전체글

WordPress는 2026-07-17에 CVE-2026-60137과 CVE-2026-63030의 수정 버전을 배포했다. CVE-2026-60137은 WP_Query의 SQL 삽입 취약점이다. CVE-2026-63030은 REST API 배치 경로 혼동을 이용해 이 SQL 삽입에 인증 없이 도달하고 원격 코드 실행까지 연결하는 취약점이다.

CVE-2025-66376은 Zimbra Collaboration Classic UI에서 HTML 메일의 CSS @import directive를 통해 발생하는 stored XSS 취약점이다. 공격자가 보낸 HTML 메일을 로그인한 사용자가 Classic UI에서 열면 피해자의 웹메일 세션 문맥에서 JavaScript가 실행될 수 있다.

CVE-2026-8933은 snapd의 특권 구성 요소인 snap-confine에서 발생하는 로컬 권한 상승 취약점이다. 파일 기능 방식으로 설치된 snap-confine이 임시 파일과 디렉터리를 일반 사용자 소유로 생성하는 짧은 구간이 원인이다. 공격자는 이 경쟁 조건을 이용해 특권 경로에 파일을 만들고 루트 권한으로 명령을 실행할 수 있다.

CVE-2026-0257은 PAN-OS GlobalProtect 포털과 게이트웨이의 인증 우회 취약점이다. 인증 대체 쿠키가 활성화되고 쿠키용 인증서가 다른 기능과 공유된 환경에서, 원격 공격자가 정상 자격 증명 없이 VPN 연결을 만들 수 있다.

Windows용 Cursor에서 악성 저장소를 연 뒤 저장소에 포함된 실행 파일이 동작할 수 있는 취약점이 공개됐다. 공개 기사와 GitHub advisory는 복제한 저장소가 Windows 코드 실행으로 이어질 수 있다는 점과 식별자 GHSA-8pcm-8jpx-hv8r를 제시한다.

CVE-2026-15718은 Firefox의 JavaScript·WebAssembly 처리 과정에서 발생하는 메모리 안전 취약점이다. Mozilla는 Firefox 152.0.6에서 문제를 수정했다. exploit 코드는 공개됐지만, 2026-07-14 advisory 게시 시점에 실제 악용(in the wild)은 확인되지 않았다.

npm 12는 의존성 설치 중 자동 실행되던 라이프사이클 스크립트를 기본 차단한다. GitHub changelog 기준 공개일은 2026-07-08이고, 보도 기준 공개일은 2026-07-09이다.

BeyondTrust가 Remote Support와 Privileged Remote Access(PRA)의 critical 인증 우회 취약점을 패치했다. 공개일은 2026-07-07이며, 공개 기사에서 취약점은 pre-auth 조건의 auth bypass로 설명된다.

2026-06-17 공개된 보도에 따르면 Mastra 네임스페이스의 npm 패키지 144개가 탈취된 contributor account를 통해 침해됐다. 영향 지점은 애플리케이션 런타임보다 앞선 dependency 해석, CI/CD 설치, 빌드 환경이다.

DragonForce 랜섬웨어 공격에서 Go 기반 RAT인 Backdoor.Turn이 Microsoft Teams의 TURN relay 인프라를 C2 은닉 경로로 사용한 사례가 공개됐다. 공개일은 2026-06-16이다.