같은 문자열을 서버와 브라우저가 다르게 읽을 때 — WordPress 코어 해석 충돌 CVE-2026-63030 방어 노트

2026. 7. 22. 13:01

이미지 출처: CISA KEV보안 사고 분석을 하다 보면 "분명히 입력값 검사를 통과했는데 왜 터졌지?" 하는 순간이 온다. 대개 원인은 하나다. 검사하는 쪽과 실행하는 쪽이 같은 데이터를 서로 다르게 해석했기 때문이다. 이번에 정리하는 WordPress 코어의 CVE-2026-63030도 정확히 그 계열, 이른바 '해석 충돌(Interpretation Conflict)' 유형에 속한다. 한쪽은 안전하다고 판단해 흘려보내고, 다른 한쪽은 그 문자열을 명령이나 태그로 받아들이는 어긋남 말이다.핵심 요약CVE-2026-63030은 WordPress 코어에서 입력값을 검증하는 계층과 실제로 처리·출력하는 계층이 동일 문자열을 다르게 해석하면서 필터를 우회하게 되는 해석 충돌 결함이다.공격의 핵심은 새 페이로드..

전 세계 사이트 열에 넷이 굴리는 엔진, 그 밑바닥 쿼리에서 샌 CVE-2026-60137

2026. 7. 22. 08:01

이미지 출처: CISA KEV워드프레스는 지금 이 순간에도 전 세계 웹사이트의 대략 40% 넘게를 떠받치고 있음. 그만큼 코어(core) 자체에서 SQL 인젝션 결함이 나왔다는 소식은, 특정 플러그인 하나가 삐끗한 것과는 무게가 다름. CVE-2026-60137은 바로 그 코어 계층에서 사용자 입력이 데이터베이스 쿼리로 흘러 들어가는 경로가 제대로 걸러지지 않아 생긴 SQL Injection 취약점임. 개인적으로 이런 코어 결함은 "우리 사이트는 플러그인 별로 안 깔았으니 괜찮겠지" 하는 방심을 정면으로 배신하는 종류라 더 눈여겨보게 됨.핵심 요약CVE-2026-60137은 워드프레스 코어의 SQL 인젝션으로, 플러그인이 아니라 엔진 자체가 영향권임.공격자는 조작된 입력으로 DB 쿼리를 비틀어 데이터 열..

관리자 계정 없이도 서버를 잡는다, WordPress 코어를 노린 wp2shell 결함 읽기

2026. 7. 18. 21:31

이미지 출처: The Hacker News전 세계 웹사이트 열 곳 중 넷 이상이 WordPress로 돌아간다는 통계는 이제 새롭지도 않음. 그런데 그 '넷 중 하나'가 플러그인이나 테마도 아니고 코어(core) 자체에서 인증 없이 원격 코드 실행을 허용한다면 이야기가 완전히 달라짐. 이번에 보고된 wp2shell 결함이 바로 그 자리를 건드렸음. 남의 계정을 훔칠 필요도, 관리자 페이지에 로그인할 필요도 없이, 그냥 열려 있는 요청 경로만으로 서버 안에서 코드가 돌아가는 구조라는 점이 핵심임.핵심 요약wp2shell은 WordPress 코어를 노린 인증 불필요(unauthenticated) 원격 코드 실행 결함으로, 로그인 없이도 서버 측 코드 실행이 가능한 유형임.공격 성공 시 웹셸 업로드·계정 탈취·..

파일 업로드 칸 하나가 관리자 권한까지 내주는 과정과 그 앞을 막는 법 (CVE-2026-56291)

2026. 7. 14. 13:02

이미지 출처: CISA KEV문의 폼 아래에 흔히 붙어 있는 '파일을 첨부하세요' 버튼. 이력서를 받거나 견적 요청에 참고 이미지를 붙이라고 만들어 둔, 사이트 주인 입장에선 친절한 배려의 칸임. 그런데 이 칸이 "무엇을 올릴 수 있는가"를 서버가 제대로 되묻지 않으면, 방문자가 사진 대신 서버에서 실행되는 스크립트를 올려두고 그걸 브라우저로 다시 불러내는 순간 사이트 전체가 남의 손에 넘어감. Balbooa Forms에서 보고된 CVE-2026-56291이 바로 이 지점을 건드림.핵심 요약Joomla용 폼 빌더인 Balbooa Forms의 파일 업로드 기능에서 위험한 형식의 파일을 걸러내지 못하는 결함(CVE-2026-56291)이 보고됨.공격자는 서버에서 실행되는 스크립트를 업로드해 원격 코드 실행·..

허용된 건 이미지, 올라간 건 스크립트: iCagenda CVE-2026-48939를 방어자 노트로 읽기

2026. 7. 14. 08:01

이미지 출처: CISA KEV동네 문화센터 홈페이지에 '강좌 신청' 코너가 하나 붙어 있다고 해봅시다. 참가자가 이름을 적고, 프로필 사진을 한 장 올리면 신청 완료. 관리자 입장에서는 손 안 대고 행사 목록이 채워지니 편하죠. 그런데 그 '사진 한 장 올리는 칸'이, 서버에서 코드를 실행시킬 수 있는 파일을 그대로 받아준다면 이야기가 완전히 달라집니다. iCagenda라는 Joomla 행사 관리 확장기능에서 보고된 CVE-2026-48939가 바로 그런 구조의 문제입니다.핵심 요약iCagenda의 파일 업로드 처리에서 위험한 확장자(스크립트류)를 제대로 걸러내지 못해, 이미지 대신 실행 가능한 파일이 서버에 올라갈 수 있는 취약점임.업로드된 파일이 웹에서 직접 실행되면 원격 코드 실행·웹셸 설치로 이어..

첨부파일도 링크도 아니었다 — Zimbra 웹메일에서 '열어본 메일'이 코드를 실행시키는 원리와 차단법

2026. 7. 13. 21:48

이미지 출처: The Hacker News사내 메일 관리자 입장에서 가장 등골이 서늘한 문장이 하나 있음. "사용자가 아무것도 누르지 않았는데 계정이 이상하게 움직였다." 이번 Zimbra 사안이 딱 그 유형임. 악성 첨부파일을 실행한 것도, 낚시 링크를 클릭한 것도 아니고, 그냥 받은 메일 한 통을 웹메일 화면에서 열어봤을 뿐인데 공격자가 심어둔 스크립트가 피해자의 로그인 세션 안에서 그대로 실행돼버리는 구조라 그럼.핵심 요약공격자가 특수하게 조작한 메일을 보내면, 피해자가 그 메일을 웹메일에서 열람하는 순간 스크립트가 피해자 권한으로 실행되는 저장형 XSS 계열 결함임.세션 쿠키·메일 내용 탈취, 자동 전달 규칙 삽입, 대신 메일 발송 같은 세션 기반 조작이 가능해 계정 하나가 조직 전체로 번질 수 ..

남의 달력·문의 폼이 침입 통로가 됐다 — Joomla 확장기능 두 개를 노린 제로데이, 방어자 대응법

2026. 7. 13. 21:45

이미지 출처: The Hacker News이벤트 달력을 붙이는 iCagenda, 문의·신청 폼을 만드는 Balbooa Forms. 둘 다 Joomla 사이트라면 흔히 깔려 있는, 말하자면 '있는 줄도 모르고 쓰는' 확장기능임. 그런데 이 조용한 부품 두 개가 패치가 나오기도 전에 실제 공격에 쓰였다는 보고가 나왔음. 코어(Joomla 본체)는 멀쩡한데 곁다리로 붙인 플러그인이 문을 열어준 전형적인 사례라, 방어하는 입장에서 뜯어볼 값어치가 충분함.핵심 요약Joomla 확장기능 iCagenda(이벤트 달력)와 Balbooa Forms(폼 빌더)의 결함이 패치 이전에 악용된 정황이 보고됨 — 이른바 제로데이 상황.코어가 아니라 서드파티 확장기능이 진입점이라는 점이 핵심. 관리자가 설치 사실조차 잊고 방치하기..

로그인 안 한 손님이 '편집' 버튼을 눌러버렸다 — Joomlack Page Builder 접근제어 결함(CVE-2026-56290) 뜯어보기

2026. 7. 8. 19:01

이미지 출처: CISA KEV홈페이지 관리자 페이지를 만들다 보면 이런 착각을 하기 쉽다. "이 기능은 관리자 메뉴 안에만 있으니까 아무나 못 건드리겠지." 그런데 웹은 메뉴로 접근을 막는 게 아니다. 주소(엔드포인트)로 접근한다. 메뉴에 버튼이 안 보여도, 그 버튼이 부르는 주소를 손으로 쳐 넣으면 서버는 순순히 응답한다 — 서버 쪽에서 "너 이거 할 권한 있어?"를 따로 되묻지 않는다면 말이다. 이번에 공개된 CVE-2026-56290, Joomla용 페이지 빌더 확장인 Joomlack Page Builder의 부적절한 접근제어(Improper Access Control) 결함이 딱 그 착각을 파고든다.핵심 요약Joomlack Page Builder에서 권한 확인이 빠진 기능이 발견됨 — 낮은 권한 ..

주소창의 ID 한 글자를 바꿨더니 남의 워크플로가 열렸다 — Langflow 권한 우회(CVE-2026-55255)를 방어자 시선으로

2026. 7. 8. 13:02

이미지 출처: CISA KEV사내에서 Langflow로 LLM 파이프라인을 굴리는 팀을 상상해 보자. 마케팅 담당자 계정으로 로그인해 자기 흐름도(flow)를 여는데, 브라우저 주소창이나 요청 본문에 붙은 식별자(ID) 값이 순차적인 숫자거나 추측하기 쉬운 문자열이더라. 그 값을 옆자리 동료의 것으로 슬쩍 바꿔 요청을 보냈더니, 서버가 "이건 당신 게 아닌데요"라고 막지 않고 그대로 남의 워크플로를, 심지어 그 안에 박아둔 API 키까지 내어준다면? CVE-2026-55255는 바로 이 지점, 사용자가 마음대로 바꿀 수 있는 키(user-controlled key)를 서버가 그대로 믿어버리는 인가(authorization) 결함을 다룬다.핵심 요약Langflow에서 요청에 담긴 리소스 식별자를 소유권 검..

이미지 올리는 칸으로 서버가 넘어간다 — Joomla SP Page Builder의 CVE-2026-48908, 탐지와 차단 관점에서 보기

2026. 7. 8. 08:01

이미지 출처: CISA KEVJoomla로 만든 회사 소개 페이지 하나. 디자이너가 드래그 앤 드롭으로 배너를 바꾸고, 담당자가 PDF 브로슈어를 올리던 그 익숙한 업로드 칸이 있음. 평소엔 아무도 의심하지 않는 이 입력구가, 어느 순간 공격자에게는 서버에서 원하는 코드를 실행하는 문이 되어버림. CVE-2026-48908은 바로 그런 종류의 이야기임.핵심 요약JoomShaper의 SP Page Builder에서 위험한 형식의 파일 업로드를 제대로 막지 못하는 문제로, 공격자가 웹셸을 올려 원격 코드 실행까지 이어질 수 있음.핵심은 확장자·MIME·매직바이트 검증과 업로드 디렉터리의 실행 차단이 뚫렸다는 점이며, 성공하면 사이트 전체와 서버 계정이 위험해짐.방어는 '업데이트 → 업로드 경로 실행권한 제거..

CISA가 SharePoint 원격코드실행 결함에 '악용 중' 도장을 찍었다 — 기한 통보 뒤 방어자가 밟아야 할 순서

2026. 7. 4. 08:01

이미지 출처: BleepingComputer미국 사이버보안·인프라보안국(CISA)이 관리하는 '알려진 악용 취약점(KEV)' 목록은 이름만 화려한 위험을 걸러내는 필터다. 이 목록에 오른다는 건 이론상 위험이 아니라 지금 이 순간 실제로 누군가 이 구멍으로 들어오고 있다는 관측이 확보됐다는 뜻이다. 이번에 마이크로소프트 SharePoint의 원격코드실행(RCE) 결함이 그 목록에 추가됐다. 사내에 온프레미스 SharePoint 서버를 굴리는 조직이라면, 이건 '언젠가 패치할 항목'이 아니라 이번 주 안에 끝내야 할 숙제로 바뀌었다는 신호다.핵심 요약CISA가 SharePoint RCE 결함을 KEV 목록에 등재 — 실제 악용이 관측됐다는 의미이며, 미 연방기관에는 시정 기한이 통보됨.SharePoint ..

AI 워크플로 서버가 밤새 코인을 캐고 있었다 — Langflow 원격코드실행 대응법

2026. 7. 1. 21:31

이미지 출처: The Hacker News새벽에 클라우드 요금 알림이 먼저 울리는 경우가 있음. 트래픽이 폭증한 것도 아닌데 CPU 사용률만 며칠째 100%에 붙어 있고, 프로세스 목록엔 낯선 이름 하나가 조용히 돌아가고 있음. 최근 공개된 Langflow 원격코드실행(RCE) 악용 사례가 딱 이런 모양임. 인터넷에 그대로 노출된 AI 앱 엔드포인트를 노려, 공격자가 서버를 통째로 모네로(Monero) 채굴기로 바꿔버린 사건임.핵심 요약Langflow의 코드 검증용 API 엔드포인트가 인증 없이 임의 코드를 실행하는 통로가 되어, 공개된 서버들이 채굴 악성코드에 감염됨.공격 신호는 거창하지 않음 — CPU 급등, 알 수 없는 아웃바운드 연결(채굴 풀), 낯선 프로세스가 1차 탐지 포인트임.방어의 핵심은 ..