Palo Alto Networks 방화벽 root 코드 실행 취약점 외 4건

2026년 10월 14일과 15일에 발표된 주요 보안 취약점 권고와 악용 경고 소식을 모았어요. CISA 실제 악용 목록(KEV)에 추가된 Palo Alto Networks 방화벽 코드 인젝션, Cisco Secure Email Gateway 임의 파일 기록 결함, Ahsay AhsayCBS 인증 우회 및 명령어 삽입 결함, 그리고 CISA 의료기기 보안 권고로 나온 J4Care 의료 영상 아카이브와 Thermo Fisher Torrent Suite Software 취약점 소식을 정리했어요.

Palo Alto Networks, PAN-OS 방화벽 root 코드 실행 취약점 KEV 등록

미국 CISA가 2026년 10월 14일 Palo Alto Networks PAN-OS의 코드 인젝션 취약점(CVE-2026-0322)을 실제 악용 취약점 목록(KEV)에 새로 추가했어요. 네트워크 접근 권한을 가진 인증된 공격자가 방화벽 시스템에서 root 권한으로 임의 코드를 실행할 수 있는 결함이에요. CISA는 미 연방기관에 2026년 10월 17일까지 조치를 완료하도록 기한을 지정했어요. 이 내용은 KEV 목록 기준이에요.

출처: CISA · 10/14

Cisco, Secure Email Gateway 임의 파일 기록 결함 실제 악용 확인

Cisco Secure Email Gateway에서 인증되지 않은 원격 공격자가 기본 운영체제에 임의 파일을 기록할 수 있는 취약점(CVE-2026-76519)이 실제 공격에 악용되어 CISA KEV 목록과 KISA 보안공지에 등록되었어요. CISA는 10월 14일 KEV에 추가하며 미 연방기관에 10월 17일까지 조치를 요구했어요. KISA는 영향을 받는 시스템을 해결 버전인 15.5.5-014 이상 또는 16.5.0-780 이상으로 업데이트하고, 16.0 버전은 16.5.0-780으로 마이그레이션할 것을 안내했어요.

출처: CISA · 10/14

Ahsay, AhsayCBS 인증 우회 및 명령어 삽입 연계 결함 KEV 추가

CISA가 10월 14일 Ahsay AhsayCBS의 취약점 2건을 KEV 카탈로그에 등록했어요. 원격 공격자가 인증을 우회할 수 있는 부적절한 인증 결함(CVE-2026-105133)과 운영체제 명령어를 실행할 수 있는 명령어 삽입 결함(CVE-2026-105134)이에요. CISA 설명에 따르면 이 두 취약점은 연계되어 공격에 쓰일 수 있어요. 두 결함 모두 조치 기한은 2026년 10월 17일로 지정되었어요.

출처: CISA · 10/14

J4Care, dcm4chee-arc-light 의료 영상 아카이브 취약점 6건 공지

CISA가 10월 15일 의료 영상 아카이브 dcm4chee-arc-light 5.35.1 버전에 대한 보안 권고(ICSMA-26-288-02)를 발표했어요. 총 6건의 취약점이 보고되었으며 CVSS v3.1 최고 점수는 9.1이에요. 공격에 악용될 경우 저장된 의료 영상 삭제, 환자 정보 노출, 위조 검사 삽입 등이 발생할 수 있어요. CISA에 따르면 공개 악용 사례는 보고되지 않았으며, J4Care는 5.35.2 이상 버전으로 업데이트할 것을 권고했어요.

출처: CISA · 10/15

Thermo Fisher, Torrent Suite Software 경로 조작 취약점 공지

CISA가 10월 15일 Thermo Fisher Torrent Suite Software 5.18 이하 버전에 대한 보안 권고(ICSMA-26-288-01)를 발표했어요. 인증된 공격자가 Torrent Server 내 임의 파일을 읽을 수 있는 경로 조작 취약점(CVE-2026-107777)이에요. 점수는 CVSS v3.1 기준 6.5, CVSS v4.0 기준 7.1이며, 현재까지 공개 악용 보고는 없어요. Thermo Fisher는 해당 소프트웨어를 5.22 이상 버전으로 업데이트할 것을 권고했어요.

출처: CISA · 10/15