향에서 생긴다. 누구의 권한으로 리소스가 만들어지는가, 만들어진 리소스가 실수로 바뀌거나 지워지지 않는가, 템플릿 안에 비밀값이 평문으로 박히지 않는가, 그리고 배포 이후에 누군가 손으로 설정을 바꿔 놓지 않았는가.

Service Role, Stack Policy와 Termination Protection, Dynamic References, Drift와 CloudFormation Guard는 각각 이 네 방향에 대응한다. 개별 기능으로 외우면 흩어지지만 이 축에 걸어 두면 어떤 상황에 무엇을 꺼내야 하는지가 정해진다.

Service Role : 권한을 사용자에게서 떼어내기

기본 동작은 단순하다. 사용자가 스택을 생성하면 CloudFormation은 그 사용자의 권한으로 리소스를 만든다. 스택이 S3 버킷과 EC2 인스턴스를 만든다면 사용자가 그 둘을 직접 만들 권한을 가지고 있어야 한다는 뜻이다.

여기서 최소 권한 원칙이 무너진다. 스택을 배포해야 한다는 이유만으로 사용자에게 리소스를 직접 다룰 권한을 전부 쥐여 주게 되고, 그 권한은 CloudFormation 밖에서도 그대로 쓸 수 있다.

Service Role은 이 연결을 끊는다. CloudFormation 전용으로 만든 IAM 역할이며, CloudFormation이 이 역할을 맡아 사용자를 대신해 스택 리소스를 생성하고 업데이트하고 삭제한다.

권한이 나뉘는 방식

사용자 : CloudFormation에 대한 작업 권한과 iam:PassRole
Service Role : 실제 리소스에 대한 권한. S3 버킷을 만드는 스택이라면 S3 관련 권한을 가진다

사용자는 리소스 권한을 하나도 갖지 않고도 스택을 배포할 수 있다. 대신 그 권한은 CloudFormation을 통해서만 행사되고, 어떤 리소스까지 허용할지는 Service Role의 정책이 결정한다.

사용자에게 iam:PassRole 권한이 없으면 이 구조는 성립하지 않는다. AWS에서 특정 서비스에 역할을 넘기려면 반드시 필요한 권한이기 때문이다.

콘솔에서의 위치

스택 생성 화면의 Permissions 항목에 IAM role을 지정하는 자리가 있다. 선택 사항이며 비워 두면 사용자 본인의 권한이 쓰인다. 지정하면 그 역할이 모든 스택 작업에 사용된다.

여기서 자주 걸리는 함정이 하나 있다. S3 권한만 가진 역할을 지정한 채 EC2 인스턴스를 만드는 템플릿을 배포하면 스택은 실패한다. 사용자가 EC2 권한을 가지고 있어도 마찬가지다. 역할을 지정한 순간부터 사용자 본인의 권한은 리소스 생성에 전혀 사용되지 않는다.

Stack Policy : 업데이트로부터 리소스 보호

스택 업데이트에서 기본값은 전면 허용이다. 모든 리소스에 대해 모든 작업이 가능하므로 템플릿을 고치는 대로 스택이 바뀐다. 편리하지만 운영 데이터베이스처럼 건드리면 안 되는 리소스가 섞여 있을 때는 위험하다.

Stack Policy는 JSON 문서이며, 스택 업데이트 중에 어떤 리소스에 어떤 업데이트 작업이 허용되는지를 정의한다.

전형적인 구성

모든 리소스에 대해 Update:* 를 Allow 한다
보호할 리소스 하나를 지목해 Update:* 를 Deny 한다

이렇게 하면 이름이 Production Database인 리소스만 어떤 업데이트도 받지 않고, 나머지는 평소처럼 갱신된다.

Stack Policy를 설정하는 순간 모든 리소스가 기본적으로 보호 상태가 된다. 그래서 위 예시의 첫 번째 문장이 필수다. 업데이트를 허용하고 싶은 리소스에는 명시적인 Allow를 써 줘야 한다. 정책을 붙이지 않은 스택은 전면 허용이고, 붙인 스택은 전면 거부에서 출발한다는 점이 역전되어 있어 헷갈리기 쉽다.

Termination Protection : 삭제로부터 스택 보호

Stack Policy가 업데이트를 막는다면 Termination Protection은 삭제를 막는다. 스택 단위로 켜고 끄는 설정이며, 켜져 있는 동안에는 스택 삭제 자체가 불가능하다.

삭제를 시도하면 Termination Protection이 활성화되어 있으니 먼저 해제하라는 메시지가 나온다. 해제한 뒤에야 삭제할 수 있다.

이것은 권한 통제가 아니라 실수 방지 장치다. Termination Protection을 편집할 권한이 있는 사람은 언제든 끄고 지울 수 있다. 실제로 막고 싶다면 해당 설정을 변경할 권한 자체를 IAM에서 제한해야 한다.

Dynamic References : 템플릿에서 비밀값 빼내기

템플릿은 파일이다. 저장소에 커밋되고 여러 사람이 읽는다. 데이터베이스 자격 증명이나 서드파티 API 키를 템플릿에 직접 적으면 그 순간부터 비밀이 아니다.

Dynamic References는 템플릿 안에서 SSM Parameter Store나 Secrets Manager에 저장된 외부 값을 참조하는 방법이다. CloudFormation이 스택 생성과 업데이트 작업 중에 값을 가져오므로, 템플릿에는 값이 아니라 참조만 남는다.

세 가지 참조 유형

ssm : SSM Parameter Store에 저장된 평문 값
ssm-secure : SSM Parameter Store에 저장된 Secure String
secretsmanager : Secrets Manager에 저장된 시크릿 값

앞의 두 가지는 같은 Parameter Store를 가리키지만 평문과 Secure String으로 대상이 갈린다. 서로 바꿔 쓸 수 없다.

작성 형태

resolve, 서비스 이름, 참조 키를 순서대로 조합한다. IAM 사용자의 비밀번호를 ssm-secure로 가져오면 암호화된 값이 런타임에 조회되어 사용자 생성에 쓰이고, RDS 인스턴스의 자격 증명은 secretsmanager로 가져와 데이터베이스 생성에 쓰인다.

Drift : 배포 이후에 벌어지는 일

CloudFormation은 인프라를 만들어 주지만, 만들어진 리소스를 사람이 콘솔에서 손으로 고치는 것까지 막지는 않는다. 템플릿은 그대로인데 실제 리소스는 달라져 있는 상태가 생긴다. 이 상태를 드리프트라고 부르며, 드리프트되었다는 말은 변경되었다는 말과 같다.

Drift detection은 실제 리소스 구성을 템플릿이 기대하는 구성과 비교해 차이를 보여 준다. CloudFormation 바깥에서 이루어진 관리되지 않는 변경을 찾아내는 것이 목적이다.

탐지 범위

스택 전체
스택 안의 개별 리소스
StackSets

StackSets에서의 전파

StackSet에 드리프트 탐지를 실행하면 안에 있는 모든 스택 인스턴스에 적용된다. 리소스가 드리프트되면 그 스택이 드리프트된 것으로 간주되고, 해당 스택 인스턴스와 StackSet까지 드리프트 상태로 표시된다. 경고가 리소스, 스택, 스택 인스턴스, StackSet의 각 계층에 모두 나타나는 구조다. 필요하면 StackSet에 대한 드리프트 탐지를 중지할 수도 있다.

다만 변경이 CloudFormation을 통해 이루어졌다면, StackSet 레벨이 아닌 스택 인스턴스 레벨에서 했더라도 드리프트로 보지 않는다. 판단 기준이 결과의 차이가 아니라 변경 경로라는 뜻이다. 물론 StackSets 밖에서 스택 인스턴스를 업데이트하는 것 자체는 권장되지 않는다.

탐지 결과 읽기

Stack actions에서 Detect drift를 실행하고 View drift results로 결과를 본다. 드리프트된 리소스마다 View drift details를 열면 기대되는 구성과 실제 구성이 나란히 나온다. 보안 그룹이라면 CIDR 값이 일치하지 않는다거나 규칙이 하나 추가되었다는 식으로 항목별 차이가 표시된다.

탐지 이후의 선택

실제 구성이 의도한 변경이라면 템플릿을 실제에 맞춰 수정한다
의도하지 않은 변경이라면 스택을 원래 구성으로 되돌린다

어느 쪽을 고를지는 누가 왜 바꿨는지를 알아야 정해진다. CloudTrail에서 해당 리소스를 변경한 주체와 시각을 확인하면 근본 원인이 드러난다. Drift가 차이를 알려 주고 CloudTrail이 경위를 알려 주는 조합이다.

드리프트 탐지는 자동으로 돌지 않는다. 실행한 시점의 상태를 비교할 뿐이므로 주기적으로 돌려야 의미가 있다.

CloudFormation Guard : 배포 전에 정책을 검사

Drift가 배포 이후를 본다면 CloudFormation Guard는 배포 이전을 본다. cfn-guard는 CloudFormation 템플릿을 조직의 정책 가이드라인에 맞는지 검증하는 CLI 도구다.

CloudFormation으로 만드는 모든 S3 버킷은 암호화되어야 한다는 식의 규칙을 정의해 두고, 이를 어긴 템플릿이 배포되기 전에 걸러낸다.

동작 방식

도메인 특화 언어로 규칙 파일을 작성한다. 예를 들어 rules.guard 파일에 S3 버킷의 암호화 설정 속성이 AES256이어야 한다고 적고, 아니면 알고리즘이 올바르게 구성되지 않았다는 실패 메시지를 낸다
CLI 도구로 template.yaml을 이 규칙에 대해 검증한다
통과하면 배포로 넘어가고, 실패하면 CI/CD 파이프라인에서 처리한다

cfn-guard는 템플릿의 문법을 검사하는 도구가 아니다. 문법이 완벽하게 맞는 템플릿도 정의한 규칙을 어기면 실패한다. 검사 대상은 템플릿이 문법에 맞는지가 아니라 조직이 정한 규칙을 지키는지다.

기능들이 놓이는 자리

같은 CloudFormation 보안이라도 개입하는 시점이 다르다.

배포 전 : CloudFormation Guard가 템플릿이 정책을 지키는지 검증한다
배포 시점 : Service Role이 어떤 권한으로 리소스를 만들지 결정하고, Dynamic References가 비밀값을 외부에서 가져온다
배포 이후의 변경 : Stack Policy가 업데이트를, Termination Protection이 삭제를 막는다
배포 이후의 감시 : Drift detection이 CloudFormation 밖에서 벌어진 변경을 찾아낸다

Stack Policy와 Drift가 특히 헷갈리기 쉬운데, 통제 대상이 다르다. Stack Policy는 CloudFormation을 통한 업데이트를 제한하고, Drift는 CloudFormation을 거치지 않은 변경을 탐지한다. Stack Policy로 막아 둔 리소스도 콘솔에서 직접 고치면 그대로 바뀌며, 그것을 알아채는 수단이 Drift다.

42. Audit Manager & AWS Artifact : 감사 증적 수집과 규정 준수 산출물

jys275 — Fri, 14 Aug 2026 20:28:47 +0900

감사가 요구하는 두 종류의 증거

외부 감사를 받을 때 제출해야 하는 것은 성격이 다른 두 가지다. 하나는 AWS 인프라 자체가 해당 표준을 충족한다는 증명이고, 다른 하나는 그 위에 올린 워크로드가 표준을 충족한다는 증명이다. 책임 공유 모델의 경계가 그대로 감사 산출물의 경계가 된다.

앞쪽은 고객이 만들 수 없다. 데이터 센터의 물리 보안이나 AWS의 내부 통제를 고객이 직접 점검할 방법이 없기 때문에, AWS가 제3자 감사를 받고 그 결과를 문서로 배포한다. 뒤쪽은 반대로 AWS가 만들어 줄 수 없다. 어떤 리소스를 어떻게 구성했는지는 계정마다 다르다.

AWS Artifact가 앞쪽을 담당하고 Audit Manager가 뒤쪽을 담당한다. 이름이 비슷해 보이지만 하나는 이미 만들어진 문서를 내려받는 창구이고, 다른 하나는 내 계정 상태를 근거로 보고서를 새로 만들어 내는 도구다.

Audit Manager가 하는 일

AWS 워크로드의 리스크와 규정 준수 상태를 평가하는 서비스다. IT 서비스 사용 내역을 지속적으로 감사하면서 감사 대응에 필요한 자료를 준비해 둔다.

핵심은 판정이 아니라 증거 수집이다. Config가 리소스 구성이 규칙을 어겼는지 판정하는 도구라면, Audit Manager는 그 판정 결과를 비롯한 여러 신호를 감사 프레임워크의 통제 항목에 매핑해 보고서로 묶는다. 감사에서 실제로 시간을 잡아먹는 작업은 위반을 찾는 일이 아니라 각 통제 항목마다 그것을 지키고 있다는 근거를 찾아 붙이는 일이고, 이 부분을 자동화한다.

내장 프레임워크

주요 규정과 벤치마크가 미리 만들어져 들어 있다.

CIS AWS Foundations Benchmark v1.2, v1.3
CIS Controls 7.1
GDPR
HIPAA
PCI DSS 4.0

기존 프레임워크를 필요에 맞게 커스터마이즈할 수 있고, 아예 직접 프레임워크를 만들 수도 있다. 이런 규정이나 벤치마크 이름이 요구사항에 등장하면 Audit Manager를 떠올린다.

평가가 진행되는 순서

프레임워크를 선택한다
평가 범위를 정의한다
Audit Manager가 자동 증거 수집을 수행해 프레임워크 준수 여부를 확인한다
통제 항목을 검토하거나, 검증을 리소스 소유자에게 위임한다
미준수가 나오면 데이터를 필터링하고 그룹화해 원인을 파고든다
증거로 연결되는 링크가 포함된 보고서를 생성한다

4단계의 위임이 이 흐름에서 실무적으로 중요하다. 통제 항목의 판단 근거를 가장 잘 아는 사람은 해당 리소스를 운영하는 팀이고, 감사 담당자가 모든 항목을 혼자 판단하려 들면 병목이 생긴다.

증거는 어디서 오는가

자동으로 수집되는 소스

CloudTrail
Config
Security Hub
License Manager

수동 업로드

여러 데이터 소스가 자동으로 들어오지만, 그것만으로 평가가 끝나지 않는다. 정책 문서, 교육 이수 기록, 스크린샷, 아키텍처 다이어그램 같은 자료를 직접 올릴 수 있고 사실상 어떤 형태의 PDF든 증거로 붙일 수 있다.

수동 업로드가 필요한 이유는 통제 항목 상당수가 AWS API로 증명되지 않는 사실이기 때문이다. 직원이 보안 교육을 받았는지, 문서화된 정책이 존재하는지는 클라우드 밖에서 벌어지는 일이라 어떤 서비스도 대신 수집할 수 없다. 그래서 프레임워크의 통제 항목은 자동 통제와 수동 통제로 나뉜다.

Evidence Finder

쌓인 증거를 검색하는 기능이다. 감사관이 특정 항목의 근거를 요구할 때 전체 보고서를 뒤지지 않고 바로 찾아낸다.

통합과 다중 계정 운영

Security Hub, Config, Control Tower, CloudTrail, License Manager와 깊이 통합되어 있다. 이 서비스들이 이미 켜져 있다면 별도의 수집 파이프라인을 구성하지 않아도 증거가 들어온다.

AWS Organizations와의 연동으로 여러 계정에 걸쳐 평가를 실행할 수 있다. 규정 준수는 보통 조직 단위로 요구되므로 계정별로 따로 평가한 결과를 사람이 합치는 방식은 성립하지 않는다.

평가 결과의 형태

프레임워크를 열었을 때

자동 통제와 수동 통제가 각각 몇 개인지
control set이 몇 개인지
통제 항목과 그 통제의 소스가 무엇인지
각 통제의 데이터 소스가 수동인지 특정 AWS 서비스인지

평가를 실행한 뒤

보고서 상세가 만들어지고 수집된 증거 포인트가 몇 개인지 표시된다. 모든 데이터는 Amazon S3에 저장된다.

AWS Artifact

엄밀히 말하면 서비스가 아니라 포털이다. AWS의 규정 준수 문서와 계약서를 온디맨드로 받아 가는 창구이며 글로벌 서비스로 제공된다.

Reports

AWS가 제3자에게 받은 보안 및 규정 준수 문서를 내려받는다.

AWS ISO 인증서
PCI 리포트
SOC 리포트

다운로드할 때 NDA에 동의하는 절차를 거친다. 이 문서들은 AWS의 내부 통제 내용을 담고 있어 조건 없이 배포되지 않는다.

Agreements

AWS와 체결하는 계약서를 확인하고 수락한다. 대표적인 것이 Business Associate Addendum, 즉 BAA 문서다. 계약은 계정 단위 계약과 조직 단위 계약으로 나뉘어 표시된다.

쓰는 상황

내부 감사를 받거나 IT 부서의 규정 준수 상태를 증명해야 할 때 필요한 문서를 여기서 가져온다.

두 서비스를 혼동하지 않는 기준

Artifact에서 받는 문서는 내용이 고정되어 있다. 어느 고객이 받아도 같은 파일이고, 내 계정을 어떻게 구성했든 달라지지 않는다. AWS가 자기 인프라를 감사받은 결과이기 때문이다.

Audit Manager가 만드는 보고서는 계정마다 다르다. 내 리소스에서 수집한 증거로 채워지므로 구성을 바꾸면 결과도 바뀐다. 문서를 다운로드하는 요구라면 Artifact, 내 환경의 준수 여부를 증명하는 요구라면 Audit Manager다.

AWS Acceptable Use Policy

AWS 서비스 사용 전반을 규율하는 정책이다. 계정으로 할 수 없는 행위가 정해져 있다.

불법 행위나 사기 행위
타인의 권리 침해
협박, 테러, 폭력, 심각한 위해를 가하는 행위
아동 성 착취물의 호스팅
DDoS처럼 다른 네트워크와 컴퓨터의 보안, 무결성, 가용성을 침해하는 행위
스팸 서버 운영처럼 원치 않는 대량 이메일을 배포하거나 이를 돕는 행위

위반이 탐지되면 AWS가 해당 콘텐츠를 제거하거나 비활성화한다. 침투 테스트 정책이 사전 승인 범위를 정하는 규칙이라면, 이쪽은 클라우드 자원을 공격 수단으로 쓰는 것 자체를 막는 규칙이다.

41. Config 규정 준수 자동화 : 자동 교정, Conformance Pack, Organizational Rules

jys275 — Fri, 14 Aug 2026 20:28:38 +0900

Config가 보는 것은 상태다

CloudTrail이 누가 무엇을 호출했는지를 기록한다면, AWS Config는 그 호출의 결과로 리소스가 지금 어떤 모습인지를 기록한다. 보안 그룹의 인바운드 규칙, 버킷의 퍼블릭 액세스 설정, ALB의 구성 값 같은 것들이 시간축을 따라 저장된다.

여기에 규칙을 얹으면 감사가 된다. 기록된 구성이 정해 둔 기준에 맞는지 평가하고, 맞지 않으면 해당 리소스를 non-compliant로 표시한다. 이런 질문들이 규칙으로 표현된다.

보안 그룹에 제한 없는 SSH 접근이 열려 있는가
퍼블릭 액세스가 허용된 버킷이 있는가
ALB 구성이 시간이 지나면서 바뀌었는가

구성 기록은 S3에 저장해 두고 Athena 같은 쿼리 엔진으로 나중에 분석할 수 있다.

막는 서비스가 아니다

Config Rules는 규정 준수를 위한 것이지 행동을 차단하지 않는다. 규칙을 어기는 리소스가 만들어져도 생성 자체는 성공한다. Config는 그것을 non-compliant로 표시할 뿐이다.

이 성질 때문에 Config는 IAM이나 SCP를 대체하지 못한다. IAM과 SCP는 요청 시점에 거부하는 예방형 통제이고, Config는 만들어진 뒤에 발견하는 탐지형 통제다. 두 계층은 서로를 대신하는 관계가 아니라 겹쳐 쌓는 관계다. 예방으로 막지 못한 것을 탐지가 잡고, 탐지된 것을 뒤에서 볼 자동 교정이 되돌린다.

규칙의 종류와 평가 시점

규칙의 출처

AWS 관리형 규칙 : 미리 정의된 규칙이 75개 이상 제공된다
커스텀 규칙 : Lambda 함수로 평가 로직을 직접 정의한다

커스텀 규칙으로는 모든 EBS 디스크가 gp2 타입인지, 개발 계정의 EC2 인스턴스가 t2.micro인지 같은 조직 고유의 기준을 검사한다.

평가 시점

구성이 변경될 때마다 평가한다. EBS 디스크 구성이 바뀌면 그때 타입을 검사하는 식이다
일정 주기마다 평가한다. 두 시간마다 모든 EBS 디스크의 타입을 확인하는 식이다

변경 기반은 반응이 빠르고, 주기 기반은 변경 이벤트를 남기지 않는 상태나 시간이 지나면서 조건이 달라지는 항목에 맞는다. 액세스 키가 90일을 넘겼는지 같은 검사는 아무 변경도 일어나지 않은 채로 조건이 성립하므로 주기 평가여야 한다.

대표적인 용례

IAM 정책을 감사해 과도한 권한이 부여되지 않았는지 확인한다
CloudTrail이 비활성화되었는지 탐지한다
승인되지 않은 AMI로 EC2 인스턴스가 생성되었는지 탐지한다
보안 그룹이 퍼블릭으로 열려 있는지 탐지한다
비공개로 유지되어야 할 VPC에 Internet Gateway가 붙었는지 탐지한다
EBS 볼륨이 암호화되어 있는지 확인한다
RDS 데이터베이스가 퍼블릭으로 노출되었는지 확인한다

리소스 하나를 들여다볼 때

Config에서 리소스를 선택하면 두 개의 타임라인을 볼 수 있다. 하나는 규정 준수 이력이고, 다른 하나는 구성 변경 이력이다. 특정 보안 그룹이 언제부터 non-compliant가 되었는지, 그 시점에 어떤 구성 값이 바뀌었는지가 나란히 드러난다.

여기에 CloudTrail을 연결하면 그 리소스에 대해 이루어진 API 호출까지 이어서 볼 수 있다. 무엇이 바뀌었는지는 Config가, 누가 바꿨는지는 CloudTrail이 알려주는 구조다. 두 서비스를 붙여야 사건의 전체 그림이 완성된다.

자동 교정

Config 자체는 행동을 막지 못하지만, non-compliant가 된 리소스를 원래 상태로 되돌릴 수는 있다. 교정 수단은 SSM Automation Document다. 규칙에 교정 액션을 연결해 두면 리소스가 non-compliant로 판정되는 순간 해당 문서가 실행된다.

문서를 얻는 방법

AWS 관리형 문서를 그대로 사용한다
직접 Automation Document를 만든다
Lambda 함수를 호출하는 문서를 만들어 임의의 로직을 실행한다

관리형 문서 예시

RevokeUnusedIAMUserCredentials : 90일이 지난 IAM 액세스 키를 비활성화한다
AWS-DisableIncomingSSHOnPort22 : 보안 그룹에서 22번 포트의 인바운드를 닫는다
AWS-ConfigureS3BucketLogging : 버킷에 로깅을 활성화한다

재시도

교정이 실행된 뒤에도 리소스가 여전히 non-compliant라면 재시도하도록 설정할 수 있다. 최대 다섯 번까지 다시 시도하는 식이다.

교정이 도는 흐름

EC2 인스턴스에 22번 포트가 열린 보안 그룹이 붙어 있다
Config 규칙이 이를 평가해 보안 그룹을 non-compliant로 표시한다
규칙에 연결된 AWS-DisableIncomingSSHOnPort22가 실행된다
보안 그룹에서 해당 포트가 닫히고 리소스가 compliant로 돌아온다

추가 구성 요소 없이 Config 안에서 완결되는 것이 이 방식의 장점이다.

알림 경로 두 가지

EventBridge

리소스가 non-compliant가 되면 이벤트가 발생하고, 이후 경로는 자유롭게 설계한다. Lambda를 호출해 실제 조치를 하거나 SNS로 알림을 보내는 식이다.

SNS 직접 전송

Config가 구성 변경과 규정 준수 알림을 SNS 토픽으로 바로 보낸다. 모든 구성 항목이 그대로 흘러나오기 때문에 양이 많아지고, 필요한 것만 받으려면 SNS 필터링을 걸어야 한다. 걸러진 알림을 관리자 이메일이나 Slack 채널로 보내면 한 곳에서 확인할 수 있다.

만료된 액세스 키를 다루는 흐름

Access-Keys-Rotated 규칙이 키의 교체 주기를 평가한다
기준을 넘긴 키가 있으면 non-compliant로 표시되고 EventBridge로 이벤트가 넘어간다
Lambda가 키를 교체하거나, SNS가 사용자에게 알린다

같은 목적을 SSM Automation 교정으로도 처리할 수 있다. 정해진 조치를 그대로 실행하면 되는 상황이라면 교정 액션이 간단하고, 조건 분기나 외부 시스템 연동이 필요하면 EventBridge와 Lambda 쪽이 맞는다.

리전 경계와 Aggregator

Config는 리전별 서비스다. 사용하는 모든 리전에서 각각 구성해야 하고, 한 리전에서 켜 두었다고 다른 리전이 감사되지는 않는다.

그래서 계정과 리전이 늘어나면 규정 준수 상태가 흩어진다. 이것을 한곳에서 보기 위한 장치가 Aggregator다.

구성 방식

Config가 배포되어 데이터를 내보내는 쪽이 source account다
데이터를 모으는 중앙 계정이 aggregator account이며, Aggregator는 이 계정에만 생성한다
Aggregator에서 여러 계정과 여러 리전의 compliant 및 non-compliant 리소스를 한 화면으로 본다

권한 부여

Organizations를 사용한다면 관리 계정에 Aggregator를 만드는 것으로 끝난다. 개별 계정에서 따로 권한을 부여할 필요가 없다. Organizations를 쓰지 않는다면 각 소스 계정에서 Aggregator가 데이터를 수집하도록 승인을 하나씩 만들어 주어야 한다.

Aggregator가 하지 않는 일

규칙 관리는 여전히 개별 계정 단위다. Aggregator는 데이터를 모아서 보여줄 뿐 규칙을 중앙에서 배포하지 않는다. 여러 계정과 리전에 같은 규칙을 깔고 싶다면 CloudFormation StackSets를 쓰거나, 아래의 Conformance Pack과 Organizational Rules를 쓴다.

Conformance Packs

Config 규칙과 교정 액션을 하나로 묶은 꾸러미다. 계정과 리전 하나에 배포할 수도 있고, Organizations를 통해 여러 계정에 한 번에 배포할 수도 있다.

구성

AWS가 제공하는 샘플 팩을 그대로 쓰거나 직접 팩을 만든다
커스텀 Config 규칙도 팩에 포함할 수 있다
팩 안의 각 규칙에는 소유자가 있어 AWS 제공 규칙인지 직접 만든 규칙인지 구분된다

위임 관리자

멤버 계정 하나를 위임 관리자로 지정해 조직 전체에 Conformance Pack을 배포할 수 있다. 배포 주체가 Organizations 관리 계정일 필요가 없다.

Organizational Rules

조직 안의 모든 계정에 걸쳐 관리하는 규칙이다. 관리 계정이나 위임 관리자에서 규칙을 정의하면 모든 멤버 계정으로 배포된다.

Conformance Pack과의 차이

둘 다 중앙에서 규칙을 정의해 여러 멤버 계정으로 내려보낸다는 점이 같아 헷갈리기 쉽다. 갈리는 지점은 세 가지다.

적용 범위 : Organizational Rules는 조직에만 적용되고, Conformance Pack은 조직뿐 아니라 개별 계정 여러 개를 대상으로도 배포된다
한 번에 배포하는 단위 : Organizational Rules는 규칙 하나씩이고, Conformance Pack은 여러 규칙과 Lambda 함수, 교정 액션을 한 묶음으로 배포한다
정의와 관리 위치 : Organizational Rules는 조직 수준에서 정의하고 조직 계정에서만 관리한다

규정 준수 결과를 확인하는 곳은 양쪽 모두 각 계정이다. 규칙은 위에서 내려오지만 compliant인지 아닌지는 리소스가 실제로 존재하는 계정에서 판정된다.

비용 구조

Config에는 프리 티어가 없고, 두 가지가 각각 리전 단위로 과금된다.

기록된 구성 항목당 요금
규칙 평가 횟수당 요금

단가는 작지만 기록 대상 리소스와 규칙이 늘어나면 빠르게 커진다. 특히 구성 변경이 잦은 리소스를 전부 기록 대상에 넣으면 항목 수가 그대로 비용이 된다. 기록할 리소스 타입을 좁히고 평가 주기를 필요한 만큼만 잡는 것이 실질적인 통제 수단이다.

40. 인스턴스 & DB 데이터 보호 : RDS/Aurora 보안, Nitro Enclaves, EBS 볼륨 폐기

jys275 — Fri, 14 Aug 2026 20:28:28 +0900

RDS와 Aurora의 보안 계층

관리형 데이터베이스는 OS에 손을 댈 수 없다. 그래서 보안 통제가 데이터베이스 안이 아니라 AWS가 제공하는 계층에 얹힌다. 저장 데이터는 KMS, 전송 구간은 TLS, 인증은 IAM, 네트워크 접근은 Security Group, 감사 흔적은 CloudWatch Logs가 담당한다.

저장 데이터 암호화

KMS로 데이터베이스 마스터와 복제본을 암호화한다. 여기에 제약이 두 가지 붙는다.

암호화 여부는 데이터베이스를 시작하는 시점에 정해야 한다.
마스터가 암호화되어 있지 않으면 읽기 전용 복제본도 암호화할 수 없다

이미 암호화 없이 만들어 둔 데이터베이스를 암호화하려면 스냅샷을 만든 뒤 암호화된 데이터베이스로 복원해야 한다.

전송 중 암호화

데이터베이스는 기본적으로 TLS를 지원한다. 클라이언트가 TLS 포트로 접속하면서 AWS가 제공하는 TLS 루트 인증서를 사용하면 연결이 성립한다. 서버 측에서 따로 켤 것은 없고 접속하는 쪽이 맞춰 주면 된다.

네트워크 접근과 OS 접근

네트워크 관점의 접근 제어는 Security Group이 담당한다. RDS 데이터베이스에는 SSH로 접속할 수 없다. 예외는 RDS Custom으로, 이 경우에만 데이터베이스가 올라간 OS에 접근할 수 있다.

감사 로그

데이터베이스의 감사 로그를 CloudWatch Logs로 보내면 더 오래 보관할 수 있다.

IAM 인증으로 비밀번호를 없애기

데이터베이스 사용자 이름과 비밀번호는 어딘가에 저장되어야 하고, 저장되는 순간 유출 경로가 된다. IAM 인증은 이 영구 자격 증명 자체를 없애는 방식이다. MariaDB, MySQL, PostgreSQL에서 사용할 수 있다.

비밀번호 대신 IAM과 RDS API 호출로 인증 토큰을 발급받아 접속한다. 토큰의 수명은 15분이지만 이는 인증 시점에만 적용되고, 한번 연결이 맺어지면 그 연결은 유지된다.

EC2에서 접속하는 흐름

EC2 인스턴스에 IAM 역할을 연결한다
RDS 서비스에 API를 호출해 인증 토큰을 받는다
SSL로 맺은 보안 연결 위로 이 토큰을 전달한다
데이터베이스에 접속된다

이 방식이 주는 것

드나드는 네트워크 트래픽이 SSL로 암호화된다
데이터베이스 안에서 사용자를 만들고 관리하는 대신 IAM에서 중앙 관리한다
IAM 역할과 EC2 인스턴스를 그대로 활용하므로 자격 증명을 배포할 필요가 없다

암호화되지 않은 Aurora 스냅샷을 암호화하기

데이터베이스가 암호화되어 있으면 인스턴스, 스냅샷, 로그, 백업이 모두 함께 암호화된다. 문제는 그 반대의 경우다.

암호화되지 않은 클러스터에서 암호화된 스냅샷을 만들 수 없고, 암호화되지 않은 스냅샷을 복사하면서 암호화할 수도 없다. 암호화 속성은 스냅샷을 뜨거나 복사하는 단계가 아니라 데이터베이스 클러스터 자체에 붙기 때문이다.

유일한 경로는 복원을 거치는 것이다.

암호화되지 않은 스냅샷을 암호화된 데이터베이스 클러스터로 복원한다
이 클러스터에서 스냅샷을 만든다. 이 스냅샷은 암호화되어 있다

Redshift의 권한 계층

Redshift는 데이터베이스 내부에 자체 권한 체계를 가진다. 위에서 아래로 다음과 같이 구성된다.

Superuser

모든 데이터베이스에 대해 소유자와 동일한 권한을 가진다. 클러스터를 시작할 때 자동으로 만들어지는 admin 사용자가 여기에 해당한다. 새로운 superuser를 만들려면 자신이 superuser여야 한다.

User

superuser만 생성하고 삭제할 수 있다. 데이터베이스와 테이블 같은 객체를 소유할 수 있고, 자신이 가진 권한을 다른 사용자나 그룹, 스키마에 부여할 수도 있다. 권한을 받는 경로는 두 가지다. 계정에 직접 할당되는 명시적 부여, 그리고 권한을 가진 그룹의 구성원이 되어 얻는 암묵적 부여다.

Group

사용자를 묶어 권한을 한꺼번에 할당하는 단위다. 사용자 하나하나에 권한을 붙이는 대신 그룹 단위로 관리하면 유지보수가 단순해진다.

Database

하나 이상의 스키마를 담는다. 사용자가 데이터베이스를 만들면 그 사용자가 소유자가 되고, superuser는 관리자이므로 그 데이터베이스에 대한 권한을 함께 가진다.

Schema

테이블을 비롯한 데이터베이스 객체를 공통의 이름 아래 묶는 단위다. 사용자에게는 스키마 하나 또는 여러 개에 대한 접근 권한을 줄 수 있다.

Redshift의 IAM 기반 인증

사용자 이름과 비밀번호로 로그인하는 대신 IAM 자격 증명으로 접속할 수 있다. RDS의 IAM 인증과 같은 발상이며, 여기서는 GetClusterCredentials API가 그 역할을 한다.

적절한 IAM 권한을 가진 사용자가 이 API를 호출하면 기존 데이터베이스 사용자로 로그인할 임시 사용자 이름과 비밀번호를 받는다. 이것으로 클러스터에 접속한다.

IAM 인증을 강제하려면

임시 자격 증명을 발급받을 수 있게 해 둔 상태에서 해당 사용자의 비밀번호를 비활성화한다. 그러면 임시 자격 증명 외의 로그인 경로가 사라진다.

사용자가 아직 없는 경우

GetClusterCredentials의 Autocreate 옵션을 쓰면 접속할 때마다 새 데이터베이스 사용자를 생성한다.

읽기 전용 사용자 만들기

지정한 스키마에 대해 읽기 전용 권한을 가진 그룹을 만들고 사용자를 그 그룹에 넣는다. 다만 권한을 줄 스키마 이름을 처음에 모두 지정해야 하고, 이후 새 스키마를 만들면 그룹을 다시 수정해야 한다.

AWS Nitro Enclaves

민감한 데이터를 격리된 환경에서 처리하고 싶을 때, 예전 방식은 새 VPC를 만들고 접근과 네트워킹을 제한하는 것이었다. 번거로울 뿐 아니라 격리 수준도 결국 네트워크 설정에 의존한다. Nitro Enclaves는 이 격리를 인스턴스 내부에서 하드웨어 수준으로 해결한다.

PII, 의료 데이터, 금융 데이터, 신용카드 데이터 같은 것이 처리 대상이다.

Enclave의 성격

Enclave는 극도로 격리된 가상 머신이다. 컨테이너가 아니다.

영구 스토리지가 없다
대화형 접근이 없다. SSH로 들어갈 수 없다
외부 네트워킹이 없다

이렇게 잘라낸 결과로 민감 데이터 처리 애플리케이션의 공격 표면이 줄어든다.

두 가지 보장

Cryptographic Attestation : 코드에 서명하면 서명된 코드만 Enclave 안에서 실행된다
KMS 암호화 : 민감한 데이터에 Enclave만 접근할 수 있도록 보장한다

사용 사례

개인 키 처리
신용카드 처리
보안 다자간 연산

구성 절차

호환되는 Nitro 기반 EC2 인스턴스를 EnclaveOptions를 true로 설정해 시작한다
Nitro CLI로 애플리케이션을 Enclave 이미지 파일인 EIF로 변환한다
이 EIF를 입력으로 Nitro CLI를 사용해 인스턴스 위에 Enclave를 생성한다

격리가 성립하는 구조

이름이 Nitro Enclave인 이유는 EC2 호스트가 도는 Nitro Hypervisor를 그대로 활용하기 때문이다. Enclave는 호스트와 메모리, CPU, 커널을 공유하지만 그 안에서 분리된다. EC2 인스턴스와 Enclave는 보안 로컬 채널로만 통신한다. 같은 호스트에서 실행되는 다른 인스턴스와도 물론 분리된다.

EBS 볼륨 폐기

EBS 볼륨을 삭제하면 그 볼륨이 쓰던 물리 블록 스토리지는 새 볼륨에 할당되기 전에 AWS가 0으로 덮어쓴다. 데이터 소거는 AWS가 수행한다는 뜻이다.

따라서 EBS 볼륨을 삭제하기 전에 데이터를 직접 지울 필요가 없다. 순서는 볼륨 삭제, AWS의 회수, 0으로 채우기, 다른 고객에게 할당이다.

39. TLS & 인증서 관리 : ACM, ELB SSL 리스너, SNI, mTLS

jys275 — Fri, 14 Aug 2026 20:28:09 +0900

SSL과 TLS, 그리고 인증서가 하는 일

인증서는 클라이언트와 서버 사이를 오가는 트래픽을 암호화한다. 이것을 전송 중 암호화라고 부른다. 네트워크를 지나는 데이터가 암호화되어 있고, 송신자와 수신자만 복호화할 수 있다.

SSL은 Secure Sockets Layer의 약자이고, TLS는 그 후속 버전인 Transport Layer Security다. 현재 실제로 쓰이는 것은 TLS 인증서지만 관행적으로 SSL 인증서라고 부르는 경우가 많다. AWS 콘솔과 문서에서도 두 표현이 섞여 나온다.

공개 SSL 인증서는 Certificate Authority가 발급한다. Comodo, Symantec, GoDaddy, GlobalSign, Digicert, Let's Encrypt 같은 곳들이다. 브라우저 주소창의 자물쇠 표시가 이 인증서로 연결이 암호화되었다는 표시다.

인증서에는 만료일이 있고 주기적으로 갱신해야 한다. 갱신 주기가 존재하는 이유는 인증서가 도메인 소유권의 증명이기 때문이다. 한 번 발급하고 영구히 유효하다면 소유권이 바뀐 뒤에도 옛 소유자가 계속 그 도메인 행세를 할 수 있다.

AWS Certificate Manager

AWS에서 공개 SSL 인증서를 호스팅하는 방법은 두 가지다. 직접 구매한 인증서를 CLI로 ACM에 업로드하거나, ACM이 인증서를 직접 프로비저닝하게 하는 것이다. ACM이 발급한 인증서는 무료이고 갱신도 자동으로 이루어진다.

ACM은 인증서가 필요한 곳이면 어디든 연동된다. Elastic Beanstalk이 생성하는 것을 포함한 로드 밸런서, CloudFront 배포, API Gateway의 API가 대표적이다.

동작 흐름

ACM이 ALB에 인증서를 프로비저닝하고 유지한다
사용자가 HTTPS로 ALB에 접속한다
ALB가 SSL 종료를 수행한다. 연결이 여기서 끊기고 백엔드로 새 연결이 열린다
ALB가 EC2 인스턴스로 HTTP 요청을 전달한다

이 구조에서 EC2 인스턴스는 암호화와 복호화를 수행하지 않는다. 로드 밸런서 레벨에서 SSL 종료가 일어나므로 인스턴스의 CPU 부담이 줄어든다.

공개 인증서와 프라이빗 인증서

공개 인증서

공개 DNS를 검증해야 하고, 신뢰받는 공개 Certificate Authority가 발급해야 한다. 인터넷 전체가 신뢰하는 인증서이므로 도메인을 실제로 소유하고 있다는 증명이 반드시 선행된다.

프라이빗 인증서

내부 애플리케이션용이다. 자체 프라이빗 CA를 두고, 애플리케이션이 그 CA를 신뢰하도록 설정해야 한다. 프라이빗 CA는 정의상 공개되어 있지 않으므로 애플리케이션이 CA 인증서 자체를 신뢰하지 않으면 그 CA가 발급한 인증서도 신뢰하지 않는다.

갱신 주체

ACM으로 프로비저닝한 인증서는 ACM이 자동으로 갱신한다. 수동으로 업로드한 인증서는 직접 갱신해야 한다.

ACM은 리전 서비스다

ACM 인증서는 리전 간 복사가 불가능하다. 여러 리전에 ALB를 배포한 글로벌 애플리케이션이라면 애플리케이션이 배포된 리전마다 인증서를 따로 발급해야 한다.

CloudFront는 예외다. CloudFront 자체가 글로벌 배포이므로 리전마다 인증서를 만들 필요가 없다. 리전에 묶인 ALB와 글로벌 엣지 네트워크인 CloudFront의 차이가 그대로 인증서 관리 방식의 차이로 나타난다.

ACM Private CA

ACM에 프라이빗 Certificate Authority를 둘 수 있다. 루트 CA와 하위 CA를 직접 관리하면서 인증서를 사설로 발급하는 방식이다.

여기서 배포하는 것은 end-entity X.509 인증서다. 애플리케이션이 사용하는 최종 인증서이며, 이 인증서로 다시 다른 인증서를 발급할 수는 없다. 조직 내부에서만 신뢰되고 공개 인터넷은 신뢰하지 않는다.

연동 대상

Amazon EKS와 깊이 연동되며 ACM과 연동되는 서비스라면 사실상 모두 대상이다. CloudFront, API Gateway, ELB 등에서 쓸 수 있다. 다만 트래픽이 자체 인프라 내부의 프라이빗 트래픽이라는 전제가 붙는다.

발급 대상

사용자. Client VPN 용도가 대표적이다
컴퓨터
프라이빗 URL을 노출하는 API
IoT 디바이스

사용 사례

내부 TLS 통신 암호화
코드에 암호학적 서명
사용자, 컴퓨터, API 엔드포인트, IoT 디바이스 인증
기업의 공개 키 인프라 구축

인증서 검증 방식

공개 인증서를 받으려면 도메인을 소유하거나 제어하고 있음을 증명해야 한다. 프라이빗 인증서에는 이 과정이 없다. 프라이빗 CA를 자신이 소유하고 있으므로 증명할 대상이 없기 때문이다.

DNS 검증

DNS 설정에 CNAME 레코드를 만드는 방식이다. Route 53일 수도 있고 외부 DNS일 수도 있다. ACM이 어떤 레코드를 만들어야 하는지 알려주고, 관리자가 그 레코드를 등록하면 ACM이 확인 후 인증서를 발급한다. 상태는 pending validation에서 검증 완료로 넘어간다.

자동 갱신을 원한다면 DNS 검증이 권장 방식이다. 모든 과정이 프로그래밍 방식으로 이루어지고 검증에 몇 분이면 충분하다.

이메일 검증

도메인의 WHOIS 데이터베이스에 등록된 연락처 주소로 메일이 발송된다. 도메인 등록 시 기재한 이메일 주소이며, 등록 기관 기준의 소유자가 인증서를 수락하는 구조다. 검증에는 몇 분이 걸린다.

이메일 검증이 자동 갱신에 부적합한 이유가 여기 있다. 메일을 받고 링크를 클릭하는 사람의 개입이 반드시 필요하다.

갱신 실패와 검증 지연 처리

DNS 검증 인증서의 갱신 실패

DNS 설정의 CNAME 레코드가 부정확한 것이 원인일 수 있다. 이 경우 이메일 검증 같은 대체 수단을 쓸 수 있지만 도메인 소유자의 수동 작업이 필요하다.

갱신 통지

ACM은 만료 45일 전에 갱신 통지를 보낸다. 이메일 검증 방식이라면 WHOIS 메일 주소로 발송되며, 메일에 담긴 링크를 클릭하면 갱신이 진행된다.

갱신된 인증서는 ARN이 그대로 유지된다. ARN이 바뀌면 그 인증서를 참조하는 모든 AWS 리소스의 설정을 고쳐야 하므로, ARN 유지가 갱신을 무중단으로 만드는 핵심이다.

pending validation에서 넘어가지 않을 때

DNS 설정의 CNAME을 확인한다. dig 명령으로 실제 값을 조회할 수 있다
값에 문자가 더 붙거나 빠지지 않았는지 확인한다
DNS 제공자가 레코드 끝에 기본 도메인을 자동으로 덧붙이는 경우가 있다. example.com.example.com 형태가 되었다면 덧붙은 부분을 제거한다
같은 도메인 이름에 CNAME과 TXT 레코드가 함께 있으면 충돌할 수 있다. 둘 다 있다면 TXT 레코드를 삭제한다

인증서 직접 생성과 가져오기

ACM에 발급을 맡기지 않고 직접 만들어 가져올 수도 있다.

로컬 도구로 인증서 서명 요청 파일을 생성한다
이 파일을 외부 Certificate Authority에 제출한다
외부 CA가 자체 방식으로 소유권을 검증하고 인증서를 발급한다
발급받은 인증서를 ACM 또는 IAM에 업로드한다

가져온 인증서의 만료 감시

가져온 인증서는 서명이 외부에서 이루어졌으므로 자동 갱신이 불가능하다. 만료 관리를 직접 해야 한다는 뜻이고, 그래서 만료를 감시할 수단이 필요하다.

만료 45일 전부터 매일 만료 이벤트가 발생한다. 일수는 설정할 수 있고 이벤트는 EventBridge에 나타난다. 여기서 Lambda 함수, SNS 알림, SQS 메시지로 연결한다
Config의 ACM 인증서 만료 확인 규칙으로 주기적으로 점검한다. 비준수 이벤트를 EventBridge로 보낼 수 있다

어느 쪽이든 실제 갱신은 외부에서 수동으로 수행한 뒤 다시 가져와야 한다.

ELB의 HTTPS 리스너

로드 밸런서에 X.509 인증서를 로드하면 SSL 종료가 가능해진다. 사용자는 HTTPS로 접속하고, ELB는 VPC 내부의 사설 네트워크를 통해 EC2 인스턴스로 HTTP 트래픽을 보낸다.

HTTPS 리스너를 설정할 때는 기본 인증서를 반드시 지정해야 한다. 여러 도메인을 지원하려면 추가 인증서 목록을 선택적으로 붙인다. 그리고 클라이언트가 어느 호스트명에 접속하려는지 알리기 위해 SNI를 사용한다.

SNI

SNI는 Server Name Indication의 약자이며, 하나의 웹 서버에 여러 인증서를 올려 여러 웹사이트를 서비스하는 문제를 해결한다.

핵심은 순서에 있다. 원래 TLS 핸드셰이크에서 서버는 클라이언트가 어느 도메인을 원하는지 모르는 상태로 인증서를 제시해야 했다. 그래서 인증서가 하나뿐이었다. SNI는 클라이언트가 최초 SSL 핸드셰이크 단계에서 대상 서버의 호스트명을 먼저 알리게 한다. 그러면 서버는 어떤 인증서를 로드할지 판단할 수 있다.

동작 예시

ALB에 www.mycorp.com과 demo.example.com 두 개의 대상 그룹이 있고, 각각에 대응하는 인증서와 기본 인증서가 ALB에 로드되어 있다
클라이언트가 접속하면서 www.mycorp.com에 연결하고 싶다고 호스트명을 알린다
ALB가 SNI로 이를 읽고 해당하는 인증서를 골라 연결을 암호화한다
호스트명 기반 라우팅 규칙에 따라 www.mycorp.com 대상 그룹으로 전달한다

지원 범위

SNI는 비교적 새로운 프로토콜이라 모든 클라이언트가 지원하지는 않는다. AWS 쪽에서는 신세대 로드 밸런서인 ALB와 NLB, 그리고 CloudFront에서 동작한다. 구세대인 Classic Load Balancer에서는 동작하지 않는다.

로드 밸런서에 인증서가 여러 개 올라가는 구성이 나오면 ALB 또는 NLB다.

로드 밸런서별 인증서 지원

Classic Load Balancer

인증서를 하나만 지원한다. 여러 호스트명을 하나의 CLB로 처리하려면 인증서에 SAN, 즉 Subject Alternate Name을 넣어야 한다. 문제는 유지 관리다. 도메인을 추가하거나 제거할 때마다 SAN을 수정한 인증서를 다시 발급하고 다시 할당해야 한다. 그래서 호스트명마다 CLB를 따로 두는 편이 나은 경우가 많고, 가능하다면 ALB로 전환하는 것이 근본적인 해법이다.

Application Load Balancer

여러 HTTPS 리스너와 여러 인증서를 지원하고, 여러 호스트명 처리는 SNI로 해결한다.

Network Load Balancer

마찬가지로 여러 리스너와 여러 인증서를 지원하며 SNI로 올바른 인증서를 제공한다.

SSL 보안 정책

보안 정책은 SSL 협상 과정에서 지원할 SSL 프로토콜, 암호 스위트, Server Order Preference 옵션의 조합이다. 클라이언트가 서버에 접속해 보안 연결을 수립하는 시점에 적용된다.

프런트엔드와 백엔드

ALB와 NLB에서 클라이언트와 로드 밸런서 사이의 프런트엔드 연결에는 사전 정의된 보안 정책을 선택할 수 있다. 백엔드 연결에는 ELBSecurityPolicy-2016-08이 항상 사용된다.

ELBSecurityPolicy-2016-08

기본 정책이다.

ELBSecurityPolicy-TLS 계열

특정 TLS 프로토콜 버전만 사용하도록 요구하는 규정 준수와 보안 표준을 만족해야 할 때 쓴다. 반대로 레거시 클라이언트와 애플리케이션을 위해 구버전 SSL과 TLS를 지원해야 할 때도 이 계열을 쓴다.

ELBSecurityPolicy-FS 계열

Forward Secrecy가 필요할 때 쓴다. 협상 과정에서 고유한 무작위 세션 키를 사용해 암호화된 데이터의 도청에 대한 추가 안전장치를 제공한다. 세션마다 키가 달라지므로 한 세션의 키가 노출되어도 다른 세션의 트래픽은 복호화되지 않는다.

NLB의 TLS 리스너

NLB에 TLS 리스너를 두면 서버 인증서로 TLS 트래픽을 종료한다. 프런트엔드 연결을 복호화한 뒤 대상에는 암호화되지 않은 상태로 전달한다. TLS 리스너를 만들려면 ACM에서 인증서를 생성해 NLB에 연결해야 한다.

클라이언트가 NLB의 443 포트 TLS 리스너에 접속하면, 대상 그룹의 EC2 인스턴스는 NLB로부터 암호화되지 않은 HTTP 트래픽을 받는다. TLS 종료가 일어나도 client IP preservation 설정이 켜져 있으면 대상 인스턴스는 클라이언트의 출발지 IP와 포트를 그대로 본다.

TLS 리스너의 제약

암호화 관점에서 트래픽이 NLB에서 끊기기 때문에 TLS 재협상과 mutual TLS 인증을 지원하지 않는다. 이 두 가지는 클라이언트가 EC2 인스턴스와 직접 수행해야 하는 것이지 NLB가 대신할 수 있는 것이 아니다.

종단 간 암호화와 mTLS

NLB에서 종단 간 암호화를 하려면 TLS 리스너 대신 TCP 리스너를 쓴다. 포트는 443으로 두되 프로토콜은 TCP다.

이렇게 하면 NLB가 트래픽을 복호화하거나 종료하지 않고 암호화된 상태 그대로 대상에 전달한다. 복호화는 대상 그룹의 책임이 되고, TLS 종료는 EC2 인스턴스가 수행한다.

이 구성에서는 mutual TLS 인증을 EC2 인스턴스에 직접 구현할 수 있다. NLB가 트래픽을 있는 그대로 통과시키므로 클라이언트와 인스턴스가 직접 상호 인증을 수행할 수 있기 때문이다.

두 방식의 선택

TLS 리스너는 인증서 관리와 복호화 부담을 NLB로 옮기는 대신 mTLS와 TLS 재협상을 포기한다. TCP 리스너는 그 둘을 얻는 대신 인증서 관리와 복호화 비용을 인스턴스가 떠안는다. 클라이언트 인증서 검증이 필요한 요건이면 선택지는 TCP 리스너 쪽이다.

NLB의 Client IP Preservation

이 설정이 켜져 있으면 EC2 인스턴스는 요청의 출발지 IP를 클라이언트의 IP로 본다. 꺼져 있으면 모든 인바운드 트래픽의 출발지 IP가 NLB가 된다.

기본값

Instance ID 또는 ECS 태스크로 등록한 대상 : 활성화
IP 주소로 등록한 TCP와 TLS 대상 : 기본 비활성화
IP 주소로 등록한 UDP와 TCP_UDP 대상 : 기본 활성화

IP 주소로 등록한 TCP와 TLS를 제외하면 항상 활성화된다고 보면 된다.

변경 가능 여부

설정은 바꿀 수 있지만 Instance ID로 등록한 대상과 UDP, TCP_UDP의 IP 주소 대상에서는 비활성화할 수 없다.

NLB의 보안 그룹

ALB처럼 NLB에도 보안 그룹을 연결할 수 있다. 프라이빗 서브넷의 EC2 인스턴스에 붙은 대상 보안 그룹에서 NLB의 보안 그룹을 인바운드로 허용하는 규칙을 두면 된다. IP 범위 대신 보안 그룹을 참조하므로 NLB의 IP가 바뀌어도 규칙을 고칠 필요가 없다.

NLB 연결 문제 해결

등록된 대상이 서비스 상태가 아닐 때

상태 확인 문제이거나 보안 그룹 문제다
대상 보안 그룹이 NLB 보안 그룹으로부터 상태 확인 포트와 프로토콜의 트래픽을 허용하는지 확인한다
대상 서브넷의 네트워크 ACL이 NLB로부터의 트래픽을 허용하는지 확인한다

요청이 대상으로 라우팅되지 않을 때

보안 그룹 또는 NACL 문제를 확인한다
가용 영역이 활성화되어 있는지 확인한다
EC2 인스턴스가 피어링된 VPC에 있다면 Instance ID가 아니라 IP 주소로 등록되어 있어야 한다

38. Object Lock & Glacier Vault Lock : WORM 모델과 보존 규정 준수

jys275 — Fri, 14 Aug 2026 20:27:57 +0900

WORM 모델이 필요한 이유

WORM은 Write Once Read Many의 약자다. 한 번 기록한 데이터를 여러 번 읽을 수는 있지만 수정하거나 삭제할 수는 없게 만드는 모델이다.

이 모델이 필요한 자리는 규정 준수와 데이터 보존이다. 감사 로그나 법적 분쟁의 증거가 되는 자료는 권한을 가진 사람이 마음먹으면 지울 수 있는 상태로 두면 의미가 없다. 삭제할 수 있는 데이터는 증거가 되지 못하기 때문이다. 그래서 WORM 구현의 핵심은 관리자조차 되돌릴 수 없게 만드는 것이다. 일반 사용자를 막는 것은 권한 정책으로 충분하고, 권한 정책은 권한을 가진 사람이 바꿀 수 있다. 잠금이 별도의 기능으로 존재하는 이유가 여기에 있다.

AWS는 두 가지 방식을 제공한다. S3 Glacier Vault Lock은 vault 전체에 정책을 걸고 그 정책 자체를 잠근다. S3 Object Lock은 버킷 안의 객체 버전 하나하나에 보존을 건다. 잠금이 걸리는 단위가 다르다는 점이 두 기능을 가르는 출발점이다.

S3 Glacier Vault Lock

Glacier vault를 WORM 모델로 만드는 기능이다. 객체를 vault에 넣고 잠그면 그 객체는 이후 수정도 삭제도 되지 않는다.

동작 방식은 두 단계로 이루어진다. vault 위에 Vault Lock Policy를 만들고, 그 정책 자체를 이후 편집이 불가능하도록 잠근다. 한 번 잠근 정책은 누구도 변경하거나 삭제할 수 없다. 관리자도, AWS도 예외가 아니다.

Vault Lock Policy가 걸린 vault에 객체가 들어가면 그 객체는 영구히 삭제되지 않는다. 규정 준수와 데이터 보존 요건을 다루기 위해 만들어진 기능이다.

Vault Access Policy와 Vault Lock Policy

각 vault는 vault access policy 하나와 Vault Lock policy 하나를 가진다. 둘 다 JSON으로 작성하지만 역할이 다르다.

Vault Access Policy

S3 버킷 정책과 같은 성격이다. 사용자와 계정의 권한을 제한하는 데 쓰이고, 시간이 지나면서 얼마든지 변경할 수 있다.

Vault Lock Policy

규제와 규정 준수 요건을 위해 잠그는 정책이다. 잠긴 뒤에는 immutable, 즉 절대 바뀌지 않는다. lock policy라는 이름이 붙은 이유다.

Vault Lock Policy로 표현할 수 있는 규칙의 예는 다음과 같다.

생성한 지 1년이 지나지 않은 아카이브의 삭제를 금지한다
WORM 정책을 구현한다

두 정책은 함께 쓸 수 있다. Vault Lock Policy가 바꿀 수 없는 바닥선을 깔아 두고, 그 위에 vault access policy로 추가 권한을 얹어 상황에 맞게 조정하는 구성이다. 불변으로 유지해야 할 규칙과 운영상 바뀌어야 할 규칙을 분리한 설계다.

Vault Lock 절차

vault를 잠그는 과정은 다음 순서로 진행된다.

Vault Lock Policy를 vault에 연결한다
vault의 잠금 상태가 in-progress로 바뀌고 lock ID를 돌려받는다
lock ID는 24시간 뒤 만료된다. 이 시간 동안 정책이 의도대로 동작하는지 테스트한다
확인이 끝나면 잠금 절차를 완료한다
정책이 in-progress에서 completed 상태로 넘어가고, 이후로는 절대 변경되지 않는다

중간에 in-progress 단계를 둔 이유는 이 작업이 되돌릴 수 없기 때문이다. 잘못 작성한 정책을 그대로 확정하면 vault는 영구히 잘못된 규칙에 묶인다. 그래서 정책을 붙이는 행위와 확정하는 행위를 나누고, 그 사이에 실제 정책이 적용된 상태로 검증할 시간을 준다. 24시간 안에 완료 요청을 보내야 잠금이 확정된다.

S3 Object Lock

S3 버킷에서 WORM 모델을 구현하는 기능이다. Glacier Vault Lock과 목적은 같지만 구조가 더 복잡하다.

Object Lock을 켜려면 먼저 버저닝을 활성화해야 한다. 보호 대상이 객체가 아니라 객체 버전이기 때문이다. 버전이라는 단위가 없으면 어떤 상태를 고정해야 할지 정의할 수 없다.

잠금이 걸리는 위치도 다르다. Glacier Vault Lock은 vault 전체에 정책 하나를 거는 방식이지만, Object Lock은 버킷 안의 객체마다 개별적으로 건다. 객체 하나에만 잠금을 걸 수도 있다. 지정한 기간 동안 특정 객체 버전이 삭제되지 않도록 막는 것이 기본 동작이다.

두 가지 보존 모드

Object Lock에는 강도가 다른 두 개의 retention mode가 있다.

Compliance Mode

Glacier Vault Lock과 가장 가까운 모드다. 제약은 다음과 같다.

루트 사용자를 포함해 어떤 사용자도 객체 버전을 덮어쓰거나 삭제할 수 없다
retention mode 자체를 변경할 수 없다
retention period를 단축할 수 없다

일단 이 모드로 들어가면 누구도 아무것도 바꾸지 못한다. 규정 준수를 엄격하게 지켜야 할 때 쓴다.

Governance Mode

유연성이 필요할 때 쓰는 모드다. 대부분의 사용자는 객체 버전을 덮어쓰거나 삭제할 수 없고 잠금 설정도 건드릴 수 없다. 다만 관리자에게는 IAM을 통해 특별한 권한을 줄 수 있고, 그 권한을 가진 사용자는 보존 설정을 변경하거나 객체를 직접 삭제할 수 있다.

두 모드의 차이는 예외를 인정하느냐 하나로 정리된다. Compliance는 예외를 두지 않아 실수로 건 잠금도 되돌릴 수 없고, Governance는 IAM 권한이라는 탈출구를 남겨 둔다. 그 탈출구가 있다는 것은 곧 권한을 가진 내부자가 데이터를 지울 수 있다는 뜻이므로, 규제 기관에 제출할 수준의 보존이 목적이라면 Compliance를 골라야 한다.

Retention Period

두 모드 모두 보존 기간을 설정해야 한다. 지정한 기간 동안 객체를 보호하며, 필요하다면 기간을 연장할 수 있다.

Legal Hold

Object Lock으로 할 수 있는 또 하나의 조치다. 앞의 두 모드와는 성격이 다르다.

Legal Hold는 객체를 무기한 보호하며 retention period와 독립적으로 동작한다. 객체에 legal hold를 걸면 이전에 설정해 둔 retention mode와 retention period가 무엇이든 상관없이 그 객체는 계속 보호된다. 재판에 사용해야 하는 자료처럼 언제까지 보관해야 할지 미리 정할 수 없는 경우를 위한 장치다.

기간이 아니라 권한으로 통제한다는 점이 핵심이다. s3:PutObjectLegalHold IAM 권한을 가진 사용자가 객체에 legal hold를 걸거나 해제한다. 법적 조사가 끝나면 같은 권한으로 해제하는 식이다. 보존 기간을 미리 계산해 넣는 대신 사람이 시작과 끝을 결정하는 구조이므로, 종료 시점을 알 수 없는 상황에 맞는다.

세 가지 보호 수단의 위치

같은 WORM이라는 목표를 두고 세 가지 도구가 서로 다른 자리를 차지한다.

Glacier Vault Lock

vault 단위로 걸고, 정책 자체가 불변이 된다. vault에 들어간 모든 객체가 한꺼번에 보호되므로 대상을 개별로 고를 필요가 없는 아카이브에 맞는다.

Object Lock의 retention

객체 버전 단위로 걸고, 정해진 기간 동안 보호한다. 보관 기한이 규정으로 정해져 있고 대상마다 다를 때 맞는다.

Legal Hold

객체 단위로 걸고, 기간 없이 보호한다. 사건이 끝나는 시점을 미리 알 수 없을 때 맞는다.

37. S3 암호화 : SSE-S3 / SSE-KMS / DSSE-KMS / SSE-C, Bucket Key, 암호화 강제

jys275 — Fri, 14 Aug 2026 20:27:41 +0900

네 가지 암호화 방식을 가르는 기준

S3 객체를 암호화하는 방법은 네 가지다. SSE-S3, SSE-KMS, SSE-C, 그리고 클라이언트 측 암호화다. 앞의 셋은 이름이 말해 주듯 서버 측 암호화이고 마지막 하나만 클라이언트 측이다.

이름이 비슷해서 헷갈리지만 갈리는 지점은 두 개뿐이다. 암호화 연산이 어디서 일어나는가, 그리고 키를 누가 소유하고 관리하는가. 암호화 연산 위치가 서버냐 클라이언트냐로 먼저 나뉘고, 서버 측 안에서 다시 키의 주인이 AWS냐, KMS를 통한 나냐, AWS 바깥의 나냐로 갈린다.

이 두 축을 잡아 두면 나머지는 그 결과일 뿐이다. 어떤 헤더를 보내야 하는지, 읽을 때 무슨 권한이 추가로 필요한지, 키를 잃어버리면 어떻게 되는지가 전부 여기서 파생된다.

SSE-S3

AWS가 소유하고 관리하는 키로 암호화한다. 사용자는 이 키에 접근할 수 없다. 암호화는 서버 측에서 수행되고 알고리즘은 AES-256이다.

요청할 때는 다음 헤더를 붙인다.

"x-amz-server-side-encryption": "AES256"

동작은 단순하다. 헤더를 붙여 파일을 업로드하면 S3가 그 객체를 S3 소유 키와 짝지어 암호화하고, 암호화된 결과물이 버킷에 저장된다. 사용자가 관여할 부분이 없다.

SSE-S3는 새 버킷과 새 객체에 기본으로 적용된다. 아무것도 설정하지 않아도 객체는 이미 암호화된 상태로 저장된다는 뜻이다.

SSE-KMS

AWS와 S3 서비스가 소유한 키에 의존하는 대신 KMS로 키를 직접 관리하는 방식이다. 요청 헤더는 다음과 같고, 헤더 안에 사용할 KMS 키를 함께 지정한다.

"x-amz-server-side-encryption": "aws:kms"

업로드하면 KMS에서 가져온 키와 객체가 결합되어 암호화된 결과가 버킷에 저장된다. 여기까지는 SSE-S3와 같은 그림이지만 읽을 때가 다르다.

권한이 두 겹이 된다

객체를 읽으려면 객체 자체에 대한 접근 권한과 암호화에 사용된 KMS 키에 대한 접근 권한이 모두 필요하다. S3 권한만으로는 읽을 수 없다. 이것이 SSE-KMS가 제공하는 추가 보안 계층이다.

KMS를 쓸 때 따라오는 이점

키를 직접 만들고 통제할 수 있다는 점, 그리고 키 사용 내역이 CloudTrail에 남는다는 점이다. KMS에서 누군가 키를 사용할 때마다 그 기록이 남기 때문에 누가 언제 무엇을 복호화했는지 추적할 수 있다.

처리량 한계라는 대가

업로드와 다운로드마다 KMS 키를 거치게 되므로 KMS API를 호출하게 된다. 업로드 시에는 GenerateDataKey, 다운로드 시에는 Decrypt다. 이 호출은 전부 초당 API 호출 쿼터에 잡히고, 리전에 따라 초당 5,000에서 30,000 요청 사이다. Service Quotas 콘솔에서 상향할 수 있지만 기본값이 그렇다.

그래서 처리량이 아주 높은 버킷의 모든 객체를 KMS로 암호화하면 쿼터가 병목이 된다. 보안을 한 단계 올린 대가로 처리량 상한이 생기는 셈이다.

S3 Bucket Key

SSE-KMS의 API 호출 문제를 정면으로 겨냥한 설정이다. S3에서 KMS로 나가는 API 호출을 99% 줄이고, 그만큼 KMS 비용도 99% 줄인다.

원리는 중간 키를 하나 끼워 넣는 것이다. KMS의 마스터 키가 버킷용 데이터 키를 가끔씩 생성하는데, 이것이 S3 Bucket Key다. 이 키가 다시 envelope encryption으로 다수의 데이터 키를 만들어 내고 그 데이터 키들이 객체를 암호화한다. 데이터 키를 만들 때마다 KMS를 부르는 대신 버킷 키가 그 역할을 대신 맡으니 KMS 호출 횟수가 급감한다. 이 버킷 키는 주기적으로 교체된다.

보안 수준을 떨어뜨리지 않으면서 호출 횟수와 비용만 줄인다. 대규모로 SSE-KMS를 쓸 때 청구서가 커지거나 쿼터에 걸리는 상황을 피하는 수단이다.

부수 효과

CloudTrail에 남는 KMS 관련 이벤트가 크게 줄어든다. 호출 자체가 줄었으니 당연한 결과지만, KMS 이벤트가 갑자기 줄었다는 관측이 곧 문제 상황을 뜻하지는 않는다는 점은 알아 둘 만하다.

설정 위치

버킷 생성 시 암호화를 SSE-KMS로 고르면 버킷 키 항목이 함께 나온다. 현재는 기본값이 활성화이고, 업로드마다 KMS와 통신하게 하고 싶다면 비활성화할 수 있다.

SSE-C

키를 AWS 바깥에서 관리하지만 암호화 연산 자체는 여전히 서버 측에서 일어난다. 키를 AWS로 전송해서 S3가 암호화를 수행하게 하기 때문이다. S3는 전달받은 키를 절대 저장하지 않고 사용 직후 폐기한다.

키가 네트워크를 타고 넘어가는 구조이므로 제약이 따라붙는다.

HTTPS를 반드시 사용해야 한다
매 요청마다 HTTP 헤더로 키를 함께 전달해야 한다

업로드할 때는 파일과 키를 함께 보내고 S3가 그 키로 암호화해 저장한다. 읽을 때도 마찬가지로 암호화에 사용한 키를 다시 제공해야 한다. 키를 저장하지 않는다는 설계가 곧 키 분실 시 복구 수단이 없다는 뜻이기도 하다.

클라이언트 측 암호화

데이터를 S3로 보내기 전에 클라이언트가 직접 암호화한다. S3에는 이미 암호화된 파일이 그대로 올라가고, 내려받은 뒤의 복호화도 S3 바깥의 클라이언트에서 이루어진다. 키와 암호화 주기 전체를 클라이언트가 관리한다.

직접 구현하기보다 Client-Side Encryption Library 같은 클라이언트 라이브러리를 사용하면 수월하다.

SSE-C와의 차이가 핵심이다. 둘 다 키를 AWS 바깥에서 관리하지만, SSE-C는 키를 AWS에 넘겨 S3가 암호화하고 클라이언트 측 암호화는 키가 AWS에 도달하지 않는다. AWS가 평문을 한 순간도 보지 않아야 한다면 후자여야 한다.

퍼블릭 객체에서 갈리는 SSE-S3와 SSE-KMS

객체를 퍼블릭으로 만들었을 때 두 방식의 결과가 다르다.

SSE-S3로 암호화된 객체를 퍼블릭으로 만들면 익명 사용자가 접근할 수 있다
SSE-KMS로 암호화된 객체는 퍼블릭으로 만들어도 익명 사용자가 읽을 수 없다

익명 사용자에게는 기반 KMS 키에 대한 접근 권한이 없기 때문이다. 앞에서 본 권한 두 겹 구조가 여기서 그대로 작동한다. 실수로 객체를 공개해도 KMS 키가 방어선으로 남는다는 뜻이고, 반대로 의도적으로 공개 배포하려던 객체가 읽히지 않는 원인도 이것이다.

KMS 암호화 버킷에 대용량 파일 올리기

대용량 파일은 멀티파트 업로드를 써야 한다. 이때 필요한 KMS 권한이 직관과 어긋난다.

먼저 파일과 각 파트를 암호화해야 하므로 kms:GenerateDataKey가 필요하다. 여기까지는 예상되는 바다. 그런데 kms:Decrypt도 함께 필요하다. 파트들을 재조립하기 전에 복호화해야 하기 때문이다.

흐름을 따라가면 이해된다. 큰 파일이 여러 파트로 쪼개지고 각 파트가 자기 데이터 키로 암호화되어 S3에 올라간다. S3는 각 파트를 복호화해 평문으로 되돌린 뒤 하나의 객체로 합치고, 합쳐진 객체를 다시 암호화해 최종 객체로 저장한다. 중간에 복호화 단계가 끼어 있으니 Decrypt 권한이 빠지면 업로드가 실패한다.

KMS 암호화 버킷으로의 대용량 업로드에는 GenerateDataKey와 Decrypt 두 권한이 모두 필요하다.

일반적인 s3:PutObject의 경우에도 데이터 키를 생성해야 하므로 kms:GenerateDataKey 권한이 있어야 한다.

기본 암호화와 버킷 정책에 의한 강제

암호화를 보장하는 경로가 두 가지 있고 성격이 다르다.

기본 암호화

모든 버킷은 SSE-S3를 기본 암호화로 갖는다. 새 버킷의 새 객체에 자동으로 적용되고, 원한다면 SSE-KMS 같은 다른 방식으로 바꿀 수 있다. 헤더를 빠뜨려도 무언가로는 암호화된다는 안전망이다.

버킷 정책에 의한 강제

기본 암호화는 특정 방식을 요구하지 못한다. SSE-KMS를 반드시 쓰게 하려면 버킷 정책으로 올바른 암호화 헤더가 없는 PutObject 호출을 거부한다. 예를 들어 aws:kms 헤더가 없으면 거부하는 정책, SSE-C 알고리즘 헤더가 없으면 거부하는 정책을 걸 수 있다.

버킷 정책은 항상 기본 암호화 설정보다 먼저 평가된다. 그래서 정책으로 거부된 요청은 기본 암호화의 도움을 받지 못하고 그대로 실패한다. 기본 암호화가 사후 안전망이라면 버킷 정책은 사전 차단이다.

전송 중 암호화

지금까지는 저장된 객체의 암호화였고, 이것은 이동 중인 데이터의 암호화다. SSL 또는 TLS라고도 부른다.

S3 버킷에는 엔드포인트가 두 개 있다. 암호화되지 않은 HTTP 엔드포인트와 전송 중 암호화가 적용되는 HTTPS 엔드포인트다. 당연히 HTTPS를 써야 하고, SSE-C를 사용한다면 키가 전송되므로 HTTPS가 필수다. 실무에서는 대부분의 클라이언트가 기본으로 HTTPS 엔드포인트를 사용한다.

HTTPS를 강제하는 방법

버킷 정책을 사용한다. aws:SecureTransport 조건이 false일 때 GetObject를 거부하는 문장을 붙이면 된다. 이 값은 HTTPS 연결이면 true, 암호화되지 않은 연결이면 false이므로 HTTP로 접근하는 요청만 골라 차단된다.

기존 객체를 한꺼번에 암호화하기

지금까지의 수단은 전부 앞으로 올라올 객체를 대상으로 한다. 이미 버킷에 들어 있는 암호화되지 않은 객체는 별도로 처리해야 한다. 이때 세 서비스를 이어 붙인다.

S3 Inventory로 객체 목록과 메타데이터를 얻는다. 선택 필드에 encryption status가 있어 암호화 여부를 함께 받을 수 있다
Athena로 그 목록을 필터링해 암호화되지 않은 객체만 남긴다
걸러낸 객체 목록을 S3 Batch에 넘겨 일괄 암호화한다

S3 Batch는 기존 객체에 대한 대량 작업을 단일 요청으로 수행하는 서비스다. 여기서는 암호화가 그 작업 내용이 된다.

S3 Batch Operations 작업에는 대상 S3 버킷에 대한 접근 권한과 암호화에 사용할 KMS 키에 대한 접근 권한이 있어야 한다. 권한이 빠지면 작업이 실패한다.

Glacier의 암호화

Glacier에 저장되는 모든 데이터는 AES-256으로 암호화되고 키는 AWS가 통제한다. 선택 사항이 아니라 기본 동작이며 사용자가 관여할 여지가 없다.