INFOSEC BRIEFING
공개된 일차 자료에 근거한 조사 기록입니다. 조건과 유보 사항을 확인하고 공식 안내로 돌아갈 수 있도록 정리했습니다.
조사 기준 시각: 2026-10-28T13:18:44+09:00
여기서 다루는 쟁점 수는 새로운 피해 사건 수가 아닙니다.
10/28 04:00경 확인 / 11:00 JST 제13보
제13보는 10월 28일 04:00경 범인 사이트의 도메인 정지를 확인했습니다. 정지는 정보 회수, 복제본 삭제, 서비스 복구 완료를 의미하지 않습니다. 제12보의 특별 위로금 상한 300만 엔은 조건이 있는 제도이며, 총피해액이나 지급 완료 금액이 아닙니다. 제12보는 제목 19:10과 경위란 19:00이 일치하지 않습니다.
확인할 사항: 범인 사이트나 유출 자료에 접근하지 말고 공식 개별 연락, 대체 환경, 보상 조건을 확인하세요. 인증 정보나 수수료를 요구하는 편승 연락에 응하지 마세요.
10/28 12:30 JST 업데이트
10월 28일 12:30 업데이트는 일부 의료기관에서 클라우드 베타 버전의 테스트 이용을 시작한 단계입니다. 환자 앱, 웹 예약, 외부 시스템 연동 등은 계속 중단된 상태입니다. 의료기관의 예약 업무에 대한 영향이 이어지고 있으며, 유출 대상 수도 조사 중입니다.
확인할 사항: 예약 및 변경은 이용하는 의료기관에 직접 확인하세요. 재개 예정·환불 예정과 실제 이행 완료를 구분하고, 재개 시 비밀번호 재설정 안내를 확인하세요.
10/28 00:19 JST 상태
10월 27일 15:19 UTC 상태 업데이트에서도 신규 등록 중단은 계속되고 있으며, 재개일은 미정입니다. 기존 배포의 지속과 빌드·대시보드 등의 장애를 구분해야 합니다. 약 100,000개 워크스페이스·최대 1.85%는 환경 변수의 잠재적 영향 범위이며, 확정된 정보 유출 피해 인원이 아닙니다.
확인할 사항: 기존 시크릿을 발급처에서 폐기·재발급하고 감사하세요. 다음 10월 28일 16:00 UTC 예정 사항을 이번 기준 시점의 복구 실적으로 취급하지 마세요.
일차 자료·출처: Railway status / 公式予備報告
10/28 00:30 JST 업데이트
28일 00:30 업데이트에서는 개인정보보호위원회에 대한 공동 명의 보고 접수가 아직 시작되지 않았습니다. 정보주체 통지는 공동 보고에 포함되지 않습니다. 암호화 키 읽기와 외부에서 정보를 취득할 수 있는 상태가 확인되었지만, 실제 정보 취득 건수는 확정되지 않았습니다.
확인할 사항: 폼 데이터의 실제 이용 현황을 조사하고, 정보주체 통지 여부는 별도로 판단하세요. 외부 API 키는 발급처에서 폐기하세요. 키 갱신만으로 과거의 정보 취득 가능성이 사라졌다고 보지 마세요.
일차 자료·출처: Studio公式ポータル
10/28 04:00:02 JST 카탈로그 공개
CISA 2026.10.27판은 1,760건입니다. CVE-2026-111497과 CVE-2026-48356를 새로 수록했으며, 기한은 11월 10일입니다. 이는 취약점 악용이 확인되었다는 뜻이며, 모든 .NET·Node.js 환경이나 가맹점이 침해되었다는 의미는 아닙니다. 피해 인원과 실제 손실액은 제시되지 않았습니다.
확인할 사항: Brotli 1.2.1, Node.js 22.23.4 / 24.22.1 / 26.12.1 등 제품별 수정 사항을 확인한다. Adobe는 APSB26-73의 버전별 July cumulative update를 확인한다. KEV의 미국 연방기관 대상 기한을 모든 사용자에게 적용되는 법적 기한으로 간주하지 않는다.
일차 자료·출처: CISA KEV / Google Brotli / Node.js / Adobe APSB26-73
이전 기준 시점 이후의 공식 후속 소식
CTX697263은 ADC/Gateway 14.1-73.49, 13.1-64.32, 14.1-73.49 FIPS, 13.1-FIPS/NDcPP 13.1.37.286 이상으로 업데이트하도록 안내합니다. 공급업체가 관리하는 클라우드는 조치가 완료되어 고객의 작업이 필요 없다고 설명합니다.
확인할 사항: 직접 운영하는 어플라이언스의 버전을 계열별로 대조하세요. PHP의 업스트림 표시만으로 수정 사항의 백포트 여부를 판단하지 말고, 관리 영역에 대한 접근을 제한하고 침해 조사를 수행하세요.
일차 자료·출처: Citrix CTX697263
10/27 공식 개정의 현행 표
공식 표에는 12.2.4-h1 / 12.1.7-h11 / 11.2.10-h16 등의 수정 버전이 있는 한편, 11.2.13-h4·11.2.16-h1 등에는 ETA 표기가 남아 있습니다. 예정일이 지났다는 이유만으로 출시되었다고 판단하지 마세요. 관리 영역의 PHP 문제이며, 모든 데이터 플레인 통신에 같은 조건이 적용되는 것은 아닙니다.
확인할 사항: 공식 AffectedVersions 표에서 계열별 실제 출시 여부를 확인하고 업데이트하세요. 관리 인터페이스에 대한 접근을 신뢰할 수 있는 접속원으로 제한하고, 업데이트와 별개로 침해 징후를 확인하세요.
일차 자료·출처: Palo Alto Networks
10/27 발표
10월 27일 공식 목록에는 Fireware 권고 17개와 Windows Mobile VPN SSL 권고 1개가 있습니다. AD 인증 힙 오버플로에는 AD 설정 등의 성립 조건이 있습니다. VPN 클라이언트의 로컬 통신 가로채기 문제는 Windows 측도 대상입니다. 공급업체는 해당 권고에서 실제 악용을 파악하지 못했다고 설명합니다.
확인할 사항: Fireware 2026.4 / 12.12.4, T15/T35는 12.5.22 등 계열별로 업데이트하세요. CVE-2026-115495는 Windows VPN client 2026.4으로 업데이트하고, Firebox 본체 업데이트만으로 끝내지 마세요. Solution란과 제품 표의 표기 차이는 원문과 대조하세요.
일차 자료·출처: WatchGuard PSIRT / AD認証 / Windows VPN
10/27 공개
Mozilla는 Firefox 159, ESR 153.6 / 115.44, Thunderbird 159 / 153.6를 10월 27일 공개했습니다. Chrome 안정 버전은 Windows/Mac 156.0.8078.73/.74, Linux/Android 156.0.8078.73를 단계적으로 배포합니다. 권고 건수는 피해 사건 수가 아닙니다.
확인할 사항: 업데이트를 실행하고 다시 시작하세요. OS와 기업 관리 정책에 맞는 지원 계열을 확인하고, Chrome의 상세 정보가 아직 게시되지 않은 부분에 가상의 CVE나 제로데이 판정을 덧붙이지 마세요.
일차 자료·출처: Mozilla / Firefox159 / Chrome releases
10/27 권고
APSB26-135은 Windows 버전 6.10 이하의 검색 경로 문제를 6.11에서 수정했습니다. 공급업체는 알려진 실제 악용이 없다고 설명합니다. 이는 이용자의 침해가 확인되었다는 발표가 아닙니다.
확인할 사항: Creative Cloud Desktop을 6.11 이상으로 업데이트하세요. 배포된 단말의 실제 버전을 확인하세요.
일차 자료·출처: Adobe APSB26-135
GHSA 공개: 2026-10-27T21:26:32Z ~ 2026-10-27T21:26:56Z
인증이 없는 서버뿐 아니라 일부 문제는 basic-auth의 낮은 권한 사용자도 대상입니다. CrewAI autolog의 trace에 API 키가 기록되는 문제를 포함합니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 3.17.0으로 업데이트하세요. 공개 접근을 제한하고, trace·OTLP 출력 대상을 점검해 노출된 제공업체 키를 폐기하세요.
MLflow vulnerable to arbitrary file read on unauthenticated servers via prompt model version source
mlflow (pip): 대상 >= 3.10.0, < 3.17.0 → 수정 버전 3.17.0MLflow CrewAI autologging records LLM provider API keys in logged trace spans
mlflow (pip): 대상 >= 2.19.0, < 3.17.0 → 수정 버전 3.17.0MLflow vulnerable to remote code execution on unauthenticated servers via third-party scorer deserialization importing caller-placed artifact modules
mlflow (pip): 대상 >= 3.12.0rc0, < 3.17.0 → 수정 버전 3.17.0일차 자료·출처: GHSA-m65p-9j7q-6w33 / GHSA-j7qq-vr8c-xvw3 / GHSA-26p8-2jq9-3vq9
GHSA 공개: 2026-10-27T21:07:25Z ~ 2026-10-27T21:07:25Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
dd-trace: ReDOS in URL query string obfuscation
dd-trace (npm): 대상 >= 2.0.0, < 5.131.1 → 수정 버전 5.131.1dd-trace (npm): 대상 >= 6.0.0, < 6.20.1 → 수정 버전 6.20.1일차 자료·출처: GHSA-x94g-w73q-hpcw
GHSA 공개: 2026-10-27T21:07:12Z ~ 2026-10-27T21:07:12Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
TinyMCE Cross-Site Scripting (XSS) vulnerability using media plugin `data-mce-object` serialization
tinymce (npm): 대상 >= 8.5.1, < 8.9.3 → 수정 버전 8.9.3TinyMCE (nuget): 대상 >= 8.5.1, < 8.9.3 → 수정 버전 8.9.3tinymce/tinymce (composer): 대상 >= 8.5.1, < 8.9.3 → 수정 버전 8.9.3tinymce (npm): 대상 = 7.9.3 → 수정 버전 7.9.4TinyMCE (nuget): 대상 = 7.9.3 → 수정 버전 7.9.4tinymce/tinymce (composer): 대상 = 7.9.3 → 수정 버전 7.9.4일차 자료·출처: GHSA-mf2p-h6hf-fcwm
GHSA 공개: 2026-10-27T21:05:29Z ~ 2026-10-27T21:06:59Z
bearer token의 대상 리소스 검증, 교차 출처 리디렉션의 사용자 지정 헤더·본문 전달, outputSchema 외부 참조에 따른 SSRF·중단을 구분해야 합니다. 이를 Authorization 헤더 단독 유출로 해석하지 마세요. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 1.30.0 / 2.2.0 이상으로 업데이트하세요. audience 대책에는 validate_token_resource=True와 resource_server_url, AccessToken.resource 반환도 필요합니다. 업데이트만으로 검증이 활성화되지는 않습니다.
Model Context Protocol Python SDK: Server bearer-token authentication accepts tokens issued for a different resource server
mcp (pip): 대상 >= 2.0.0, < 2.2.0 → 수정 버전 2.2.0mcp (pip): 대상 >= 1.10.0, < 1.30.0 → 수정 버전 1.30.0Model Context Protocol Python SDK: HTTP client transports followed cross-origin redirects carrying custom headers and bodies
mcp (pip): 대상 >= 2.0.0, < 2.2.0 → 수정 버전 2.2.0mcp (pip): 대상 >= 1.8.0, < 1.30.0 → 수정 버전 1.30.0Model Context Protocol Python SDK: Client fetched server-chosen $ref URLs while validating tool results against output schemas
mcp (pip): 대상 >= 2.0.0, < 2.2.0 → 수정 버전 2.2.0mcp (pip): 대상 >= 1.10.0, < 1.30.0 → 수정 버전 1.30.0일차 자료·출처: GHSA-w4fh-qvv9-3v23 / GHSA-5h93-6whr-6q8j / GHSA-rwrf-2pqf-9j8j
GHSA 공개: 2026-10-27T21:06:54Z ~ 2026-10-27T21:06:54Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
OpenTelemetry Python: Unbounded memory allocation in Jaeger baggage propagation
opentelemetry-propagator-jaeger (pip): 대상 <= 1.44.0 → 수정 버전 1.45.0일차 자료·출처: GHSA-f5m9-jfrj-jjj7
GHSA 공개: 2026-10-27T21:05:06Z ~ 2026-10-27T21:05:13Z
이번 GHSA 공개 기간에 권고 2개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
CKEditor: Cross-site scripting (XSS) in the engine package
ckeditor5 (npm): 대상 >= 29.0.0, < 47.7.4 → 수정 버전 47.7.4@ckeditor/ckeditor5-engine (npm): 대상 >= 29.0.0, < 47.7.4 → 수정 버전 47.7.4ckeditor5 (npm): 대상 >= 48.0.0, < 48.5.1 → 수정 버전 48.5.1@ckeditor/ckeditor5-engine (npm): 대상 >= 48.0.0, < 48.5.1 → 수정 버전 48.5.1CKEditor: Cross-site scripting (XSS) in the engine package
ckeditor5 (npm): 대상 >= 45.0.0, < 47.7.4 → 수정 버전 47.7.4@ckeditor/ckeditor5-engine (npm): 대상 >= 45.0.0, < 47.7.4 → 수정 버전 47.7.4ckeditor5 (npm): 대상 >= 48.0.0, < 48.5.1 → 수정 버전 48.5.1@ckeditor/ckeditor5-engine (npm): 대상 >= 48.0.0, < 48.5.1 → 수정 버전 48.5.1일차 자료·출처: GHSA-v6mg-96c6-gmpq / GHSA-rh54-vffm-5fvp
GHSA 공개: 2026-10-27T21:04:57Z ~ 2026-10-27T21:04:57Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Neko: Authorization bypass in legacy WebRTC input handling
github.com/m1k1o/neko/server (go): 대상 >= 0.0.0-20250401220545-fe94c999c6af, < 0.0.0-20260805142851-395ca1a6f62b → 수정 버전 0.0.0-20260805142851-395ca1a6f62b일차 자료·출처: GHSA-5cp7-fp4j-wwcv
GHSA 공개: 2026-10-27T21:04:50Z ~ 2026-10-27T21:04:50Z
plan이 실행되는 PR의 atlantis.yaml workspace가 공격 경로입니다. 사용자 지정 워크플로나 apply 권한이 없어도 성립할 수 있습니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 0.47.1으로 업데이트하세요. 신뢰하지 않는 PR의 plan 실행을 제한하고, runner의 클라우드·VCS 권한을 점검하세요.
Atlantis: OS command injection through PR-controlled Terraform workspace enables RCE during plan
github.com/runatlantis/atlantis (go): 대상 >= 0.4.0, <= 0.47.0 → 수정 버전 0.47.1일차 자료·출처: GHSA-rjh2-4xgw-p2hj
GHSA 공개: 2026-10-27T21:04:40Z ~ 2026-10-27T21:04:40Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
FileBrowser: Symlink following escapes user scope allowing arbitrary file read outside the served directory
github.com/gtsteffaniak/filebrowser/backend (go): 대상 < 0.0.0-20260814233832-4126edeb07a0 → 수정 버전 0.0.0-20260814233832-4126edeb07a0일차 자료·출처: GHSA-mgqf-5mf5-prfj
GHSA 공개: 2026-10-27T16:09:45Z ~ 2026-10-27T19:02:31Z
TLS 옵션 전달, 교차 출처 리디렉션과 공유 캐시, WebSocket 버퍼링 등 조건별 문제입니다. Node.js 표준 fetch와 개별 npm 의존성을 동일한 배포 버전으로 간주하지 마세요. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 해당 계열 6.29.1 / 7.30.1 / 8.12.2를 대조하세요. npm 의존성과 내장 런타임을 각각 업데이트하고, 캐시 공유·리디렉션·TLS 설정도 확인하세요.
undici vulnerable to cache poisoning and cross-user disclosure via cross-origin redirects
undici (npm): 대상 >= 7.0.0, < 7.30.1 → 수정 버전 7.30.1undici (npm): 대상 >= 8.0.0, < 8.12.2 → 수정 버전 8.12.2undici vulnerable to TLS certificate validation bypass via dropped tls options in Agent
undici (npm): 대상 >= 4.0.0, < 6.29.1 → 수정 버전 6.29.1undici (npm): 대상 >= 7.0.0, < 7.30.1 → 수정 버전 7.30.1undici (npm): 대상 >= 8.0.0, < 8.12.2 → 수정 버전 8.12.2undici vulnerable to Denial of Service via TLS 1.2 certificate-changing renegotiation
undici (npm): 대상 >= 4.2.1, < 6.29.1 → 수정 버전 6.29.1undici (npm): 대상 >= 7.0.0, < 7.30.1 → 수정 버전 7.30.1undici (npm): 대상 >= 8.0.0, < 8.12.2 → 수정 버전 8.12.2undici WebSocket client vulnerable to Denial of Service via unbounded automatic PONG buffering
undici (npm): 대상 >= 5.15.0, < 6.29.1 → 수정 버전 6.29.1undici (npm): 대상 >= 7.0.0, < 7.30.1 → 수정 버전 7.30.1undici (npm): 대상 >= 8.0.0, < 8.12.2 → 수정 버전 8.12.2undici vulnerable to Denial of Service via unhandled exception in the decompress interceptor
undici (npm): 대상 >= 7.15.0, < 7.30.1 → 수정 버전 7.30.1undici (npm): 대상 >= 8.0.0, < 8.12.2 → 수정 버전 8.12.2undici WebSocket client vulnerable to Denial of Service via failed HTTP/2 handshake
undici (npm): 대상 >= 8.11.0, < 8.11.2 → 수정 버전 8.11.2일차 자료·출처: GHSA-4w7w-5xrc-9h26 / GHSA-2m5v-pch6-74hx / GHSA-qrxm-fqhp-jwvm / GHSA-9fm3-97px-rjf6 / GHSA-55wc-3pg8-jfw6 / GHSA-qq8j-7v2v-3rwp
GHSA 공개: 2026-10-27T19:02:00Z ~ 2026-10-27T19:02:00Z
HTTP transport/handler에서 과도하게 큰 본문·JSON-RPC 배치에 따른 자원 소모가 문제입니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: sdk 1.30.1, server/node 2.1.0, hono 2.0.1 등 실제 패키지를 대조하고, 리버스 프록시에도 상한을 설정하세요.
MCP TypeScript SDK: HTTP server transports and handlers did not limit request body size or JSON-RPC batch length
@modelcontextprotocol/sdk (npm): 대상 >= 1.10.0, < 1.30.1 → 수정 버전 1.30.1@modelcontextprotocol/server (npm): 대상 >= 2.0.0, < 2.1.0 → 수정 버전 2.1.0@modelcontextprotocol/node (npm): 대상 >= 2.0.0, < 2.1.0 → 수정 버전 2.1.0@modelcontextprotocol/hono (npm): 대상 >= 2.0.0, < 2.0.1 → 수정 버전 2.0.1일차 자료·출처: GHSA-f897-62hf-6gxq
GHSA 공개: 2026-10-27T19:01:39Z ~ 2026-10-27T19:01:50Z
이번 GHSA 공개 기간에 권고 2개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Symfony: Unbounded Recursion in the YAML Inline Lexer Lets a Single Document Crash the Process
symfony/symfony (composer): 대상 >= 2.0.0, < 5.4.54 → 수정 버전 5.4.54symfony/symfony (composer): 대상 >= 6.0.0, < 6.4.45 → 수정 버전 6.4.45symfony/symfony (composer): 대상 >= 7.0.0, < 7.4.18 → 수정 버전 7.4.18symfony/symfony (composer): 대상 >= 8.0.0, < 8.1.6 → 수정 버전 8.1.6symfony/yaml (composer): 대상 >= 2.0.0, < 5.4.54 → 수정 버전 5.4.54symfony/yaml (composer): 대상 >= 6.0.0, < 6.4.45 → 수정 버전 6.4.45symfony/yaml (composer): 대상 >= 7.0.0, < 7.4.18 → 수정 버전 7.4.18symfony/yaml (composer): 대상 >= 8.0.0, < 8.1.6 → 수정 버전 8.1.6Symfony: ReDoS in HeaderUtils::split() Reachable Through the Cache-Control Request Header
symfony/http-foundation (composer): 대상 >= 6.0.1, < 6.4.46 → 수정 버전 6.4.46symfony/http-foundation (composer): 대상 >= 7.0.0, < 7.4.19 → 수정 버전 7.4.19symfony/http-foundation (composer): 대상 >= 8.0.0, < 8.1.7 → 수정 버전 8.1.7symfony/symfony (composer): 대상 >= 6.0.1, < 6.4.46 → 수정 버전 6.4.46symfony/symfony (composer): 대상 >= 7.0.0, < 7.4.19 → 수정 버전 7.4.19symfony/symfony (composer): 대상 >= 8.0.0, < 8.1.7 → 수정 버전 8.1.7symfony/http-foundation (composer): 대상 >= 4.1.0, < 5.4.54 → 수정 버전 5.4.54symfony/symfony (composer): 대상 >= 4.1.0, < 5.4.54 → 수정 버전 5.4.54일차 자료·출처: GHSA-2v3c-qxhr-7vpv / GHSA-r925-mgvr-h9cc
GHSA 공개: 2026-10-27T19:01:30Z ~ 2026-10-27T19:01:30Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Go JOSE: DoS when parsing JWKs that contain RSA keys
github.com/go-jose/go-jose/v4 (go): 대상 <= 4.1.5 → 수정 버전 4.1.6github.com/go-jose/go-jose/v3 (go): 대상 <= 3.0.5 → 수정 버전 수정 버전 기재 없음일차 자료·출처: GHSA-mgcc-cww5-fp2q
GHSA 공개: 2026-10-27T19:00:50Z ~ 2026-10-27T19:00:50Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
CTFer.io's CTFd Terraform Provider allows a local or remote attacker to read team passwords in state as non sensitive values
github.com/ctfer-io/terraform-provider-ctfd (go): 대상 >= 0.1.5, <= 1.1.0 → 수정 버전 수정 버전 기재 없음github.com/ctfer-io/terraform-provider-ctfd/v2 (go): 대상 < 2.8.2 → 수정 버전 2.8.2일차 자료·출처: GHSA-vg84-c5mg-76xh
GHSA 공개: 2026-10-27T17:08:41Z ~ 2026-10-27T17:08:41Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Hydra legacy target blacklist permits unsafe PyYAML loading
hydra-core (pip): 대상 >= 1.3.6, < 1.3.8 → 수정 버전 1.3.8hydra-core (pip): 대상 >= 1.4.0.dev9, < 1.4.0rc3 → 수정 버전 1.4.0rc3일차 자료·출처: GHSA-wf6j-7hvr-gr93
GHSA 공개: 2026-10-27T16:10:55Z ~ 2026-10-27T16:10:55Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
qs : qs.stringify with arrayFormat 'comma' throws an uncaught TypeError on array elements carrying a non-callable own toString (DoS)
qs (npm): 대상 >= 6.7.0, <= 6.16.0 → 수정 버전 6.16.1일차 자료·출처: GHSA-6pq8-jhm2-2vcw
GHSA 공개: 2026-10-27T14:50:18Z ~ 2026-10-27T16:09:22Z
빈 서명, 빈 HMAC 키, 알고리즘 혼동, request_uri SSRF 등을 포함합니다. 1.9.0만으로는 빈 HMAC 키 문제가 충분히 수정되지 않습니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 1.9.1 이상을 확인하세요. issuer/audience/nonce/허용 알고리즘·키 설정을 대조하고, request_uri의 취득 대상을 제한하세요.
Authlib accepts an empty HMAC key, allowing JWS/JWT signature forgery (HS256/HS384/HS512)
Authlib (pip): 대상 < 1.9.1 → 수정 버전 1.9.1Authlib: Unvalidated request_uri fetch in JWT-secured authorization request (JAR) leading to SSRF
authlib (pip): 대상 >= 1.6.0, < 1.9.0 → 수정 버전 1.9.0Authlib: ID token can disable its own nonce validation via the nonce_supported claim
authlib (pip): 대상 <= 1.8.0 → 수정 버전 1.9.0Authlib: Default JWT bearer grant accepts assertions for the wrong audience
authlib (pip): 대상 < 1.9.0 → 수정 버전 1.9.0Authlib: OpenID implicit grant checks raw scope instead of allowed scope before issuing ID tokens
authlib (pip): 대상 < 1.9.0 → 수정 버전 1.9.0Authlib incomplete algorithm-confusion fix permits HMAC forgery with prefixed public keys
authlib (pip): 대상 >= 1.3.1, <= 1.8.0 → 수정 버전 1.9.0Authlib: is_secure_transport() loopback exemption can be bypassed with a userinfo component, allowing cleartext-HTTP URLs to non-loopback hosts
authlib (pip): 대상 <= 1.7.2 → 수정 버전 1.8.0Authlib: empty signatures validation in JWS JSON deserialization
authlib (pip): 대상 <= 1.8.0 → 수정 버전 1.9.0일차 자료·출처: GHSA-8m4g-j4wp-wgcg / GHSA-x4rv-c3wx-4cr8 / GHSA-c5mf-xmp2-59rc / GHSA-fch4-3c6x-j4gc / GHSA-q686-2qmg-hqc7 / GHSA-7vr2-2fgp-9w7p / GHSA-jj7h-c3hg-m23x / GHSA-6v38-4h7w-rj9h
GHSA 공개: 2026-10-27T16:08:36Z ~ 2026-10-27T16:08:59Z
Debug 출력의 비밀 정보, ECH 거부 시 버퍼, 키 교환 상태, Brotli 인증서 압축 해제의 할당량을 구분해야 합니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 안정 계열 0.23.46으로 업데이트하고, 비밀 정보가 포함된 Debug 로그를 점검하세요. 0.24 개발 계열은 dev.2입니다.
rustls: ECH rejection can expose buffered application data to authenticated outer server before `ech_required` alert
rustls (rust): 대상 >= 0.23.44, < 0.23.46 → 수정 버전 0.23.46rustls (rust): 대상 >= 0.24.0-dev.1, < 0.24.0-dev.2 → 수정 버전 0.24.0-dev.2rustls: An unauthenticated ServerHello poisons the per-name key-exchange record, so later ClientHellos carry only a classical X25519 share
rustls (rust): 대상 < 0.23.46 → 수정 버전 0.23.46rustls (rust): 대상 >= 0.24.0-dev.1, < 0.24.0-dev.2 → 수정 버전 0.24.0-dev.2Rustls: Session Debug formatting exposes TLS master secrets and resumption PSKs
rustls (rust): 대상 < 0.23.46 → 수정 버전 0.23.46rustls (rust): 대상 >= 0.24.0-dev.1, < 0.24.0-dev.2 → 수정 버전 0.24.0-dev.2Rustls: Brotli certificate decompression can allocate an attacker-controlled amount of memory up to 1 GiB before authentication.
rustls (rust): 대상 < 0.23.46 → 수정 버전 0.23.46rustls (rust): 대상 >= 0.24.0-dev.1, < 0.24.0-dev.2 → 수정 버전 0.24.0-dev.2일차 자료·출처: GHSA-vp88-798v-h67f / GHSA-w44r-93j7-qv28 / GHSA-c8m5-c952-6cm4 / GHSA-h2v8-394m-p7vv
GHSA 공개: 2026-10-27T15:38:22Z ~ 2026-10-27T15:38:39Z
XML scanner 우회, ODS 반복 행, 이미지 리디렉션을 통한 허용 대상 제한 우회 등입니다. 사용하는 reader와 계열에 따라 대상이 다릅니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 5.10.0 / 3.10.8 / 2.4.8 / 2.1.19 / 1.30.7 등 권고별 수정 버전을 대조하세요. 신뢰하지 않는 문서를 격리하고 외부로 나가는 통신을 제한하세요.
PhpSpreadsheet: SSRF whitelist bypass via unre-validated HTTP redirect in Drawing::setPath external image loading
phpoffice/phpspreadsheet (composer): 대상 >= 4.0.0, <= 5.9.0 → 수정 버전 5.10.0phpoffice/phpspreadsheet (composer): 대상 >= 3.3.0, <= 3.10.7 → 수정 버전 3.10.8phpoffice/phpspreadsheet (composer): 대상 >= 2.2.0, <= 2.4.7 → 수정 버전 2.4.8phpoffice/phpspreadsheet (composer): 대상 >= 2.0.0, <= 2.1.18 → 수정 버전 2.1.19phpoffice/phpspreadsheet (composer): 대상 <= 1.30.6 → 수정 버전 1.30.7PhpSpreadsheet ODS Reader: Unbounded number-rows-repeated → CPU & Memory Exhaustion (DoS)
phpoffice/phpspreadsheet (composer): 대상 >= 4.0.0, <= 5.9.0 → 수정 버전 5.10.0phpoffice/phpspreadsheet (composer): 대상 >= 3.3.0, <= 3.10.7 → 수정 버전 3.10.8phpoffice/phpspreadsheet (composer): 대상 >= 2.2.0, <= 2.4.7 → 수정 버전 2.4.8phpoffice/phpspreadsheet (composer): 대상 >= 2.0.0, <= 2.1.18 → 수정 버전 2.1.19phpoffice/phpspreadsheet (composer): 대상 <= 1.30.6 → 수정 버전 1.30.7PhpSpreadsheet: XmlScanner Bypass via ISO-2022 Escape Sequences Allows XXE and Denial of Service
phpoffice/phpspreadsheet (composer): 대상 >= 4.0.0, <= 5.9.0 → 수정 버전 5.10.0phpoffice/phpspreadsheet (composer): 대상 >= 3.3.0, <= 3.10.7 → 수정 버전 3.10.8phpoffice/phpspreadsheet (composer): 대상 >= 2.2.0, <= 2.4.7 → 수정 버전 2.4.8phpoffice/phpspreadsheet (composer): 대상 >= 2.0.0, <= 2.1.18 → 수정 버전 2.1.19phpoffice/phpspreadsheet (composer): 대상 <= 1.30.6 → 수정 버전 1.30.7PhpSpreadsheet: XmlScanner Bypass via Double-Encoded unentity() TOCTOU Allows XXE and Denial of Service
phpoffice/phpspreadsheet (composer): 대상 >= 4.0.0, <= 5.9.0 → 수정 버전 5.10.0phpoffice/phpspreadsheet (composer): 대상 >= 3.3.0, <= 3.10.7 → 수정 버전 3.10.8일차 자료·출처: GHSA-2phh-27fw-q4gc / GHSA-j2w7-387v-m2rq / GHSA-3x94-m842-937c / GHSA-rxj4-h86g-25gc
GHSA 공개: 2026-10-27T15:38:14Z ~ 2026-10-27T15:38:14Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
compress zstd: Panic on two-block frames
github.com/klauspost/compress/zstd (go): 대상 <= 1.20.1 → 수정 버전 1.20.2일차 자료·출처: GHSA-fpmh-frq8-7rj8
GHSA 공개: 2026-10-27T15:37:37Z ~ 2026-10-27T15:37:37Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
dnspython dns.name.from_wire_parser() excessive CPU use
dnspython (pip): 대상 < 2.9.0 → 수정 버전 2.9.0일차 자료·출처: GHSA-45c3-73f7-pv4m
GHSA 공개: 2026-10-27T15:37:24Z ~ 2026-10-27T15:37:31Z
이번 GHSA 공개 기간에 권고 2개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Datadog dd-trace-py: ReDoS in URL query string obfuscation
ddtrace (pip): 대상 >= 1.5.0, < 3.19.9 → 수정 버전 3.19.9ddtrace (pip): 대상 >= 4.0.0, < 4.15.6 → 수정 버전 4.15.6Datadog dd-trace-py: IAST instrumentation can lead to application DOS
ddtrace (pip): 대상 >= 3.13.0, < 4.15.5 → 수정 버전 4.15.5일차 자료·출처: GHSA-3633-r77q-h3v3 / GHSA-p3m5-h5v9-vqj6
GHSA 공개: 2026-10-27T15:36:35Z ~ 2026-10-27T15:36:35Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
MongoDB Python Driver: Out-of-bounds read in BSON decoding via a malformed Regex element
pymongo (pip): 대상 >= 3.9.0, <= 4.18.2 → 수정 버전 4.18.3일차 자료·출처: GHSA-98qm-wvgf-w4cf
GHSA 공개: 2026-10-27T14:45:53Z ~ 2026-10-27T15:36:17Z
요청의 mm_processor_kwargs.code_revision을 통한 실행과 특정 P2P secondary tier의 소켓 고갈을 구분해야 합니다. 모든 구성에 동일한 조건이 적용되는 것은 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 각 권고의 기능 조건을 확인하세요. 실행 문제는 0.31.0, P2P 문제는 0.32.0에서 수정되었습니다. 모델 취득·API 접근을 제한하세요.
vLLM: Request-controlled mm_processor_kwargs.code_revision allows remote code execution
vllm (pip): 대상 >= 0.7.3, < 0.31.0 → 수정 버전 0.31.0vllm p2p never connected zmq_exhaustion
vllm (pip): 대상 < 0.32.0 → 수정 버전 0.32.0일차 자료·출처: GHSA-h3rc-6mm3-gc2m / GHSA-frvg-qw88-hww9
GHSA 공개: 2026-10-27T15:34:28Z ~ 2026-10-27T15:34:33Z
이번 GHSA 공개 기간에 권고 2개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Strands Agents: Local Privilege Escalation via Symlink Attack in Default Session File Storage
strands-agents (pip): 대상 < 1.48.0 → 수정 버전 1.48.0Strands Agents: Default FileSessionManager storage is world-readable on shared systems
strands-agents (pip): 대상 < 1.48.0 → 수정 버전 1.48.0일차 자료·출처: GHSA-3w55-933p-8pv5 / GHSA-763v-5pjm-fx36
GHSA 공개: 2026-10-27T15:33:22Z ~ 2026-10-27T15:33:42Z
이번 GHSA 공개 기간에 권고 3개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
snappy-java: Heap buffer overflow in Snappy.uncompress*Array typed-array methods
org.xerial.snappy:snappy-java (maven): 대상 <= 1.1.10.8 → 수정 버전 1.1.10.9snappy-java: JVM crash from unchecked ranges in Snappy.arrayCopy and SnappyOutputStream.rawWrite
org.xerial.snappy:snappy-java (maven): 대상 <= 1.1.10.8 → 수정 버전 1.1.10.9snappy-java: Unbounded memory allocation from attacker-declared uncompressed lengtha
org.xerial.snappy:snappy-java (maven): 대상 <= 1.1.10.8 → 수정 버전 1.1.10.9일차 자료·출처: GHSA-gwq9-9ffj-mvrv / GHSA-xqrx-qh46-34m7 / GHSA-q233-g92q-qxp6
GHSA 공개: 2026-10-27T15:32:45Z ~ 2026-10-27T15:32:45Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Flexible GraphRAG: Cypher/Graph Injection via broken string-escaping in FalkorDB adapter (_escape()) - full graph wipe from ingested-document content
flexible-graphrag (pip): 대상 >= 0.6.0, < 0.8.2 → 수정 버전 0.8.2일차 자료·출처: GHSA-vqrg-773h-4wxc
GHSA 공개: 2026-10-27T15:04:14Z ~ 2026-10-27T15:32:36Z
이번 권고 3개는 제품 취약점 공개에 관한 것입니다. 배포 경로 침해 사건과는 별도로 취급합니다. internal_user에서 proxy_admin으로 권한이 상승하는 문제는 구 계열의 experimental 설정에도 좌우됩니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 권한 상승은 1.100.4 / 1.101.3 / 1.102.2 / 1.103.1 / 1.104.0rc2 등 대응 계열을 확인하세요. 임시 대책인 EXPERIMENTAL_UI_LOGIN=false은 CLI SSO 등도 비활성화합니다.
LiteLLM: internal_user_viewer arbitrary local file read via `vertex_ai_credentials`
litellm (pip): 대상 < 1.95.0 → 수정 버전 1.95.0LiteLLM vulnerable to reflected XSS in /sso/debug/callback
litellm (pip): 대상 >= 1.65.5, < 1.85.0 → 수정 버전 1.85.0LiteLLM: Privilege Escalation to Proxy Admin via Cross-Domain Reuse of the Salt Key
litellm (pip): 대상 >= 1.91.0, < 1.100.4 → 수정 버전 1.100.4litellm (pip): 대상 >= 1.101.0, < 1.101.3 → 수정 버전 1.101.3litellm (pip): 대상 >= 1.102.0, < 1.102.2 → 수정 버전 1.102.2litellm (pip): 대상 >= 1.103.0, < 1.103.1 → 수정 버전 1.103.1litellm (pip): 대상 >= 1.104.0rc1, < 1.104.0rc2 → 수정 버전 1.104.0rc2일차 자료·출처: GHSA-g5ff-637f-6q2m / GHSA-hhww-mrg2-969h / GHSA-7hp6-4w63-5g45
GHSA 공개: 2026-10-27T14:49:53Z ~ 2026-10-27T15:32:25Z
OAuth Proxy, state의 MagicLink 전용, DB adapter의 속도 제한, 임의 device 승인 시 표시 정보 부족을 포함합니다. device 문제는 선택적으로 활성화하는 기능과 이용자의 승인 등의 조건이 필요합니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: better-auth 1.7.7과 사용 중인 adapter를 확인하세요. device 승인에서는 서버에서 검증한 내용을 바탕으로 요청 클라이언트와 권한을 표시하세요.
@better-auth/drizzle-adapter: Concurrent requests can exceed rate limits on PostgreSQL
@better-auth/drizzle-adapter (npm): 대상 >= 1.6.17, < 1.7.7 → 수정 버전 1.7.7@better-auth/kysely-adapter (npm): 대상 >= 1.6.17, < 1.7.0 → 수정 버전 1.7.0better-auth (npm): 대상 >= 1.6.17, < 1.7.7 → 수정 버전 1.7.7better-auth: OAuth Proxy lets an attacker sign in as another user
better-auth (npm): 대상 >= 1.5.0-beta.12, < 1.7.7 → 수정 버전 1.7.7better-auth: OAuth state can be used as a Magic Link to sign in as another user
better-auth (npm): 대상 >= 1.4.0-beta.18, < 1.7.7 → 수정 버전 1.7.7better-auth: Device login approval does not show the requesting client or permissions
better-auth (npm): 대상 >= 1.3.8-beta.3, < 1.7.0-rc.3 → 수정 버전 1.7.0-rc.3일차 자료·출처: GHSA-44jh-23m7-hpcf / GHSA-r4xp-prcw-77qf / GHSA-965c-763c-88jm / GHSA-q84f-53jg-9ppm
GHSA 공개: 2026-10-27T15:26:24Z ~ 2026-10-27T15:28:03Z
브랜치 이름을 통한 파일 읽기, submodule의 심볼릭 링크, pull의 안전하지 않은 옵션, 환경 변수 노출 등 권고 6개입니다. 일반적인 Git transport 제한 등에 따라 성립 조건이 다릅니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 3.2.0으로 업데이트하세요. 비밀 정보가 있는 CI 환경에서 신뢰할 수 없는 저장소를 처리하지 마세요. 필요한 경우 격리하고, 이미 노출된 로그·인증 정보를 점검하세요.
GitPython: arbitrary file read via attacker-controlled branch name in `Head.checkout()` (incomplete fix of CVE-2026-78679)
GitPython (pip): 대상 <= 3.1.62 → 수정 버전 3.2.0GitPython: Submodule.move() follows an attacker-committed intermediate symlink outside the worktree
GitPython (pip): 대상 < 3.2.0 → 수정 버전 3.2.0GitPython Remote.pull() refspec bypasses the --upload-pack unsafe-option guard, enabling arbitrary command execution
GitPython (pip): 대상 >= 3.1.30, < 3.2.0 → 수정 버전 3.2.0GitPython command wrappers omit unsafe protocol and option checks
GitPython (pip): 대상 <= 3.1.62 → 수정 버전 3.2.0GitPython: separate_git_dir leaks env vars via crafted .gitmodules submodule name
GitPython (pip): 대상 <= 3.1.62 → 수정 버전 3.2.0GitPython parse_actor_and_date() is vulnerable to quadratic backtracking on malformed identity lines
GitPython (pip): 대상 <= 3.1.62 → 수정 버전 3.2.0일차 자료·출처: GHSA-23mf-xhv8-69c2 / GHSA-gq48-pqfc-9p58 / GHSA-f9j4-qggq-h239 / GHSA-w8jc-g24h-crhw / GHSA-fx3j-rwgx-fr94 / GHSA-m64x-33q8-m5h7
GHSA 공개: 2026-10-27T15:04:33Z ~ 2026-10-27T15:04:39Z
이번 GHSA 공개 기간에 권고 3개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Nodemailer: Quadratic backtracking in SMTP AUTH mechanism detection regexes allows pre-auth remote denial of service
nodemailer (npm): 대상 >= 3.0.0, <= 10.0.12 → 수정 버전 10.0.13Nodemailer: RFC 5322 comment inside an angle-bracket address is never stripped
nodemailer (npm): 대상 >= 3.0.0, <= 10.0.12 → 수정 버전 10.0.13Nodemailer: Quadratic (O(n^2)) SMTP client reply parsing lets a malicious server or MITM cause a pre-auth remote denial of service
nodemailer (npm): 대상 >= 3.0.0, <= 10.0.9 → 수정 버전 10.0.10일차 자료·출처: GHSA-4ffr-jq9g-5ffx / GHSA-g73g-hqqh-jr95 / GHSA-4g23-2xm8-66gc
GHSA 공개: 2026-10-27T15:04:07Z ~ 2026-10-27T15:04:07Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
MessagePack: Unbounded memory leak in msgpack C extension on strict_map_key validation failure
msgpack (pip): 대상 < 1.2.3 → 수정 버전 1.2.3일차 자료·출처: GHSA-j586-36cw-2gc2
GHSA 공개: 2026-10-27T14:50:30Z ~ 2026-10-27T14:50:30Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
NLTK: WekaClassifier passes an unvalidated caller-controlled model path to the weka JVM, bypassing nltk.pathsec containment
nltk (pip): 대상 <= 3.10.3 → 수정 버전 3.10.4일차 자료·출처: GHSA-j456-xh4h-cpf2
GHSA 공개: 2026-10-27T14:46:51Z ~ 2026-10-27T14:46:51Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Pylint: Arbitrary code execution via pickle deserialization of the stats cache in PYLINT_HOME
pylint (pip): 대상 < 4.0.9 → 수정 버전 4.0.9일차 자료·출처: GHSA-22qq-2fwx-7p67
GHSA 공개: 2026-10-27T14:46:43Z ~ 2026-10-27T14:46:43Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Satori-generated SVG has improper escaping
satori (npm): 대상 >= 0.0.27, < 0.33.5 → 수정 버전 0.33.5일차 자료·출처: GHSA-wx4j-mvgx-mqwp
GHSA 공개: 2026-10-27T14:45:36Z ~ 2026-10-27T14:45:36Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Rembg: Unauthenticated SAM model injection permits local-file disclosure through malicious ONNX graphs
rembg (pip): 대상 < 2.0.82 → 수정 버전 2.0.82일차 자료·출처: GHSA-qr6x-7v33-6qmg
GHSA 공개: 2026-10-27T14:45:29Z ~ 2026-10-27T14:45:29Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Twisted: DNS Response Spoofing in twisted.names Due to Missing Source Address Validation
Twisted (pip): 대상 <= 26.4.0 → 수정 버전 26.10.0rc1일차 자료·출처: GHSA-jj36-9pvh-vj5r
GHSA 공개: 2026-10-27T14:44:19Z ~ 2026-10-27T14:44:19Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Ghost: Authorization Bypass in Comment Like Feature
ghost (npm): 대상 >= 5.9.0, < 6.44.1 → 수정 버전 6.44.1일차 자료·출처: GHSA-qrh6-cwg3-343x
GHSA 공개: 2026-10-27T14:43:57Z ~ 2026-10-27T14:43:57Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
SiYuan: MCP file tool's blocklist is incomplete relative to the HTTP file API it claims to align with, exposing publish-mode passwords and other sensitive workspace files
github.com/siyuan-note/siyuan/kernel (go): 대상 < 0.0.0-20260808051406-3542530c505f → 수정 버전 0.0.0-20260808051406-3542530c505f일차 자료·출처: GHSA-c8r8-95hg-mp34
GHSA 공개: 2026-10-27T14:43:16Z ~ 2026-10-27T14:43:19Z
이번 GHSA 공개 기간에 권고 2개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
fpdf2: Exponential SVG '<use>' expansion causes CPU and memory exhaustion in 'FPDF.image()'
fpdf2 (pip): 대상 >= 2.5.0, < 2.8.8 → 수정 버전 2.8.8fpdf2 implicitly loads external URLs and local image paths when rendering attacker-controlled content
fpdf2 (pip): 대상 <= 2.8.7 → 수정 버전 2.8.8일차 자료·출처: GHSA-wqw6-wpr3-45rh / GHSA-rw7v-4hrq-x6r9
GHSA 공개: 2026-10-27T14:27:53Z ~ 2026-10-27T14:27:53Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Google Guava: CompactHashMap/CompactHashSet/MapMakerInternalMap deserialization triggers uncontrolled memory allocation
com.google.guava:guava (maven): 대상 >= 4.0, <= 33.7.1 → 수정 버전 33.7.2일차 자료·출처: GHSA-xxph-c9ww-hj94
GHSA 공개: 2026-10-27T13:30:41Z ~ 2026-10-27T13:30:41Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Agno: Arbitrary code execution via `eval()` on `field_type` in `FunctionCall`
agno (pip): 대상 < 2.3.24 → 수정 버전 2.3.24일차 자료·출처: GHSA-m4w4-3r8h-jw98
GHSA 공개: 2026-10-27T13:30:17Z ~ 2026-10-27T13:30:17Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
OAuthLib: Bearer token can be retrieved as long as client knows a valid client ID for device workflow
oauthlib (pip): 대상 >= 3.3.0, < 4.0.0 → 수정 버전 4.0.0일차 자료·출처: GHSA-3jp2-3mrg-2vxc
GHSA 공개: 2026-10-27T13:30:10Z ~ 2026-10-27T13:30:10Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
MONAILabel Server Crash and Silent Inference Corruption via Crafted DICOM (pydicom DS/IS Validation Bypass)
monai (pip): 대상 < 1.6.1 → 수정 버전 1.6.1일차 자료·출처: GHSA-6hp3-vr39-rqw8
GHSA 공개: 2026-10-27T13:29:57Z ~ 2026-10-27T13:29:57Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
dcmjs: DS/IS VALUE REPRESENTATION INPUT VALIDATION BYPASS
dcmjs (npm): 대상 < 0.52.0 → 수정 버전 0.52.0일차 자료·출처: GHSA-px68-xx5g-48q5
GHSA 공개: 2026-10-27T13:29:47Z ~ 2026-10-27T13:29:47Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Wails: wildcardPatternToRegex allows Origin bypass via suffix match in BindingsAllowedOrigins
github.com/wailsapp/wails/v2 (go): 대상 >= 2.0.0, < 2.13.0 → 수정 버전 2.13.0일차 자료·출처: GHSA-47hv-j4px-h3c9
GHSA 공개: 2026-10-27T13:29:25Z ~ 2026-10-27T13:29:25Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Dolibarr has SQL Injection in societe/class/societe.class.php via localtax1_value parameter
dolibarr/dolibarr (composer): 대상 <= 23.0.0 → 수정 버전 수정 버전 기재 없음일차 자료·출처: GHSA-v5fq-cf5m-vwv7
GHSA 공개: 2026-10-27T13:27:58Z ~ 2026-10-27T13:27:58Z
이번 GHSA 공개 기간에 권고 1개를 확인했습니다. 대상 기능·입력·권한 등의 성립 조건은 각 개발사 자료를 참조하세요. 등록 일시는 최초 출시일이나 실제 공격 시각이 아닙니다. 이 자료만으로 실제 피해 인원이나 건수를 확정할 수 없습니다.
확인할 사항: 아래 권고별 대상 범위와 수정 버전을 대조하세요. 수정 버전이 기재되지 않은 계열은 수정 완료로 보지 말고, 개발사의 마이그레이션·임시 대책을 확인하세요.
Ajenti has potential Remote Code Execution
aj (pip): 대상 < 2.2.13 → 수정 버전 2.2.13일차 자료·출처: GHSA-vcw3-r3fx-j444
10/27 23:30 JST 업데이트
27일 14:30 UTC 업데이트는 단계적 복구 준비가 완료되었으며 필수 제삼자 검증을 기다리고 있다고 설명한다. restore access 제공 개시나 전면 복구를 선언한 것은 아니다. Axcient Legacy Portal의 22일 복구는 별도의 PHP 대응 사안이다.
확인할 사항: 대상 연결을 비활성화한 상태로 유지하고 개별 재개 안내를 기다리세요. 암호화된 백업 아카이브에 침해 징후가 없다는 설명을 각 Microsoft 365 테넌트에 침해가 없다는 의미로 일반화하지 마세요.
일차 자료·출처: ConnectWise公式
10/27 23:45 JST 개정
CERT VU701544의 27일 14:45 UTC 개정입니다. 하위 share와 chain code에서 동일한 MPC party의 상위/root share에 도달할 수 있지만, 임계값을 넘어 완전한 송금 키를 취득하는 것과 같지는 않습니다. 실제 도난·금액·피해 고객 수는 발표되지 않았습니다.
확인할 사항: 수정 버전이 제공되지 않은 것으로 취급하고 chain code를 비밀 정보로 보호하며, 전체 계층을 조사하세요. 별개의 eMudhra 사건의 Agent 2.4.4 / SDK 2.19.1을 이 취약점의 수정 버전으로 대신 적용하지 마세요.
일차 자료·출처: CERT VU701544
10/27 공식 업데이트
27일 기술 문서는 FIPS 보안 강화 버전을 이용할 수 있다고 안내합니다. 7.4은 FIPS-CC-74-15 b9481입니다. 7.2는 본문의 b9883과 다운로드 경로의 b9893이 일치하지 않습니다. 7.0 FIPS는 연장 지원이 종료되어 이번 버전의 계획이 없다고 설명합니다.
확인할 사항: 공식 ReadMe·지원 다운로드에서 모델과 빌드를 대조하세요. 7.2의 모호한 번호로 자동 적용하지 마세요. GA 버전의 보안 강화 표를 아직 취득하지 못한 PSIRT의 개별 최소 수정 버전으로 전용하지 마세요.
일차 자료·출처: Fortinet技術記事 / 公式hardening案内
이번 GHSA 공개 기간 / malware 분류
trajmetrics 0.5.3, numprint 1.2.0, @azure-growth/signup-ux-components 1.2.2/1.2.3 등을 포함합니다. 아래 범위는 GitHub 권고의 대상 표기입니다. 비슷한 이름의 정상 패키지 전체가 침해되었다고 보지 마세요. 권고 27개를 새로운 피해 조직 27곳으로 세지 마세요.
확인할 사항: lockfile·SBOM과 취득 캐시를 대조하고, 의심스러운 아티팩트를 실행해 확인하지 마세요. 이미 도입·실행했다면 환경을 격리하고 재구축하며, 접근 가능했던 인증 정보를 폐기하세요. 수정 버전 미기재를 안전한 버전이 존재한다거나 버전을 올리는 것만으로 해결된다는 뜻으로 해석하지 마세요.
Malicious code in trajmetrics (PyPI)
trajmetrics (pip): 대상 = 0.5.3 → 수정 버전 수정 버전 기재 없음Malware in glyphmatrix-fixture
glyphmatrix-fixture (npm): 대상 = 1.0.0 → 수정 버전 수정 버전 기재 없음glyphmatrix-fixture (npm): 대상 = 1.0.1 → 수정 버전 수정 버전 기재 없음Malware in csec-form-validatorr
csec-form-validatorr (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in ccsseecc-form-validator
ccsseecc-form-validator (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in ccsseecc-crypto-toolkit
ccsseecc-crypto-toolkit (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in ccsec-crypto-toolkit
ccsec-crypto-toolkit (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in ccsec-form-validator
ccsec-form-validator (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in csec-crypto-toolkit
csec-crypto-toolkit (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in csec-form-validator
csec-form-validator (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in agentenact
agentenact (npm): 대상 = 0.2.0 → 수정 버전 수정 버전 기재 없음Malware in dsh-vm-tester
dsh-vm-tester (npm): 대상 = 0.1.4 → 수정 버전 수정 버전 기재 없음dsh-vm-tester (npm): 대상 = 0.1.2 → 수정 버전 수정 버전 기재 없음dsh-vm-tester (npm): 대상 = 0.1.3 → 수정 버전 수정 버전 기재 없음Malicious code in numprint (PyPI)
numprint (pip): 대상 = 1.2.0 → 수정 버전 수정 버전 기재 없음Malware in 6161test1234
6161test1234 (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in adyen-web-v6
adyen-web-v6 (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in buttoncontent
buttoncontent (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in @tableau__catalog-messages/database_lower
@tableau__catalog-messages/database_lower (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in string-target-mapper-hash
string-target-mapper-hash (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in @flexmr/survey-conversation
@flexmr/survey-conversation (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in @flexmr/utils
@flexmr/utils (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in fetch-hash-cache-atomic
fetch-hash-cache-atomic (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in @flexmr/survey-client
@flexmr/survey-client (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in macro-kernel-record-reader
macro-kernel-record-reader (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in paychex-pdftron
paychex-pdftron (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in sc-announcer
sc-announcer (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in ccl-global-shopping
ccl-global-shopping (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malware in sc-hydrate-carousel-price
sc-hydrate-carousel-price (npm): 대상 >= 0 → 수정 버전 수정 버전 기재 없음Malicious code in @azure-growth/signup-ux-components (npm)
@azure-growth/signup-ux-components (npm): 대상 = 1.2.2 → 수정 버전 수정 버전 기재 없음@azure-growth/signup-ux-components (npm): 대상 = 1.2.3 → 수정 버전 수정 버전 기재 없음일차 자료·출처: GitHub malware勧告 GHSA-rm9p-x4m7-hxmp / GitHub malware勧告 GHSA-vc33-3x34-x6jm / GitHub malware勧告 GHSA-ph3g-jrf5-8792 / GitHub malware勧告 GHSA-h5wr-j55v-8m79 / GitHub malware勧告 GHSA-v9xw-mxj4-fm5q / GitHub malware勧告 GHSA-2732-c6cp-rx5v / GitHub malware勧告 GHSA-r889-j2qv-2jv6 / GitHub malware勧告 GHSA-v383-2358-576w / GitHub malware勧告 GHSA-wh86-6qm8-xgw2 / GitHub malware勧告 GHSA-7p7m-8jmq-qp93 / GitHub malware勧告 GHSA-84fw-gj66-p5v3 / GitHub malware勧告 GHSA-g9fj-q87h-6h4c / GitHub malware勧告 GHSA-r9qx-xcg2-7wcc / GitHub malware勧告 GHSA-r77r-rw3m-rjh5 / GitHub malware勧告 GHSA-6crh-vwr2-4qfp / GitHub malware勧告 GHSA-wmfr-2pvv-wmf3 / GitHub malware勧告 GHSA-wfcx-722r-fg5h / GitHub malware勧告 GHSA-hc8w-gq4q-fr74 / GitHub malware勧告 GHSA-hpc9-fxqh-hhf8 / GitHub malware勧告 GHSA-w9mp-cvjp-jfqp / GitHub malware勧告 GHSA-rh7q-f888-q36c / GitHub malware勧告 GHSA-32g3-f74c-pcxq / GitHub malware勧告 GHSA-9mgv-25w8-jwhf / GitHub malware勧告 GHSA-fxw2-4j5q-6hwg / GitHub malware勧告 GHSA-hh3m-f424-g8v5 / GitHub malware勧告 GHSA-9gcx-88qx-rxch / GitHub malware勧告 GHSA-m8mp-r4jx-43fw
10/25 수정 / 10/26 Functions 안내 지속 확인
.NET 8.0.33 / 9.0.22 / 10.0.14 / 11 RC3는 이미 제공된 OOB 수정 버전입니다. .NET Framework는 대상이 아닙니다. Azure Functions의 10월 26일 공식 안내는 배포가 진행 중이라는 내용이며, 가동 중인 모든 인스턴스에 적용이 완료되었다고 쓰여 있지 않습니다.
확인할 사항: framework-dependent는 런타임 업데이트 후 다시 시작하고, self-contained는 다시 빌드·게시하며, 컨테이너는 다시 빌드·배포하세요. Functions는 실제 운영 버전을 대조하세요.
일차 자료·출처: .NET OOB / Azure Functions
10/26자 보안 공지 / 10/27 태그 지속 확인
TS-2026-014~017는 SSH Unix 소켓 포워딩, SSH 메모리 DoS, Serve Unix 백엔드, HTTP/2 capability 혼선에 관한 것입니다. 공식 보안 공지는 최소 1.104.4를 지정합니다. 한편 변경 로그에는 업데이트 시차가 남아 있습니다. 이를 Tailworm의 전체 11개 항목 수정과 동일한 것으로 판단하지 마세요.
확인할 사항: 실제 운영 클라이언트가 1.104.4 이상인지 확인하고, SSH/Serve 사용 조건을 대조하세요. 임시로 SSH 포워딩을 중단하는 경우에는 TS_SSH_DISABLE_FORWARDING=1과 데몬 재시작이 필요합니다. headscale이나 experimental connector를 같은 수정 범위에 포함하지 마세요.
일차 자료·출처: 公式Security Bulletins / 公式v1.104.4 / 研究者報告の条件
10/21 사건 / 10/23 분석에 대한 지속 대응
10월 21일 사건에서는 악성 1.107.0와 컨테이너의 실제 배포가 확인되었습니다. 23일 공격 연쇄 보고는 폐기되지 않은 master key에서 publisher token 등으로 이어진 경위를 설명합니다. 3월의 별도 사건 피해 수를 이번 사건에 전용하지 마세요.
확인할 사항: 대상 시간대의 도입·실행 경로를 확인하세요. 단순한 pip 업데이트에 앞서 환경을 격리·재구축하고, 접근 가능했던 키를 폐기·교체하세요. 이번 제품 GHSA 수정 버전과 침해 후 안전성 확인은 별개입니다.
일차 자료·출처: 公式10月21日incident / 公式攻撃連鎖分析