판정 장비의 관리 요청 한 줄이 운영체제로 새어 나가는 길 — FortiSandbox 명령 주입 CVE-2026-39808 점검 노트

2026. 7. 17. 21:32

이미지 출처: CISA KEV보안팀 랙 한 켠에는 하루에도 수천 개의 의심 파일을 열어보고 "이거 악성입니다" 판정을 내려주는 장비가 조용히 돌아간다. FortiSandbox가 그런 역할을 한다. 그런데 이번에 공개된 CVE-2026-39808은 바로 그 판정 장비 자신의 관리 기능을 겨눈다. 파일을 검사하러 들어온 값이 아니라, 장비를 운영하려고 넣은 명령 한 줄이 엉뚱하게 운영체제 명령으로 흘러가는 구조라는 점에서 결이 조금 다르다.핵심 요약CVE-2026-39808은 FortiSandbox OS의 명령 주입(OS Command Injection) 계열 결함으로, 특정 입력이 시스템 명령에 그대로 실려 실행될 수 있음.샌드박스는 악성코드 분석의 '최종 판정자'라, 이 장비가 뚫리면 탐지 신뢰 자체가 ..

악성코드를 해부하는 장비가 정작 자기 셸을 내주는 자리 — FortiSandbox 명령 주입 CVE-2026-25089

2026. 7. 17. 19:02

이미지 출처: CISA KEV운영 현장에서 FortiSandbox는 좀 특이한 위치에 있는 장비다. 메일 게이트웨이나 방화벽이 "이거 수상한데?" 싶은 첨부파일·URL을 넘기면, 이 장비가 격리된 가상 환경 안에서 실제로 파일을 터뜨려 보고 행위를 관찰해 악성 여부를 판정한다. 말하자면 위험한 걸 대신 만져주는, 방어팀 입장에서는 손이 하나 더 있는 셈인 장비다. 그런데 이번에 공개된 CVE-2026-25089는 바로 그 "위험을 다루는 장비" 자신에게 OS 명령 주입(OS Command Injection) 결함이 있다는 이야기다. 남의 악성코드를 뜯어보던 도구가, 어떤 조건에서는 자기 운영체제에 공격자의 명령을 그대로 흘려보낸다는 것.핵심 요약FortiSandbox의 특정 입력 처리 경로에서 운영체제 ..

서버가 남이 보낸 객체를 의심 없이 '되살릴' 때 — SharePoint 역직렬화 결함 CVE-2026-58644를 방어자 손에서 읽는 법

2026. 7. 17. 13:02

이미지 출처: CISA KEV웹 애플리케이션은 생각보다 많은 것을 객체로 저장했다가 다시 꺼내 쓴다. 세션 상태, 뷰의 구성 값, 컨트롤의 속성 같은 것들을 문자열이나 바이트 뭉치로 납작하게 눌러 두었다가(직렬화), 요청이 들어오면 그걸 원래 형태의 객체로 부풀려 되살린다(역직렬화). 여기서 조용히 어긋나는 전제가 하나 있음. "되살릴 데이터는 우리가 만든 것"이라는 믿음. CVE-2026-58644는 바로 그 믿음이 깨지는 지점, 즉 Microsoft SharePoint가 신뢰할 수 없는 데이터를 역직렬화하는 경로에서 생긴 문제임.핵심 요약SharePoint가 외부에서 온 직렬화 데이터를 검증 없이 되살리는 과정에서 발생한 역직렬화 취약점으로, 성공 시 서버 측 코드 실행으로 이어질 수 있음.온프레미스..

무료 백신 vs 유료 백신, 개인에게 뭐가 맞을까 — 내 상황부터 점검하는 선택 체크리스트

2026. 7. 17. 12:31

이미지 출처: general친구가 컴퓨터를 새로 사면 꼭 물어보는 게 있어요. "백신 뭐 깔아야 돼? 돈 주고 사야 하는 거야?" 그럴 때마다 저는 되묻습니다. "너 그 컴퓨터로 주로 뭐 해?" 사실 이 질문 하나에 답이 거의 다 들어 있거든요. 백신은 비싼 게 무조건 좋은 게 아니라, 내 사용 습관과 위험 수준에 맞는 게 좋은 백신이랍니다.핵심 요약윈도우 11에는 이미 '디펜더'라는 꽤 쓸 만한 무료 백신이 기본 탑재되어 있어요.공짜 인터넷을 뒤지거나, 금융·업무 파일을 많이 다루거나, 가족 여러 대를 관리한다면 유료 백신의 추가 기능이 값을 합니다.어떤 백신을 쓰든 자동 업데이트·정기 백업·2단계 인증이 빠지면 반쪽짜리 방어랍니다.백신이 실제로 하는 일부터 알아야 선택이 쉬워요백신을 흔히 '나쁜 파일..

관리 인터페이스에 넣은 값이 서버에서 실행된다 — SonicWall SMA1000 코드 인젝션(CVE-2026-15410) 대응 정리

2026. 7. 16. 21:31

이미지 출처: CISA KEV원격근무가 늘면서 회사 밖에서 내부망으로 들어오는 관문 역할을 하는 장비가 하나쯤은 다들 있음. SonicWall의 SMA1000 계열이 딱 그런 종류인데, 직원이 바깥에서 사내 시스템에 붙을 때 인증과 터널링을 대신 처리해주는 보안 원격접속 어플라이언스임. 문제는 이렇게 모두가 거쳐가는 관문일수록, 여기 구멍이 나면 그 뒤에 있는 내부망 전체가 통째로 위험해진다는 거임. CVE-2026-15410이 바로 이 SMA1000에서 발견된 코드 인젝션(Code Injection) 결함인데, 방어자 입장에서 어떻게 읽고 무엇부터 막아야 하는지 정리해봄.핵심 요약CVE-2026-15410은 SonicWall SMA1000 원격접속 어플라이언스의 코드 인젝션 취약점으로, 공격자가 넣은 ..

틀린 비밀번호 몇 번에 건물 전체 제어기가 멈춘다 — KNX 계정 잠금 설계가 만든 CVE-2023-4346

2026. 7. 16. 19:01

이미지 출처: CISA KEV사무실 조명, 공조, 블라인드, 출입 게이트가 한 벽면의 작은 제어반에서 조용히 돌아가는 건물을 떠올려 보자. 그 뒤에는 대개 KNX라는 오래된 빌딩 자동화 프로토콜이 깔려 있음. 그런데 이 KNX가 "보안을 강화하겠다"고 켜 두는 접속 인가(Connection Authorization) 기능이, 어떤 조건에서는 오히려 건물 관리자 자신을 문 밖으로 밀어내는 무기가 된다는 게 이번 이야기임. CVE-2023-4346, 이름부터가 '지나치게 엄격한 계정 잠금 메커니즘'이라 붙은 결함임.핵심 요약KNX 접속 인가(Option 1)의 계정 잠금이 너무 뻑뻑해, 잘못된 키 입력이 쌓이면 장치가 사실상 잠겨 정상 관리자까지 못 들어감.공격자는 코드 실행 없이 '틀린 키를 반복'하는 개..

결재선 밖에서 결재가 승인됐다 — Oracle EBS 권한 관리 결함(CVE-2026-46817)을 방어자 눈으로 뜯어보기

2026. 7. 16. 13:01

이미지 출처: CISA KEVERP는 회사에서 가장 지루하면서 가장 무서운 시스템임. 지루한 이유는 화면이 90년대에서 멈춰 있어서고, 무서운 이유는 그 안에 급여·거래처 계좌·발주 승인이 전부 들어 있어서임. 그런 Oracle E-Business Suite에서 권한 관리(Improper Privilege Management) 문제로 분류된 CVE-2026-46817이 올라왔음. 코드 실행도, 메모리 손상도 아님. 그냥 "하면 안 되는 사람이 할 수 있었다"는 유형임. 그래서 더 조용하고, 그래서 더 오래 안 들킴.핵심 요약CVE-2026-46817은 Oracle E-Business Suite의 부적절한 권한 관리 결함으로, 인가 경계 밖의 기능·데이터에 손이 닿는 유형임익스플로잇 코드가 없어도 위험함 ..

개인정보 유출 통지를 받았을 때 대처 순서 - 당황하지 않고 따라 하는 7단계 체크리스트

2026. 7. 16. 12:32

이미지 출처: general어느 날 문자 한 통이 옵니다. "고객님의 개인정보가 유출되었음을 안내드립니다." 회사 이름은 익숙한데, 내가 언제 가입했는지도 가물가물한 곳이죠. 심장이 쿵 내려앉으면서 드는 생각은 하나입니다. "그래서 나는 지금 뭘 해야 하지?"결론부터 말씀드리면, 유출 통지를 받았다고 해서 바로 무슨 일이 벌어지는 건 아니랍니다. 다만 가만히 있으면 몇 달 뒤에 진짜 일이 벌어질 수 있어요. 오늘은 통지를 받은 그날부터 순서대로 뭘 해야 하는지, 실제로 따라 할 수 있게 정리해 보겠습니다.핵심 요약통지문에서 '무엇이' 유출됐는지 먼저 확인 - 이름·연락처만인지, 주민번호·계좌까지인지에 따라 대응 강도가 완전히 달라짐당일 할 일: 해당 사이트 비밀번호 변경 + 같은 비밀번호 쓰던 다른 사이..

경계 장비가 내부로 대신 노크할 때 — SonicWall SMA1000과 SSRF(CVE-2026-15409) 읽는 법

2026. 7. 15. 21:32

이미지 출처: CISA KEVSSRF를 처음 배울 때 흔히 드는 비유가 있음. "심부름꾼에게 주소를 적어 보냈더니, 그 심부름꾼이 원래 못 들어가는 방까지 열고 들어갔다"는 이야기임. 그런데 이 비유가 유독 아프게 다가오는 위치가 있는데, 바로 원격접속 게이트웨이임. 인터넷과 내부망 사이에 서서 양쪽에 발을 걸치고 있는 장비이기 때문임. SonicWall SMA1000 계열에서 보고된 CVE-2026-15409가 정확히 그 자리에 있는 SSRF임.핵심 요약SMA1000은 인터넷 경계에 놓인 원격접속 어플라이언스라, SSRF 하나가 곧 '내부망 정찰 창구'가 됨.공격자는 장비에게 "이 주소로 대신 요청 좀"을 시켜 내부 서비스·메타데이터 엔드포인트를 훑음.방어는 패치가 1순위, 그다음이 아웃바운드 차단·프..

SharePoint 온프레미스, '로그인 화면을 아예 만나지 않는' 요청이 있다 — CVE-2026-56164 방어 노트

2026. 7. 15. 19:01

이미지 출처: CISA KEV사내 SharePoint는 대개 이런 취급을 받음. 인트라넷 안쪽이니까, VPN 붙어야 하니까, AD 계정 없으면 못 들어오니까. 그런데 이번에 공개된 CVE-2026-56164는 그 전제를 조용히 무너뜨리는 종류임. 취약점 분류명이 Missing Authentication for Critical Function, 즉 '중요한 기능에 인증이 빠져 있음'인데, 이 말은 공격자가 인증을 깨는 게 아니라 애초에 요구받지 않는다는 뜻임. 자물쇠를 딴 게 아니라 옆문에 자물쇠가 안 달려 있던 상황인 거임.핵심 요약CVE-2026-56164는 SharePoint Server의 특정 기능이 인증 검사를 거치지 않아 미인증 요청만으로 접근되는 결함임. 인증 우회가 아니라 '인증 부재'라는 ..

인증은 성공했는데 왜 그 앱까지 열렸을까 — ADFS 접근제어 구멍(CVE-2026-56155) 읽는 법

2026. 7. 15. 13:01

이미지 출처: CISA KEV사내 계정 하나로 메일도 열고, 인사 시스템도 열고, 외부 SaaS도 여는 회사가 많음. 그 중심에 앉아 있는 게 ADFS(Active Directory Federation Services)임. 로그인 창을 대신 띄워 주고, "이 사람 맞습니다"라는 도장(토큰)을 찍어 각 서비스로 보내 주는 중개인 역할이라 보면 됨. 그런데 이번에 공개된 CVE-2026-56155는 그 도장 자체를 위조하는 이야기가 아님. 도장은 정상인데, 그 도장을 어디까지 쓸 수 있는지 구분이 충분히 촘촘하지 않았다는 이야기임. 분류상 'Insufficient Granularity of Access Control', 우리말로 옮기면 접근 통제의 결이 너무 굵었다는 뜻임.핵심 요약ADFS의 접근 제어 판정..

오래된 인터넷 공유기 보안 점검법 — 집에서 10분 만에 끝내는 7단계 체크리스트

2026. 7. 15. 12:32

이미지 출처: general이사 온 지 5년째인데 공유기는 이사 오기 전부터 쓰던 거였습니다. 책장 뒤 먼지 쌓인 채로, 껌뻑껌뻑 불빛만 내면서 아무 말 없이 일하고 있었죠. 어느 날 문득 "저거 마지막으로 만져본 게 언제지?" 하는 생각이 들더라고요. 그래서 뒤집어 봤는데, 관리자 비밀번호가 아직도 스티커에 적힌 그대로였습니다. 좀 부끄러웠어요.공유기는 집 안의 모든 인터넷이 지나가는 현관문 같은 장비인데 말입니다. 노트북, 스마트폰, TV, 로봇청소기, 요즘은 도어락까지 전부 이 문을 통해 밖으로 나가거든요. 그런데 이 문을 5년 동안 한 번도 점검 안 했다면, 과연 잘 잠겨 있을까요?핵심 요약공유기 위험의 90%는 기본 관리자 비밀번호와 오래된 펌웨어, 이 두 가지에서 나옴. 나머지는 덤이라고 봐도..