[MegaTalk] Security Release – 2026년 11월호

Monthly Top 3 요약

1. PHP 코어 원격 코드 실행 (PHP2Shell)
   CVE-2026-109618, CVE-2026-109619 / CVSS: 9.8
   메모리 처리 및 전역 상태 불일치 결함으로 인해 인터넷에 노출된 PHP 웹 애플리케이션에서 인증 없이 원격 코드를 실행할 수 있습니다. KEV에 등재되어 대규모 악용 스캔이 진행 중입니다.
2. Google Cloud MCP Toolbox for Databases 호스트 파일 유출
   CVE-2026-93328 / CVSS: 9.3
   인증되지 않은 원격 공격자가 도구 호출 매개변수를 조작하여 호스트 머신의 시스템 설정 파일이나 서비스 계정 키를 외부 GCS 버킷으로 탈취할 수 있습니다.
3. Google Brotli 및 Node.js 디코더 원격 코드 실행
   CVE-2026-111497 / CVSS: 9.2
   Brotli 압축 해제 시 발생하는 버퍼 오버플로우 결함으로 프로세스 메모리가 유출되거나 임의 코드 실행이 가능합니다. Node.js 런타임 환경에 치명적인 영향을 미치며 KEV에 등재되었습니다.

1. PHP 코어 원격 코드 실행 (PHP2Shell)
CVSS 9.8
Cloud Run / App Engine

CVE-2026-109618, CVE-2026-109619: 메모리 결함으로 인한 RCE (CISA KEV 등재)

• 영향 버전: PHP 5.4 이상 8.5 이하 모든 버전 (8.5.12, 8.4.27, 8.3.36, 8.2.35 미만)
• 수정 버전: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상
• 핵심 설명: PHP가 메모리 부족(OOM) 상황을 처리하거나 요청을 종료할 때 초기화되지 않은 포인터를 역참조하거나 해제된 메모리를 다시 가리키는 결함이 존재합니다. 이를 통해 공격자가 조작된 HTTP 요청을 보내 웹 서버 권한으로 임의 코드를 실행할 수 있습니다.

권장 조치 방법

Dockerfile 갱신 예시:

# Dockerfile 베이스 이미지를 패치된 최신 마이너 버전으로 변경
FROM php:8.3.36-fpm

# Cloud Run 재배포
gcloud run deploy SERVICE_NAME --image=UPDATED_IMAGE --region=LOCATION

2. Google Cloud MCP Toolbox for Databases 호스트 파일 유출
CVSS 9.3
Cloud SQL / AlloyDB 연동

CVE-2026-93328: 경로 순회를 통한 중요 자격증명 외부 버킷 유출

• 영향 버전: googleapis/mcp-toolbox 1.2.0 ~ 1.4.0
• 수정 버전: 1.4.1 이상 (현재 최신 v1.15.0)
• 핵심 설명: 데이터베이스 연결을 위한 MCP 툴박스 내 cloud-storage 소스 구현에서 경로 순회(Path Traversal) 검증이 누락되었습니다. 인증되지 않은 원격 공격자가 호스트 머신의 임의 파일을 읽어 자신이 지정한 외부 GCS 버킷으로 업로드할 수 있습니다.

권장 조치 방법

업그레이드 예시:

# 최신 컨테이너 이미지 풀링
docker pull gcr.io/google-samples/mcp-toolbox:v1.15.0

3. Google Brotli 및 Node.js 원격 코드 실행
CVSS 9.2
Node.js / Python 런타임

CVE-2026-111497: 디코더 버퍼 오버플로우로 인한 메모리 유출 및 RCE

• 영향 버전: Google Brotli 1.0.3~1.2.0, Node.js 22.x, 24.x, 26.x 취약 버전
• 수정 버전: Brotli 1.2.1 이상, Node.js v26.12.1 / v24.22.1 / v22.23.4 이상
• 핵심 설명: Brotli 디코더가 잘못된 블록 전환을 적절히 거부하지 않아 내부 버퍼 바깥으로 데이터를 계속 기록하는 결함입니다. 이로 인해 스트리밍 디코더의 인접한 상태 메모리를 덮어쓰게 되어 인증 없이 원격 코드 실행이나 데이터 유출이 가능해집니다.

권장 조치 방법

패키지 업그레이드 명령어:

# Python 패키지 업그레이드
pip install --upgrade "brotli>=1.2.1"

• 대중적 런타임 취약점의 즉각적 무기화: PHP 코어 결함 및 Node.js(Brotli)와 같이 광범위하게 쓰이는 런타임의 원격 코드 실행(RCE) 취약점들이 공개와 거의 동시에 CISA KEV(실제 악용 목록)에 등재되며 즉각적인 위협으로 발전하고 있습니다.
• AI 에이전트 인프라의 초기 보안 리스크: Google Cloud 데이터베이스 연동용 MCP Toolbox나 VLLM(대규모 언어 모델 서빙 엔진) 등 최신 AI 에이전트 환경에서 경로 조작, 인증 우회, 호스트 장악 결함이 연이어 발견되어 각별한 아키텍처 점검이 요구됩니다.
• 자격증명 탈취 및 신뢰 인프라 공격 지속: KEDA 운영자 토큰 유출(CVE-2026-77524)을 통한 클러스터 권한 상승 및 eMudhra 하위 CA 개인키 유출에 따른 컨테이너 중간자 공격(MitM) 등, 클라우드 권한과 신뢰 사슬을 노린 공격 경로가 꾸준히 보고되고 있습니다.]

P0: 즉시 확인 및 대응 필수

• PHP 기반 컨테이너 및 Apigee 포털: 실제 악용 중인 치명적인 메모리 결함을 차단하기 위해 런타임 베이스 이미지(8.2.35, 8.3.36, 8.4.27, 8.5.12 이상) 교체 및 즉시 재배포를 수행하십시오.
• Node.js 런타임 및 외부 입력 압축 해제 서비스: Brotli 결함 방어를 위해 v22.23.4 / v24.22.1 / v26.12.1 이상으로 Node.js 컨테이너를 올리거나 패키지를 갱신하십시오.
• MCP Toolbox 환경: 데이터베이스 연결용 에이전트 툴박스(1.2.0~1.4.0)를 사용 중인 경우 즉시 1.15.0으로 업그레이드하고 인터넷 노출을 차단하십시오.

P1: 환경 확인 후 조치 권장

• GKE KEDA 및 eMudhra CA: 클러스터에 설치된 오픈소스 KEDA를 2.21.0 이상으로 업그레이드하고, 노드 OS(COS) 및 고객 커스텀 이미지의 루트 CA 신뢰 저장소를 갱신하여 자격증명 탈취를 방지하십시오.
• Compute Engine Windows VM: 10월 누적 보안 업데이트를 적용하여 Windows Shell 및 OpenSSH 원격 코드 실행 결함을 제거하십시오.