| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-47767 | CRITICAL | 9.8 | PHP |
Symfony PHP 프레임워크에서 parse_str()과 웹 SAPI 간의 불일치를 이용한 취약점이 발견되었습니다. 공격자가 조작된 쿼리 문자열을 통해 $_GET을 비우면서도 $_SERVER['argv']에 공격자가 제어하는 플래그를 주입하여 APP_ENV 또는 APP_DEBUG 설정을 변경할 수 있습니다.
|
2026-07-14 | 2026-07-16 15:16 |
| CVE-2026-56188 | CRITICAL | 9.8 | Windows Server |
Windows Server 네트워크 드라이버에서 공유 리소스를 사용할 때 부적절한 동기화로 인해 발생하는 레이스 컨디션(Race Condition) 취약점입니다. 이를 통해 인증되지 않은 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-07-14 | 2026-07-22 16:18 |
| CVE-2026-56159 | CRITICAL | 9.8 | Windows Server |
Windows DHCP 서버에서 발생하는 힙 기반 버퍼 오버플로 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 원격으로 코드를 실행할 수 있습니다.
|
2026-07-14 | 2026-07-21 20:14 |
| CVE-2026-50518 | CRITICAL | 9.8 | Windows Server |
Windows DHCP 서버에서 발생하는 힙 기반 버퍼 오버플로 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 원격으로 코드를 실행할 수 있습니다.
|
2026-07-14 | 2026-07-22 15:15 |
| CVE-2026-58644 | CRITICAL | 9.8 | Microsoft Office |
Microsoft Office SharePoint에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 이를 통해 권한이 없는 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-07-14 | 2026-07-17 05:16 |
| CVE-2026-54118 | CRITICAL | 9.8 | SQL Server |
SQL Server에서 신뢰할 수 없는 데이터를 역직렬화할 때 발생하는 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 원격에서 임의의 코드를 실행할 수 있습니다.
|
2026-07-14 | 2026-08-20 17:18 |
| CVE-2026-54117 | CRITICAL | 9.8 | SQL Server |
SQL Server에서 신뢰할 수 없는 데이터를 역직렬화할 때 발생하는 취약점입니다. 이를 통해 인증되지 않은 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-07-14 | 2026-08-20 17:18 |
| CVE-2026-50522 | CRITICAL | 9.8 | Microsoft Office |
Microsoft Office SharePoint에서 신뢰할 수 없는 데이터를 역직렬화할 때 발생하는 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-07-14 | 2026-07-23 15:44 |
| CVE-2026-42990 | CRITICAL | 9.8 | SQL Server |
SQL Server ODBC 드라이버에서 발생하는 힙 기반 버퍼 오버플로 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-07-14 | 2026-07-22 16:17 |
| CVE-2026-61498 | CRITICAL | 9.8 | Sudo |
Vitec Flamingo 4.12.2 버전의 admin/ajax/gen_graphs.php 엔드포인트에서 인증되지 않은 사용자가 OS 명령을 주입할 수 있는 취약점이 발견되었습니다. 공격자는 GET 파라미터에 쉘 메타문자를 삽입하여 임의의 명령을 실행할 수 있으며, 웹 서버가 비밀번호 없는 sudo 권한을 가지고 있어 루트 권한으로 명령이 실행될 수 있습니다.
|
2026-07-13 | 2026-08-14 14:42 |
| CVE-2026-60121 | CRITICAL | 9.8 | Sudo |
Vitec Flamingo 4.12.2 버전의 admin/ajax/ping.php 엔드포인트에서 인증되지 않은 사용자가 OS 명령을 주입할 수 있는 취약점이 발견되었습니다. 쉘 인자 처리 과정에서의 이중 평가 결함으로 인해, 공격자는 원격에서 임의의 명령을 실행하여 루트 권한을 탈취할 수 있습니다.
|
2026-07-13 | 2026-08-14 14:42 |
| CVE-2026-12761 | CRITICAL | 9.8 | IBM Security Verify Access |
WordPress용 miniOrange Social Login and Register 플러그인 7.7.0 이하 버전에서 인증 우회 및 계정 탈취 취약점이 발견되었습니다. 공격자는 이메일 필드 조작과 취약한 OTP 해시 노출을 악용하여 관리자 계정으로 로그인을 시도할 수 있습니다.
|
2026-07-10 | 2026-07-13 16:59 |
| CVE-2026-61459 | CRITICAL | 9.8 | Kubernetes |
MCP Server Kubernetes 3.9.0 미만 버전의 구조화된 도구(kubectl_get, kubectl_describe, kubectl_delete)에서 인자 주입 취약점이 발견되었습니다. 공격자가 리소스 유형이나 이름 파라미터에 대시(-)를 포함시켜 보안 검사를 우회하고 --server 플래그를 주입할 수 있습니다. 이를 통해 kubectl 명령을 공격자의 API 서버로 리다이렉트하여 운영자의 토큰을 탈취하고 클러스터 전체를 장악할 수 있습니다.
|
2026-07-10 | 2026-07-17 12:27 |
| CVE-2026-56765 | CRITICAL | 9.8 | IBM Security Verify Access |
Vikunja 2.2.1 미만 버전에서 권한 부여 결함이 발견되었습니다. LinkSharing.ReadAll 엔드포인트가 공유 해시를 노출하여 관리자 권한으로의 상승을 허용하며, GetTaskAttachment 엔드포인트는 소유권 검증 없이 순차적 ID로 파일을 가져와 인스턴스 전체의 첨부 파일을 다운로드하거나 삭제할 수 있습니다.
|
2026-07-10 | 2026-07-10 17:56 |
| CVE-2026-53363 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 xfrm:iptfs 구성 요소에서 iptfs_consume_frags() 함수가 SKBFL_SHARED_FRAG 플래그를 제대로 전달하지 못하는 취약점입니다. 이로 인해 읽기 전용 페이지 캐시를 사용하는 파편화된 데이터가 병합될 때 공유 상태 표시가 누락되어 ESP 암호화 과정에서 보안 문제가 발생할 수 있습니다.
|
2026-07-10 | 2026-07-22 19:07 |
| CVE-2026-12116 | CRITICAL | 9.8 | PHP |
Xerte Online Tools의 도구 서버 설정 내 백신 바이너리 경로를 조작하여 원격 코드 실행(RCE)이 가능한 취약점입니다. 공격자가 해당 경로를 PHP 인터프리터로 변경하면, 업로드된 PHP 데이터가 실행되어 시스템 권한을 탈취할 수 있습니다.
|
2026-07-09 | 2026-07-09 19:49 |
| CVE-2026-58480 | CRITICAL | 9.8 | PHP |
WordPress용 Blocksy Companion Pro 플러그인 2.1.47 미만 버전에서 인증되지 않은 사용자가 임의의 파일을 업로드할 수 있는 취약점이 발견되었습니다. Advanced Reviews 기능의 save_attachments 함수에서 확장자 검증을 우회하여 실행 가능한 파일을 업로드할 수 있으며, 이를 통해 원격 코드 실행(RCE)이 가능합니다.
|
2026-07-08 | 2026-07-08 15:28 |
| CVE-2026-9701 | CRITICAL | 9.8 | PHP |
WordPress의 Eventer 플러그인(4.4.2 이하 버전)에서 비밀번호 재설정 키가 평문으로 저장되는 취약점이 발견되었습니다. SQL 인젝션과 결합될 경우 공격자가 이 키를 탈취하여 관리자를 포함한 모든 사용자 계정을 탈취할 수 있습니다. 단, 이 기능은 PHP 7.4 버전까지만 작동합니다.
|
2026-07-08 | 2026-07-08 18:16 |
| CVE-2026-59800 | CRITICAL | 9.8 | Sudo |
9Router 0.4.44 미만 버전의 unauthenticated POST /api/tunnel/tailscale-install 엔드포인트에서 OS 명령 주입 취약점이 발견되었습니다. 해당 경로는 인증 확인 과정을 거치지 않으며, 요청 본문의 sudoPassword 필드가 sudo 프로세스의 표준 입력으로 전달되어 임의의 명령을 실행할 수 있게 합니다.
|
2026-07-07 | 2026-07-10 17:56 |
| CVE-2026-13019 | CRITICAL | 9.8 | NVIDIA Cloud Gaming Guest Driver for Linux |
Windows, Linux, Kubernetes 환경의 Esri Portal for ArcGIS 12.1 이하 버전에서 인증이 누락된 취약점이 발견되었습니다. 이로 인해 인증되지 않은 원격 공격자가 보호되지 않은 API에 접근할 수 있습니다. Esri는 보안 패치인 Portal for ArcGIS Security 2026 Update 2를 적용할 것을 권고합니다.
|
2026-07-07 | 2026-09-29 20:17 |
| CVE-2026-53481 | CRITICAL | 9.8 | Spring Data REST |
Dell PowerProtect Data Domain의 특정 버전에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 이 취약점을 악용하여 시스템에 무단 접근하고 전체 제어권을 획득할 수 있는 심각한 보안 결함입니다.
|
2026-07-07 | 2026-07-08 19:57 |
| CVE-2026-14345 | CRITICAL | 9.8 | PHP |
WordPress용 WPFunnels 플러그인에서 'postData' 파라미터를 통해 원격 코드 실행(RCE)이 가능한 취약점이 발견되었습니다. 공격자가 조작된 데이터를 로그 파일에 기록하게 만든 뒤, 관리자가 해당 로그를 열람하도록 유도하여 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-07-07 | 2026-07-08 18:16 |
| CVE-2026-9182 | CRITICAL | 9.8 | Kubernetes |
Esri ArcGIS Server에서 제한되지 않은 파일 업로드 취약점이 발견되었습니다. 인증되지 않은 공격자가 조작된 파일을 업로드하여 임의의 파일을 실행할 수 있으며, 이는 추가적인 공격으로 이어질 수 있습니다. 이 문제는 Windows 및 Linux용 ArcGIS Server 12.0 및 이전 버전 전체에 영향을 미칩니다.
|
2026-07-06 | 2026-07-08 16:16 |
| CVE-2026-9181 | CRITICAL | 9.8 | Storage Protect Snapshot for Windows |
Esri ArcGIS Server에서 디렉토리 트래버설 취약점이 발견되었습니다. 인증되지 않은 공격자가 조작된 경로 매개변수를 전송하여 시스템의 민감한 파일을 덮어쓸 수 있으며, 이를 통해 ArcGIS Server에 대한 전체 관리자 권한을 획득할 수 있습니다.
|
2026-07-06 | 2026-07-08 15:16 |
| CVE-2026-56140 | CRITICAL | 9.8 | WP Maps Pro |
Apache Camel의 AWS SNS 컴포넌트에서 부적절한 입력 검증 취약점이 발견되었습니다. Sns2HeaderFilterStrategy에 인바운드 필터 규칙이 누락되어 있었으나, 해당 컴포넌트는 프로듀서 전용이므로 외부 공격자가 이를 악용할 수 있는 알려진 경로은 없습니다.
|
2026-07-06 | 2026-07-09 13:02 |
| CVE-2026-46454 | CRITICAL | 9.8 | WP Maps Pro |
Apache Camel Cometd 컴포넌트에서 입력값 검증 미흡으로 인해 발생하는 취약점입니다. 클라이언트가 전송한 Bayeux 메시지 헤더가 필터링 없이 Camel Exchange에 직접 복사되어, 공격자가 Camel 내부 제어 헤더를 주입할 수 있습니다. 이를 통해 HTTP 목적지 변경, 파일명 조작, JMS 목적지 재설정 등 라우트의 동작을 임의로 조작할 수 있습니다.
|
2026-07-06 | 2026-07-08 03:15 |
| CVE-2026-43867 | CRITICAL | 9.8 | Spring Data REST |
Apache Camel PQC 컴포넌트의 AwsSecretsManagerKeyLifecycleManager에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 공격자가 AWS Secrets Manager의 비밀 값을 조작할 수 있다면, java.io.ObjectInputStream을 통해 악성 객체를 역직렬화하여 애플리케이션 권한으로 임의 코드를 실행할 수 있습니다.
|
2026-07-06 | 2026-07-07 23:33 |
| CVE-2026-46455 | CRITICAL | 9.8 | Spring Cloud Gateway Server |
Apache Camel Keycloak 컴포넌트의 KeycloakSecurityHelper에서 세션 만료 검증이 불충분하게 이루어지는 취약점이 발견되었습니다. 토큰의 서명과 발행처는 확인하지만 만료 시간(exp) 및 유효 시작 시간(nbf)을 검증하는 IS_ACTIVE 체크가 누락되어, 만료된 토큰도 유효한 것으로 처리될 수 있습니다.
|
2026-07-06 | 2026-07-08 03:15 |
| CVE-2026-27780 | CRITICAL | 9.8 | Git |
Gitea 1.26.0 미만 버전에서 pre-receive hook 입력을 처리할 때 bufio.Scanner 오류 발생 시 시스템이 안전하게 차단되지 않는 취약점이 발견되었습니다. 이로 인해 과도하게 큰 입력값을 전송할 경우 브랜치 보호 규칙을 우회할 수 있습니다.
|
2026-07-03 | 2026-07-06 18:17 |
| CVE-2026-26292 | CRITICAL | 9.8 | Git |
Gitea 1.25.5 미만 버전에서 LFS 푸시 및 동기화 미러 작업 시 설정된 마이그레이션 HTTP 전송 보호를 우회하는 취약점이 발견되었습니다. 이로 인해 LFS 요청이 구성된 보안 전송 프로토콜을 따르지 않고 처리될 수 있습니다.
|
2026-07-03 | 2026-07-07 18:16 |