cve

CVE-2026-111497은 Brotli 디코더가 잘못된 block switch 상태를 처리하는 과정에서 발생하는 out-of-bounds write 취약점이다. 공격자가 조작한 Brotli 스트림을 Node.js 서비스가 해제하면 프로세스 메모리 손상이나 서비스 중단으로 이어질 수 있다.

2026-10-21 PHP 긴급 패치가 나왔다. 두 건 모두 CVSS 9.2다. session.upload_progress 기능이 **로그인 절차와 애플리케이션 코드보다 먼저** multipart 요청 본문을 처리하는 것이 문제의 출발점이다. 이 기능은 PHP 5.4부터 기본으로 켜져 있다. POST를 받는 PHP 주소가 하나라도 공개돼 있으면 공격자는 인...

Microsoft는 2026-10-13 Windows 셸의 명령 삽입 취약점인 CVE-2026-96951을 공개하고 보안 업데이트를 배포했다. 공격자가 조작한 파일을 사용자가 열면 웹 출처 표시 기반 보호가 우회될 수 있다.

Apple은 2026-09-28 배포한 iOS 26.7.1과 iPadOS 26.7.1에서 CoreGraphics 취약점 CVE-2026-86950을 수정했다. 조작된 이미지를 처리할 때 범위 밖 쓰기가 발생하며, 메모리 손상과 임의 코드 실행으로 이어질 수 있다.

CVE-2026-71362는 Adobe Commerce와 Magento Open Source의 고객 세션을 다른 고객 계정에 연결할 수 있는 Incorrect Authorization 취약점이다. 인증되지 않은 원격 공격자가 기존 계정이나 관리자 권한, 사용자 개입 없이 피해 고객의 계정과 비공개 데이터에 접근할 수 있다.

CVE-2026-58138은 Conductor의 워크플로 표현식이 호스트 접근 권한을 가진 GraalVM 컨텍스트에서 평가돼 발생하는 원격 코드 실행 취약점이다. 인증되지 않은 요청으로 자바스크립트 또는 파이썬 표현식을 전달해 Conductor 프로세스 권한으로 운영체제 명령을 실행할 수 있다.

Google은 2026-09-03 V8의 type confusion 취약점 CVE-2026-85046을 수정했다. 악성 HTML 페이지를 열면 Chrome sandbox 내부에서 임의 코드 실행으로 이어질 수 있는 High 등급 취약점이다. Google은 exploit이 실제 악용(in the wild)되고 있다고 확인했으며, CISA는 2026-09-04...

CVE-2026-18963은 Keycloak의 비밀번호 재설정 흐름에서 실행 상태와 작업 토큰 검증이 미흡해 발생한 계정 탈취 취약점이다. 인증되지 않은 공격자가 이메일 확인 링크를 열지 않고 대상 계정의 새 비밀번호를 설정할 수 있다.

CVE-2026-19478은 자체 관리형 GitLab CE와 EE의 GraphQL 디렉티브 처리에서 발생하는 코드 인젝션 취약점이다. 인증되지 않은 원격 사용자가 특정 조건에서 공개 프로젝트와 사용자 데이터를 변경하거나 삭제할 수 있다.

CVE-2026-75874는 Firefox와 Thunderbird의 원격 설정 클라이언트에서 발생한 샌드박스 탈출 취약점이다. Mozilla는 2026-08-18에 보안 권고문을 공개하고 Firefox 154와 Thunderbird 154에서 수정했다. Mozilla의 영향도는 높음이며, CISA-ADP는 CVSS 3.1 기준 10.0으로 평가했다.