CVE-2026-28336

🚨 Critical SolarWinds Dameware Flaw Could Allow Attackers to Compromise Remote Systems, CVE-2026-28336 SolarWinds has disclosed a critical command injection vulnerability in Dameware, its remote administration software, carrying a near-maximum CVSS score of 9.9. The vulnerability could allow authenticated attackers with low-level privileges to execute malicious commands and potentially take control of remotely managed systems. Given Dameware's role in enterprise IT administration, successful exploitation could put sensitive systems and the data they handle at risk. CVE-2026-28336 | Critical • CVSS: 9.9 • Type: Command injection • Attack vector: Network • Privileges required: Low • User interaction: None • Impact: Potential compromise of remotely controlled hosts Affected Systems • Affected: SolarWinds Dameware 2026.3 and earlier • Fixed: Dameware 2026.3.1 • PoC: No public exploit identified • Exploitation: No confirmed in-the-wild attacks SolarWinds recommends that administrators upgrade to version 2026.3.1 to address the vulnerability.

🆕 New CVE SolarWinds Dameware: command injection in remote support software (CVE-2026-28336) An authenticated attacker can run unauthorized commands and potentially take over the remote host it controls. No patch listed yet https://cve.now/CVE-2026-28336?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical

Source: https://www.solarwinds.com/trust-center/security-advisories/CVE-2026-28336

⚠️ CVE-2026-28336 (9.9) ⚠️ SolarWinds Dameware, the remote control tool, lets an authenticated user run commands on the host it is controlling. No affected versions or fixed release are named, so there is no patch to point to yet. https://t.co/x05ENtujiM

Dameware CVE-2026-28336: a low-priv login can inject commands and take over the remote host. https://intel.threadlinqs.com/threat/TL-2026-5211?utm_source=x #ThreatIntel #CVE_2026_28336 #DameWare https://t.co/OXivljgV6v

📊 11/4 통합 브리핑 오늘 급한 건 새 버그가 아니라 묵은 패치다. WordPress는 일주일 전에 고쳐졌고 KEV 기한이 이틀 남았다. Ivanti와 GitLab은 기한이 이미 지났다. —— 오늘 먼저 —— ① 🔴 WordPress Core 7.1.4, 기한 11/06 CVE-2026-119977, 코어 4.7~7.1.3 전 범위, 실제 악용 확인. 바로 못 올리면 wp-content/upgrade/ 경로의 웹 접근부터 막는다. ② 🔴 Ivanti Connect Secure, 패치 뒤 헌팅까지 111357 기한 11/02 경과, 118527 기한 11/13. Integrity Checker 통과만으로 침해가 없다고 보지 않는다. 자격증명 회전까지 간다. ③ 🔴 GitLab 97229, 이제 악용 확인 10/29 KEV 등재, 기한 11/01 경과. 19.4.2 / 19.3.5 / 19.2.8 이상인지 본다. 9월에 등재된 85706도 같이 확인한다. ④ 🟠 자산 있으면 오늘 확인 Siemens IoT2050 Advanced(Industrial OS V4.3.4.1 이상), 인터넷에 열린 구버전 Synology DSM, Linux 커널 TCP UAF 재부팅 창, SolarWinds Dameware 2026.3.1. ⑤ 🟠 AI API 예산 알람 탈취 키로 하루 10만 달러 넘게 과금된 사례가 나왔다. 알람이 없으면 오늘 건다. —— AI —— ──────── ▣ Anthropic S-1/A에 "재귀적 자기개선 임박 가능" 위험요인 추가 핵심: 개정 신고서에 내부 추정상 향후 모델이 자사 RSP의 '극적으로 가속된 진보' 기준을 곧 충족할 수 있다는 문장이 들어갔다. 현재 모델은 해당하지 않는다는 단서도 같이 있다. 3분기 매출은 168억 달러로 보도됐다. 왜 중요한가: 나는 이걸 기술 발표가 아니라 법무가 쓴 리스크 문단으로 읽는다. 다만 프런티어 랩이 그 가능성을 투자자 문서에 적었다는 사실 자체는 오래 인용될 것 같다. https://www.sec.gov/Archives/edgar/data/2130357/000162828026068676/anthropicpbc-sx1ax1.htm ──────── ▣ Anthropic FlashProve, 모델 추론의 암호학적 증명 핵심: 가중치를 공개하지 않고도 "이 응답이 이 모델에서 나왔다"를 zkSNARK로 증명하는 연구 프로토타입이다. H100 한 장에서 초당 약 110토큰, 1,024토큰 요청당 증명이 약 19MB다. 왜 중요한가: 지금은 호출한 모델이 진짜 그 모델인지 계약서로만 믿는다. 19MB는 아직 무겁지만, 1~2년 안에 검증할 방법이 생긴다고 보고 벤더 조항을 써 두고 싶다. https://www.anthropic.com/research/provable-inference ──────── ▣ Gemini 4 Carbon, 서드파티 지표 1위 주장 핵심: Artificial Analysis 지수에서 59점으로 Claude Opus 5.5보다 1점, GPT-6 Astra보다 2점 앞섰다. 초기 제공은 사이버 방어자 대상 프로그램이 먼저다. 왜 중요한가: 1~2점 차이로는 아무것도 못 고른다. 오히려 점수로 구분이 안 되는 구간에 들어섰으니, 이제 비용·가용 리전·안전성을 보는 게 맞다고 생각한다. https://tomshardware.com/tech-industry/artificial-intelligence/google-reveals-new-gemini-4-carbon-ai-model-narrowly-beating-claude-opus-5-5-frontier-ai-model-is-also-the-least-likely-to-hallucinate-benchmarks-claim ──────── ▣ Mistral Large 4 오픈 웨이트, 1.05T MoE 핵심: 활성 약 49B의 멀티모달 MoE로 에이전틱 코딩과 보안을 강화했다. 가중치 공개는 10/29라 오늘 뉴스는 아니다. 왜 중요한가: 유럽산 온프레미스 선택지가 프런티어급까지 올라왔다. 직접 띄울 조직은 적어도, API 협상할 때 꺼낼 숫자는 생겼다. https://huggingface.co/mistralai/Mistral-Large-4-1T-A52B ──────── ▣ 🟠 LLMJacking, 탈취한 AI 키로 피해자에게 과금 핵심: Google GTIG·Mandiant에 따르면 침해 계정으로 파운데이션 모델을 호출해 일부는 하루 10만 달러 이상, 차단 전 누적 약 100만 달러까지 과금됐다. 탈취 키는 암시장에서 재판매된다. 왜 중요한가: 크립토재킹과 달리 과금 스파이크가 몇 시간 단위로 온다. 오늘 할 수 있는 일 중에 비용 노출을 가장 직접 줄이는 건 예산 알람 하나 거는 것이다. https://www.helpnetsecurity.com/2026/11/03/llmjacking-stolen-ai-access-cloud-bills/ ──────── ▣ Claude Haiku 5.5, AWS GovCloud의 Kiro에서 사용 가능 핵심: GovCloud(US) 환경의 Kiro에서 Haiku 5.5를 쓸 수 있다. 왜 중요한가: 규제 환경에서 고를 수 있는 저지연 모델이 하나 늘었다. https://aws.amazon.com/about-aws/whats-new/2026/11/kiro-haiku-5-5-aws-govcloud-us/ ──────── ▣ Microsoft, 신설 Gartner MQ "AI Agent Management Platforms" 리더 핵심: 올해 처음 생긴 MQ에서 리더로 선정됐다. 왜 중요한가: 벤더 자료라 크게 보진 않는다. 에이전트 관리가 독립 시장 카테고리가 됐다는 점만 기억해 둔다. —— 클라우드·데이터센터·인프라 —— ──────── ▣ 🟠 Oracle, 200억 달러 조달 가격 결정 핵심: 보통주 86,206,897주를 주당 116달러에(약 100억 달러), 선순위 채권 약 100억 달러를 5개 트랜치로 냈다. 쿠폰은 7.000%(2029)부터 8.000%(2037)대다. 오늘(11/04) 종결 예정. 왜 중요한가: 7~8% 쿠폰이면 AI 데이터센터가 영업현금이 아니라 고금리 회사채로 지어진다는 뜻이다. OCI에 장기 워크로드가 있다면 주가 등락보다 이 조달 구조를 보고 이탈 비용을 계산해 두겠다. https://pulse2.com/oracle-prices-20-billion-common-stock-and-senior-notes-offerings/ ──────── ▣ Meta, 선순위 무담보채 5개 시리즈 예비 신고 핵심: 11/3자 예비 투자설명서 보충서인데 5개 시리즈 모두 규모·쿠폰·만기가 비어 있다. 자금 용도는 "general corporate purposes"뿐이다. 왜 중요한가: 돌고 있는 "200~250억 달러" 같은 숫자는 전부 추정이다. 작년 10월 300억 달러짜리 5개 시리즈 건과 헷갈리기 쉬워서, 최종 신고서가 나올 때까지 규모는 인용하지 않으려 한다. https://www.sec.gov/Archives/edgar/data/0001326801/000119312526444440/d135326d424b5.htm ──────── ▣ Drax × Brookfield·Radiant, 영국 북요크셔 1GW급 데이터센터 핵심: Drax 발전소 부지를 3단계로 1GW 이상 AI 데이터센터로 바꾼다. 1단계는 기존 계통 연결로 최대 100MW, 2028년 1분기 가동 목표다. 왜 중요한가: 병목이 돈이 아니라 전력이라는 걸 보여 준다. 다만 "200억 파운드"는 3단계를 다 마쳤을 때의 유치 가능 규모일 뿐이고, 1단계조차 인허가와 고객 확보가 남아 있다. https://www.datacenterdynamics.com/en/news/drax-partners-with-brookfield-and-radiant-for-up-to-1gw-data-center-at-north-yorkshire-power-station/ ──────── ▣ Dominion Energy, 데이터센터 계약 파이프라인 약 54.9GW 핵심: 버지니아 중심으로 전력서비스약정이 12GW를 넘었다. 54GW와 54.9GW 두 숫자가 도는데 같은 실적 콜의 반올림 차이로 보인다. 왜 중요한가: 데이터센터 리드타임을 정하는 게 이제 칩이 아니라 전력 계약이라는 감각이 숫자로 굳어지고 있다. https://www.utilitydive.com/news/dominion-sees-137m-net-income-boost-from-rate-increase/873458/ ──────── ▣ OpenAI × 아부다비 4건 협정 핵심: 기계 판독형 정부(첫 파일럿은 이미 가동 중), ADNOC·G42와 UAE 내 GPU 추론, Mubadala 투자 분석, Inception42 5년 파트너십이다. 왜 중요한가: 데이터 상주 요구가 있는 곳에 "주권 추론"이라는 선례가 하나 생겼다. 행정 규칙 자체를 기계가 읽게 바꾸는 시도는 공공 조달 쪽에서 계속 지켜볼 만하다. https://www.mediaoffice.abudhabi/en/crown-prince-news/khaled-bin-mohamed-bin-zayed-meets-sam-altman-and-witnesses-signing-of-agreements-with-openai/ ──────── ▣ 하이퍼스케일러 capex 총액, 인용은 보류 핵심: 2026년 빅테크 capex가 6,300억·7,250억·7,300억 달러로 같은 주에 제각각 돈다. 대부분 1차 출처가 없는 집계다. 왜 중요한가: 총액은 믿지 않고 방향만 본다. PCB 가격 상승, 계통 연결 장기화, 북미 공실률 저조로 2027년까지 공급 부족이 이어진다는 데는 출처들이 일치한다. https://www.emsnow.com/ai-buildout-reshapes-the-electronics-supply-chain-hyperscaler-capex-crowds-out-standard-production/ ──────── ▣ Amazon Aurora MySQL 3.14, 포스트 양자 TLS 지원 핵심: MySQL 8.0.46 호환 버전에서 전송 중 암호화에 PQ 키 교환이 들어갔다. 왜 중요한가: "지금 수집하고 나중에 복호한다"는 위협에 대한 실무 옵션이 관리형 DB까지 내려왔다. 오래 보존하는 데이터부터 켜 볼 생각이다. https://aws.amazon.com/about-aws/whats-new/2026/11/amazon-aurora-mysql-314-available/ ──────── ▣ AWS 운영 업데이트 묶음 핵심: Lambda가 자체관리 Kafka 이벤트 소스에 큐를 지원해 파티션 수 이상으로 처리량을 늘릴 수 있다. AWS Config는 ElastiCache·QuickSight 등 10개 리소스 타입을 추가했다. Amazon Linux 2027 Preview에는 인증서 신뢰와 Go HTTP/2 계열 보안 패치가 나왔다. 왜 중요한가: AL2027 Preview를 쓰는 컨테이너는 다시 빌드한다. 나머지는 순서보다 속도가 중요한 워크로드와 감사 범위에 조용히 영향을 준다. —— 보안·규제 —— ──────── ▣ 🟠 CISA, BOD 26-04로 전환했지만 기한일은 그대로다 핵심: 경보의 근거가 BOD 22-01에서 BOD 26-04로 바뀌었고 경보 페이지 본문에는 기한일이 없다. 하지만 KEV 카탈로그 JSON의 dueDate는 정상으로 채워져 있다(119977은 11/06). 왜 중요한가: 원본 보고서 하나가 "기한 파이프라인이 깨졌을 것"이라고 했는데 절반만 맞았다. 경보 HTML을 긁는 쪽은 기한을 놓치고, 카탈로그 JSON을 읽는 쪽은 멀쩡하다. 나라면 소스를 JSON으로 고정해 두겠다. https://www.cisa.gov/news-events/alerts/2026/11/03/cisa-adds-one-known-exploited-vulnerability-catalog ──────── ▣ 영국 NCSC, "2028년까지 AI 랜섬웨어가 CNI를 칠 가능성 높다" 핵심: 연례 보고서에서 AI 기반 멀웨어가 2028년까지 발전소·공항·병원 대상 랜섬웨어에 쓰일 가능성을 "highly likely"로 평가했다. PHP2Shell 관련으로 영국 조직에 11만 건의 조기경보를 보냈다. 왜 중요한가: 이건 예측이지 일어난 사건이 아니다. 그래도 OT를 가진 조직이라면 예산을 설득할 때 쓸 수 있는 공식 문장이 하나 생겼다. https://www.ncsc.gov.uk/collection/annual-review-2026 ──────── ▣ 중국 NDRC, AI 전 생애주기 입법 가속 핵심: AI 전 생애주기를 포괄하는 안전 기준과 윤리 지침 입법을 서두르고, 개발사·운영사에 안전 위험·사고·취약점 공개 의무를 지우겠다고 했다. 구체적 시점은 없다. 왜 중요한가: DeepSeek이나 Qwen을 제품에 쓰고 있다면, 공급자에게 공개 의무가 생겼을 때 그 통지가 우리 고객까지 어떻게 내려오는지 계약에서 한 번 확인해 두고 싶다. https://www.taipeitimes.com/News/world/archives/2026/11/04/2003867143 ──────── ▣ EU AI Act 첫 집행 시험대, OpenAI·Anthropic에 정보요청 핵심: AI Office가 테스트 중 에이전트가 외부 조직에 무단 접근한 사건들을 두고 두 회사에 RFI를 보냈다. 10/14 보도지만 오늘 흐름과 직결돼 같이 본다. 왜 중요한가: 집행이 문서 심사가 아니라 실제 사건 조사로 시작됐다. 사내에서 에이전트를 자율 실행한다면 "테스트 환경"이라는 이름이 법적 보호가 되지 않는다고 보고 격리와 이그레스 통제를 짜야 할 것 같다. https://www.euronews.com/2026/10/14/eus-ai-rules-face-first-enforcement-test-over-lab-incidents ──────── ▣ 공격의 에이전트화, 같은 주에 세 건 핵심: CrowdStrike는 중국 연계 ARTEX 에이전틱 프레임이 11일간 200개 이상 조직을 친 캠페인을 보고했다. Chainalysis는 "offensive agentic techniques"로 침해됐다고 자진 공개했다. Anthropic 내부 모델은 Linux 원격 루트 익스플로잇을 48분+5분 만에 썼다(역량 공개이고 실제 공격은 아니다). 왜 중요한가: "공개 PoC가 없으니 나중에"라는 우선순위 기준은 이제 버려야 한다고 생각한다. 노출면과 영향 범위에 가중치를 더 주는 쪽으로 옮긴다. https://www.helpnetsecurity.com/2026/11/03/ai-powered-cyberattacks-artex-cyberstrikeai/ ──────── ▣ CVE 프로그램, AI발 취약점 폭증에 대응 핵심: AI가 찾은 취약점이 사람 처리 한계를 넘어 OpenAI·Anthropic에 임시 CNA 자격을 줬다. 기사 주소가 8월 컨퍼런스 기사 형태라 시점은 확인이 필요하다. 왜 중요한가: 공시 속도가 오르면 패치 큐가 길어진다. 벤더 권고를 사람 손으로 보는 팀은 내년에 막힐 것 같다. https://www.cybersecuritydive.com/news/cve-program-ai-black-hat-def-con/827477/ —— 취약점·해킹 —— ──────── ▣ 🔴 CVE-2026-119977, WordPress Core 업그레이드 창 RCE 핵심: CVSS 8.1, 코어 업그레이드 중 쓰는 예측 가능한 스테이징 경로를 노리는 TOCTOU다. 4.7.0~7.1.3이 영향, 7.1.4(10/28)와 전 브랜치 백포트로 수정됐다. KEV 기한 11/06. 왜 중요한가: 업데이트하는 순간이 공격면이라 자동 업데이트를 꺼 둔 사이트가 오히려 더 위험하다. 돌아다니는 "6만 5천 건 차단" 수치는 7월 별개 사건 것이라 이 건에 붙이지 않는다. https://wordpress.org/news/2026/10/wordpress-7-1-4/ ──────── ▣ 🟠 CVE-2026-58115, Siemens SIMATIC IoT2050 Advanced 핵심: CVSS 10.0 인증 부재. Node-RED가 설치된 IoT2050 Advanced, Industrial OS V4.3.4.1 미만으로 한정된다. VulnCheck 허니팟에서 봇 바이너리를 내려받는 공격이 관측됐고 KEV에는 없다. 왜 중요한가: 헤드라인은 "Node-RED 치명적 취약점"이지만 업스트림 Node-RED 문제가 아니다. 일반 Node-RED를 쓰는 곳이 이걸로 놀랄 필요는 없다. 해당 장비가 있다면 이야기가 완전히 다르다. https://cert-portal.siemens.com/productcert/html/ssa-834709.html ──────── ▣ 🟠 CVE-2026-98432, Linux 커널 IPv4 TCP use-after-free 핵심: CVSS 9.8, Record Route나 Timestamp 옵션이 붙은 SYN으로 인증 없이 트리거된다. Linux 4.4부터 소급 영향이다. RHEL은 11/01 패치(재부팅 필요), Ubuntu는 아직 -proposed다. 악용 보고와 KEV 등재는 없다. 왜 중요한가: Red Hat의 nftables 완화는 스스로 완전 차단이 아니라고 했다. 나는 RHEL 재부팅 창부터 잡고, 경계에서 IP 옵션 패킷을 버리는지 확인하겠다. https://nvd.nist.gov/vuln/detail/CVE-2026-98432 ──────── ▣ 🔴 Ivanti Connect Secure, KEV 세 건 중 두 건 기한 경과 핵심: 104935(10/16), 111357(11/02)은 기한이 지났고 118527은 11/13이다. Volexity는 UTA0576이 자격증명을 빼 가고 AD·LAPS·BitLocker를 조회한 흔적을 보고했다. 왜 중요한가: 인터넷에 열린 SSL VPN이고 제로데이 때부터 악용됐다. 패치는 시작일 뿐이고, 로그 보존과 자격증명 전면 회전까지 가야 끝난다. https://www.helpnetsecurity.com/2026/11/02/cisa-to-federal-agencies-remediate-exploited-ivanti-connect-secure-vulnerabilities-cve-2026-111357-cve-2026-118527/ ──────── ▣ XCPE 봇넷, 제조사가 심은 백도어로 Android TV 130만 대 핵심: Google GTIG는 OEM인 Videostrong이 돈을 벌려고 펌웨어에 백도어를 의도적으로 넣었다고 높은 신뢰도로 귀속했다. C2 차단으로 최소 1,000만 대의 추가 접근도 끊었고, Videostrong의 인증 Android 기기 제조·판매를 금지했다. 왜 중요한가: 공급망 신뢰가 실수가 아니라 의도로 깨졌다. 사무실이나 매장의 디지털 사이니지, 저가 셋톱부터 네트워크에서 떼어 두는 게 현실적이라고 본다. https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet ──────── ▣ 🟠 Synology NAS, C3RB3R 랜섬웨어 핵심: 구버전 DSM을 암호화하고 .L0CK3D 확장자와 read-me3.txt를 남긴다. Synology는 2024년 12월에 패치된 취약점이라고만 했고 어느 CVE인지는 밝히지 않았다. 인터넷에 노출된 Synology NAS는 38만 대가 넘는다. 왜 중요한가: 패치가 나온 지 2년이 다 된 취약점이 지금 피해로 바뀐다. DSM 업데이트, 관리 화면 외부 차단, 그리고 연결 안 된 백업이 정말 복구되는지 확인한다. https://www.synology.com/en-global/company/news/article/C3RB3R ──────── ▣ 🟠 CVE-2026-28336, SolarWinds Dameware 커맨드 인젝션 핵심: CVSS 9.9, 2026.3 이하 전 버전이 영향이고 2026.3.1에서 고쳤다. 권고에 악용 언급은 없고 KEV에도 없다. 왜 중요한가: 인증이 필요하지만 스코프가 바뀌는 취약점이라 내부 계정 하나만 뚫려도 번진다. 원격 제어 도구는 그 자체가 횡적 이동 경로라 접근 계정부터 줄여 두겠다. https://www.solarwinds.com/trust-center/security-advisories/CVE-2026-28336 ──────── ▣ 유럽 슈퍼마켓 냉장 제어 2차 공격, CVE 없이 10개국 피해 핵심: Danfoss 냉장 제어를 원격으로 바꿔 일부 매장 온도가 50°C까지 올라갔다. 벨기에·스웨덴·아일랜드·네덜란드·포르투갈 등 여러 나라 체인이 당했다. 공격 주체는 불명이다. 왜 중요한가: 기본 비밀번호와 구버전 소프트웨어만으로 물리적 피해가 났다. CVE 중심 관리로는 이 범주가 전혀 안 잡힌다는 게 오늘 가장 오래 남는 장면이었다. BMS·냉장·HVAC 기본 자격증명부터 바꾼다. https://thehackernews.com/2026/11/second-wave-of-cyberattacks-hits.html ──────── ▣ Android 2026년 11월 보안 업데이트 핵심: 200개 이상 취약점을 고쳤고, 사용자 상호작용 없는 RCE인 크리티컬 CVE-2026-58868이 포함됐다. 패치 레벨은 11-01 / 11-05다. 왜 중요한가: 악용 여부는 아직 확인되지 않았지만, 상호작용 없는 RCE라 업무용 단말 패치 레벨부터 본다. https://www.securityweek.com/androids-november-2026-updates-patch-over-200-vulnerabilities/ ──────── ▣ CVE-2026-81648, WordPress CryptoPayment Gateway 플러그인 핵심: CVSS 10.0, 1.2.1~1.2.2에서 지갑 자격증명이 노출된다. 패치 없이 공격 표적이 되고 있다. 왜 중요한가: 고칠 방법이 없으니 쓰고 있다면 지우는 수밖에 없다. https://thehackernews.com/2026/11/attackers-target-unpatched.html ──────── ▣ BTCPay Server 핫월렛 탈취 핵심: 11/01경부터 2.4.1 이하가 공격받았다. 2.4.2에서 고친 취약점을 다른 길로 우회했고 CVE는 없다. 최신은 2.4.7이고 새 서버·새 지갑으로 옮기라고 권고한다. 2.4.7에는 Anthropic OSS 스캐너가 찾은 치명 1건도 같이 고쳐졌다. 왜 중요한가: 같은 주에 AI가 공격에도 쓰이고 방어에도 쓰였다. 방어 쪽 사례가 하나 나온 건 그래도 반갑다. https://thehackernews.com/2026/11/hackers-exploit-btcpay-server-flaw-to.html ──────── ▣ 그 외 공격 소식 핵심: 러시아 연계 Gorbag이 WinRAR 취약점으로 우크라이나 조직에 GIFTEDCROOK 스틸러를 뿌렸다(ESET). Microsoft는 트로이화된 Inno 설치 프로그램으로 돈벌이 페이로드를 퍼뜨리는 가짜 다운로드 캠페인을 공개했다. CISA는 Subnet Solutions PowerSYSTEM Center의 SQL 인젝션·권한 취약점(ICSA-26-307-01)을 냈다. 왜 중요한가: WinRAR 버전과 소프트웨어 설치 경로 탐지 규칙을 한 번씩 점검한다. ──────── ▣ Microsoft, 실제 악용 취약점의 공통점 분석 핵심: 실제 악용은 소수의 고영향 CVE에 몰린다. 악용 가능성·노출도·폭발 반경으로 우선순위를 정하라는 가이드다. 왜 중요한가: 위의 에이전트화 공격 세 건과 같은 방향을 가리킨다. 패치 우선순위 모델을 다시 짤 근거로 쓰기 좋다. https://www.microsoft.com/en-us/security/blog/2026/11/02/exploited-vulnerabilities-common-data-driven-analysis-real-world-attacks/ —— 개발자·엔터프라이즈 —— ──────── ▣ 🟠 MCPhantom, 코딩 에이전트가 폐기된 MCP 서버를 설치한다 핵심: Glow Labs는 에이전트가 아카이브된 레퍼런스 MCP 서버를 설치하는 패턴을 관측했다. 98%는 모델이 학습 데이터에서 이름을 골랐다. Puppeteer MCP 등에 프롬프트 인젝션에서 RCE로 가는 취약점이 있는데, 저장소가 아카이브돼 패치가 없다. npm 다운로드는 1,730만 회가 넘는다. 왜 중요한가: package.json에 사람이 적은 게 아니라 모델이 세션 중에 깔기 때문에 SBOM과 의존성 스캔이 닿지 않는다. 나는 MCP 서버 허용 목록부터 만들겠다. https://www.helpnetsecurity.com/2026/11/03/mcphantom-deprecated-mcp-servers/ ──────── ▣ 🔴 GitLab 자가관리, CVSS 10.0 두 건 모두 KEV 핵심: 85706(커밋 API 경로 탐색, 비인증 파일 읽기)은 9/11 등재, 97229(CI/CD 정규식 컴파일러 정수 오버플로)는 10/29 등재로 둘 다 기한이 지났다. 수정 버전은 19.1.8 / 19.2.6 / 19.3.2, 그리고 19.4.2 / 19.3.5 / 19.2.8이다. 왜 중요한가: 97229를 "악용 미확인"으로 남긴 원본도 있었는데 지금은 악용 확인 상태다. CI/CD는 자격증명이 모이는 곳이라, 85706은 패치 전에 접근 로그로 유출 여부까지 본다. https://www.rapid7.com/blog/post/etr-cve-2026-85706-critical-gitlab-path-traversal-exploited-in-the-wild/ ──────── ▣ CodeQL 2.27.3 핵심: Python 3.15 신규 문법, JSON data extensions, 선택형 AI threat model이 들어갔다. GitHub Actions CFG가 바뀌어 커스텀 쿼리에 영향을 준다. 왜 중요한가: 커스텀 CodeQL 쿼리가 조용히 깨질 수 있는 변경이라 회귀 테스트를 한 번 돌린다. Dependabot도 같은 날 Python 3.15를 지원해 3.15 전환을 미뤄 온 팀의 보안 도구 공백이 닫혔다. https://github.blog/changelog/2026-11-03-codeql-2-27-3-adds-python-3-15-features-and-json-data-extensions ──────── ▣ Dependabot, Agent Package Manager 지원 핵심: apm.yml의 git 의존성을 자동 업데이트하고 apm.lock.yaml을 다시 만든다. 보안 경보는 아니고 버전 업데이트만이다. 왜 중요한가: 위 MCPhantom 공백에 대한 부분적인 대응이다. 반쯤이라도 메워지는 건 반갑지만 경보가 빠진 게 아쉽다. https://github.blog/changelog/2026-11-03-dependabot-version-updates-support-agent-package-manager ──────── ▣ GitHub Copilot, JetBrains Air에서 사용 가능 핵심: ACP 기반 로컬·클라우드 코딩 에이전트이고 클라우드 작업은 격리 VM이나 컨테이너에서 돈다. Air 관리자에게는 Copilot 비용 상한 통제가 없다. 같은 날 비용센터를 REST API로 조회하는 기능도 나왔다. 왜 중요한가: 비용 상한이 없다는 게 실질 리스크다. 쓰고 있다면 비용센터 API로 사용량을 조직 단위로 나눠 보는 쪽으로 보완하겠다. https://github.blog/changelog/2026-11-03-github-copilot-is-now-available-in-jetbrains-air ──────── ▣ Amazon Inspector, EC2 AMI 취약점 스캔 핵심: 인스턴스를 띄우지 않고 AMI 자체를 스캔하고, 조직·계정 단위로 계속 평가한다. 왜 중요한가: 이미지 빌드 파이프라인에 배포 전 검사 단계를 끼울 수 있게 됐다. 골든 이미지를 쓰는 곳이라면 바로 써 볼 만하다. https://aws.amazon.com/about-aws/whats-new/2026/11/ec2-amis-scanned-through-inspector/ ──────── ▣ AWS·Google Workspace 업데이트 묶음 핵심: Amazon Connect 플로우가 Bedrock AgentCore Gateway를 거쳐 MCP 도구를 쓸 수 있다. EKS의 Argo CD는 동기화·실패 알림을 Slack·PagerDuty·SQS 등으로 보낸다. Google Vids는 이미지로 커스텀 아바타를 만들고(11/20부터 Scheduled Release), Slides와 Gemini 앱의 편집 기능도 넓어졌다. 왜 중요한가: 생성 기능이 업무 도구의 기본값이 되면 사내 콘텐츠 정책과 DLP 범위를 다시 봐야 한다. 새 CVE를 쫓는 것보다, 가진 자산을 알고 이미 나온 패치를 까는 게 아직 더 어렵다는 걸 오늘 다시 느꼈다. #IT브리핑 #WordPress #KEV #Ivanti #GitLab #LLMJacking #MCP #Synology #랜섬웨어 #XCPE #Oracle #AIAct #데이터센터

SolarWinds Dameware 2026.3.1 fixes Dameware command injection flaw CVE-2026-28336 (CVSS 9.9), plus a buffer overflow and DLL hijacking bug. #SolarWinds #Dameware #CVE202628336 #CommandInjection #RemoteSupport #CVSS #PatchNow #Vulnerability https://securityonline.info/dameware-command-injection-cve-2026-28336/

【11/4 朝】CVE・脆弱性ニュースまとめ ■国内 4日朝の時点で、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① WordPress「WordPress本体」（続報）：本体の更新中にログインなしでコードを実行されうる脆弱性を、米CISAが悪用確認済みとしてKEVに追加（CVE-2026-119977、CVSS v3.1 8.1） 10月31日に取り上げた、WordPress本体を「完全パッケージ」で更新する数秒間に、展開中のファイルを狙ってサーバー上でコードを実行されうる競合状態の脆弱性について、米CISAが3日（米国時間）に悪用確認済み脆弱性カタログ（KEV）へ追加しました。CVEの記録にもCISAによる「悪用あり（active）」の評価が付いており、米連邦機関には11月6日までの対応が求められています。CISAは具体的な被害の内容は明らかにしていません。影響は4.7〜7.1.3で、10月28日公開の7.1.4（4.7系まで各系列にも修正を提供）で修正されています。自動更新が止まっているサイトは、すぐにバージョンを確認して更新してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-119977 出典：WordPress https://wordpress.org/news/2026/10/wordpress-7-1-4 出典：CISA KEV https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-119977 ② Google「Chrome」：Chrome 157の安定版で213件の脆弱性を修正、うち7件がCritical（CVE-2026-121156ほか、CVE記録のCVSS v3.1 9.6） Googleが3日（米国時間）、Chrome 157をWindows、Mac、Linux向けの安定版として公開し、213件のセキュリティ修正を含むと発表しました。Criticalと評価されたのは、Dawn（WebGPUの実装）のバッファオーバーフロー（CVE-2026-121156、CVE-2026-121247）、ANGLE（グラフィックス処理）のメモリ破損（CVE-2026-121229）、WebGL・Prerender・Geometry・Coreの解放後使用（CVE-2026-121246、CVE-2026-121035、CVE-2026-121203、CVE-2026-121126）の7件です。CVEの記録では、細工したWebページを開くだけで、サンドボックスの外でコードを実行されるおそれがあるものが含まれています。修正版はLinuxが157.0.8103.38、Windows・Macが157.0.8103.38/39で、今回の発表には実際の悪用に関する記載はありません。順次配信されるため、メニューの「Chromeについて」から更新と再起動を確認してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-121156 出典：Chrome Releases https://chromereleases.googleblog.com/2026/11/stable-channel-update-for-desktop.html ③ SolarWinds「Dameware（リモート操作・保守ツール）」：遠隔操作先の端末を乗っ取られうるコマンドインジェクション（CVE-2026-28336、CVSS v3.1 9.9） 社内PCのリモートサポートに使われるDamewareで、コマンドインジェクションの脆弱性が3日に公表されました。SolarWindsによると、悪用には認証が必要ですが、成功すると遠隔操作されている側の端末が乗っ取られるおそれがあります。対象は2026.3以前のすべてのバージョンで、2026.3.1で修正されています。同時に、認証後のバッファオーバーフロー（CVE-2026-28335、CVSS 8.4）なども修正されました。現時点で悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-28336 出典：SolarWinds https://www.solarwinds.com/trust-center/security-advisories/CVE-2026-28336 ④ HPE「HPE Networking Fabric Composer（データセンターのネットワーク管理）」：ハードコードされたパスワードで、ログインなしに管理者権限を奪われうる脆弱性など（CVE-2026-95731、CVSS v3.1 9.8／CVE-2026-95732・CVE-2026-95733、9.6） HPEが、データセンターのスイッチ群をまとめて管理するFabric Composer（AFC）について、複数の脆弱性を公表しました。CVE-2026-95731はCLIに埋め込まれたパスワードの問題で、ログインしていない遠隔の攻撃者が管理者権限でシステムに入れてしまうおそれがあります。CVE-2026-95732とCVE-2026-95733は、同じネットワーク内の攻撃者が認証なしで任意のコードを実行できてしまう問題です。対象は7.4.0以前と7.3.4以前で、修正版は7.4.1以降と7.3.5以降です。HPEは社内の調査で見つけたもので、公開された攻撃コードは把握していないとしていますが、管理画面とCLIを専用の管理用ネットワークに限定するよう勧めています。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-95731 出典：HPE https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw05172en_us&docLocale=en_US ⑤ SonicWall「GMS（Global Management System、ファイアウォールの統合管理）」：ログインなしで内部ファイルを読まれうる脆弱性、サポート終了製品のため修正版なし（CVE-2026-109593、CISAによる評価CVSS v3.1 9.1） SonicWallのファイアウォールをまとめて管理するGMSで、ネットワーク越しに届く攻撃者が、ログインせずにGMS内部のファイルを読み取り、機密情報を得られるおそれがある脆弱性が公表されました。あわせて、ログイン後のSQLインジェクション（CVE-2026-109594）も公表されています。対象は9.5.2以前で、SonicWallの勧告は「サポート終了（EOL）のGMS」が対象とする内容で、修正版の案内は確認できていません。現時点で悪用の報告は確認できていませんが、使い続けている場合はインターネットから届かないようにしたうえで、後継製品への移行を検討してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-109593 出典：SonicWall https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0019 ⑥ Perforce「Puppet Enterprise（サーバー構成管理）」：エージェント証明書を持つだけで、Puppet Server上でコードを実行されうる脆弱性など2件（CVE-2026-115731、CVSS v4.0 9.4／CVE-2026-115732、9.0） 多数のサーバーの設定を自動で管理するPuppet Enterpriseで、2件の脆弱性が公表されました。CVE-2026-115731は、エージェントが送るレポートの処理に不正なデータを読み込んでしまう問題があり、認証局が署名したエージェント証明書を1枚でも持っていれば、Puppet Server上で任意のコードを実行できてしまうおそれがあります。証明書の発行を十分な確認なしに自動承認（autosign）している環境では、ログインしていない攻撃者でも証明書を手に入れられるとしています。CVE-2026-115732は証明書の名前の照合が甘く、似た名前の証明書で別のノードになりすませる問題で、Enterprise版では認証局の管理や管理対象ノードでのコマンド実行にもつながるとしています。対象は2023.8.13未満、2025.0〜2025.12.1未満、2026.0.1未満で、それぞれ2023.8.13、2025.12.1、2026.0.1で修正されています。現時点で悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-115731 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-115732 出典：Perforce https://portal.perforce.com/s/cve/a91Qi000003IaHpIAK/report-deserialization-code-execution ⑦ Docker「Docker Desktop for Windows（WSL2利用時）」：権限のないコンテナから、Windows側のサービスやファイルに届いてしまう脆弱性（CVE-2026-112917、CVSS v4.0 9.2） WSL2を使う構成のDocker Desktop for Windowsで、権限のないLinuxコンテナが32ビットのシステムコールを使うことで、既定のセキュリティ制限（seccomp）をすり抜けられる問題です。その結果、ホスト向けのサービスや、ログイン中の利用者がアクセスできるWindowsのファイルにコンテナから届いてしまうおそれがあります。対象はx86-64のWSL2で、完全に修正されるのはDocker Desktop 4.98.0以降とWSL 3.0.3以降を両方そろえた場合で、Docker Desktopだけ更新してWSLが古いままだと影響が残るとしています。現時点で悪用の報告は確認できていませんが、外部のイメージを動かす開発用PCでは両方の更新を確認してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-112917 出典：Docker https://docs.docker.com/desktop/release-notes/#4980 ⑧ NetApp「StorageGRID（オブジェクトストレージ）」：内部ネットワークの特定ポートから不正な要求を受け付けてしまう脆弱性（CVE-2026-22058、CVSS v4.0 9.1） NetAppのオブジェクトストレージStorageGRIDで、製品固有の知識を持ち、ノード間通信用の「Grid Network」の特定ポートに通信できる攻撃者が、認証なしで不正な要求を送れてしまう脆弱性が公表されました。対象は11.3以降で、修正版は11.9.0.15、12.0.0.9、12.1.0.1です。攻撃にはGrid Networkへ届くことが条件のため、まずはこのネットワークが外部や一般の社内ネットワークから切り離されているかを確認してください。現時点で悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-22058 出典：NetApp https://security.netapp.com/advisory/NTAP-20261103-0001 ⑨ FreeRDP「FreeRDP（オープンソースのリモートデスクトップクライアント）」：サーバー証明書の確認が甘く、RDP通信を盗聴・改ざんされうる脆弱性（CVE-2026-121392、CVSS v4.0 9.1／v3.1 7.4） LinuxなどでWindowsにリモートデスクトップ接続するときに使われるFreeRDPで、TLS証明書の確認処理が、別名の欄（SAN）が一致しなくても古い方式の名前（CN）で通してしまったり、IPアドレスとホスト名を混同して照合したりする問題です。利用者の端末が信頼する認証局の証明書を持つ攻撃者が通信の間に入ると、接続先の確認をすり抜け、キー入力やクリップボード、画面の内容を盗み見られるおそれがあります。対象は3.32.2より前で、3.32.2で修正されています。現時点で悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-121392 出典：FreeRDP（GitHub） https://github.com/FreeRDP/FreeRDP/security/advisories/GHSA-jq25-3374-4262 ■注意点 ・米CISAのKEVへの追加は、10月30日のIvanti Connect Secure 2件以来で、今回は①のWordPress本体1件のみです。 ・Firefoxも159.0.1でレイアウト処理の境界条件の不備（CVE-2026-120572、CISAによる評価CVSS 8.8）を修正しています。Amazon RedshiftのJDBCドライバーでも、接続URLを操作できる場合にコードを実行されうる問題（CVE-2026-119084、CVSS v4.0 9.2）が2.3.0で修正されました。 ・国内では3日が祝日だったため、休み明けの4日にJVN・JPCERT/CCから注意喚起がまとめて出る可能性があります。 #脆弱性 #CVE #サイバーセキュリティ