CISA 구형 취약점 5건 KEV 목록 추가 외 3건

2026년 10월 둘째 주 보안 분야의 핵심 소식을 모았어요. CISA 등 다국적 기관의 구형 취약점 악용 경고와 KEV 추가, 국가 최상위 도메인 탈취 공격에 대한 구글 크롬 팀의 대응 조치, 보안 수정 247건이 반영된 데스크톱 Chrome 155 업데이트, KISA의 시트릭스 넷스케일러 보안 권고예요.

CISA 합동 권고, 구형 취약점 5건 KEV 목록 추가

미국 CISA와 FBI, NSA 및 여러 국가 보안 기관이 합동 보안 권고(AA26-281A)를 발표했어요. 권고는 공격자들이 스캐닝 도구와 크로스사이트 스크립팅(XSS), Microsoft Exchange 서버 대상 패스워드 스프레잉 기법으로 취약점을 악용한다고 밝혔어요. 권고에 실린 취약점 중 ProFTPD(CVE-2015-3306), ISC BIND(CVE-2015-5477), Apache Struts(CVE-2016-3081), ONLYOFFICE(CVE-2021-3199), Strapi(CVE-2023-22894) 등 5개 구형 취약점이 CISA의 KEV(알려진 악용 취약점) 목록에 새로 등록됐어요. 보안 당국은 사용하지 않는 서비스와 포트 비활성화, 웹 애플리케이션 입력값 검증, 모든 서비스에 대한 다중 인증(MFA) 적용을 권장했어요.

출처: CISA · 10/8

구글 크롬 팀, 국가 최상위 도메인 레지스트리 탈취 대응 발표

구글 크롬 팀이 가나(.gh), 시에라리온(.sl), 아메리칸사모아(.as) 등 국가 최상위 도메인(ccTLD) 레지스트리 탈취 공격에 대한 대응 경과를 공유했어요. 공격자가 권한 있는 DNS 레코드를 변조하고 구글 도메인을 포함한 무단 HTTPS 인증서를 발급받았으나, 구글 자체 시스템이 침해된 것은 아니라고 밝혔어요. 크롬 팀은 CRLSets 메커니즘을 통해 구글 도메인용 무단 인증서 사용을 차단했어요. 일반 도메인 운영자들에게는 인증서 투명성(CT) 로그 모니터링을 지속하고, ACME 계정 바인딩이 포함된 제한적 CAA 레코드를 설정할 것을 안내했어요.

출처: Google · 10/6

구글, 보안 수정 247건 담은 데스크톱 Chrome 155 배포

데스크톱 환경을 위한 Chrome 155 안정판(Windows 및 Mac 155.0.8059.39/.40, Linux 155.0.8059.39)이 배포되기 시작했어요. 이번 버전에는 총 247건의 보안 수정 사항이 포함되어 있으며, 크롬캐스트의 Use-after-free 취약점(CVE-2026-106382)을 포함한 치명적(Critical) 등급 취약점 4건이 패치됐어요. 취약점 제보 목록에는 Claude의 지원을 받은 Anthropic 연구진과 OpenAI Codex Security의 기여 내역도 일부 포함되어 있어요.

출처: Google Chrome Releases · 10/6

KISA, Citrix NetScaler 제품 보안 업데이트 권고

한국인터넷진흥원(KISA) 보호나라가 시트릭스 NetScaler ADC 및 NetScaler Gateway 제품에 대한 보안 업데이트를 권고했어요. 메모리 버퍼 경계 검증 미흡으로 발생하는 취약점(CVE-2026-107406)이 확인되었으며, 10월 6일 발표된 권고에 이어 추가적인 취약점에 대한 패치가 안내된 것이에요. 영향을 받는 버전은 13.1-64.29 미만 및 14.1-73.46 미만이며, 보안이 수정된 13.1-64.29 및 14.1-73.46 이상 버전으로 업데이트해야 해요.

출처: KISA 보호나라 · 10/12