10월 22일 보안 브리핑: 무인증 원격 실행 결함 집중 공개

어제(10월 21일)부터 오늘 사이 인증 없이 코드를 실행할 수 있는 결함이 PHP·GitLab·서버 펌웨어에서 잇달아 공개됐습니다출처 1Critical Vulnerabilities in PHP Require Immediate Patching (2026-10-21 경보)CISA(미국 사이버보안인프라보안국)출처 목록에서 보기 ↓. AI 인프라에서 널리 쓰는 라이브러리 하나는 배포 창구 자체가 침해됐습니다출처 5LiteLLM supply chain attack exposes AI and cloud credentials (2026-10-23)esentry출처 목록에서 보기 ↓. 오늘은 네 건을 패치·점검 관점으로 정리합니다.

PHP 심각 결함, CISA가 즉시 패치 경보

CISA(미국 사이버보안인프라보안국)는 10월 21일 PHP 코어의 결함 두 건에 대해 즉시 패치 경보를 냈습니다출처 1Critical Vulnerabilities in PHP Require Immediate Patching (2026-10-21 경보)CISA(미국 사이버보안인프라보안국)출처 목록에서 보기 ↓. 결함은 메모리 파손과 내부 요청 상태 오류로 이어지며, 인증 없이 원격 코드 실행이 가능하다는 것이 경보의 요지입니다출처 1Critical Vulnerabilities in PHP Require Immediate Patching (2026-10-21 경보)CISA(미국 사이버보안인프라보안국)출처 목록에서 보기 ↓. 수정 버전은 8.2.35, 8.3.36, 8.4.27, 8.5.12입니다출처 1Critical Vulnerabilities in PHP Require Immediate Patching (2026-10-21 경보)CISA(미국 사이버보안인프라보안국)출처 목록에서 보기 ↓.

왜 중요한가

PHP는 국내 웹사이트·호스팅에서 여전히 넓게 쓰이는 구성 요소입니다. 인증 없는 원격 실행 결함은 웹셸 설치로 바로 이어질 수 있어, 패치 주기가 느린 사이트일수록 노출이 커집니다.

점검 포인트

운영 PHP 버전: 지원 브랜치의 최신 패치 버전인지 확인하고 당일 안에 업데이트합니다.
패치 전 침해 확인: 늦어지는 경우 웹셸·비정상 세션 흔적부터 점검합니다.

GitLab, CVSS 10.0 무인증 원격 실행 결함

GitLab은 10월 21일 보안 릴리스에서 정규식 엔진의 정수 오버플로로 인한 무인증 원격 코드 실행 결함(CVE-2026-110264)을 수정했습니다출처 2GitLab Security Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9GitLab출처 목록에서 보기 ↓. 영향 범위는 자체 관리(self-managed) GitLab 7.0 이후 사실상 전 버전입니다출처 2GitLab Security Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9GitLab출처 목록에서 보기 ↓. CERT-EU는 같은 결함을 2026-019 권고로 다뤘습니다출처 3CERT-EU Security Advisory 2026-019 (GitLab)CERT-EU출처 목록에서 보기 ↓.

왜 중요한가

Git 서버는 소스코드 전체와 CI/CD 자격증명이 모여 있는 자산입니다. 내부망이라도 인증 없이 도달할 수 있다면 곧 공격 경로가 됩니다.

점검 포인트

버전 확인: 자체 관리 GitLab을 쓴다면 19.5.1 이상 계열로 올립니다출처 2GitLab Security Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9GitLab출처 목록에서 보기 ↓.
노출 점검: GitLab 주소가 인터넷에 노출돼 있는지 다시 확인하고 가능한 내부망으로 제한합니다.

서버 펌웨어 PXE 결함, 부팅 전 코드 실행

UEFI(통합 확장 펌웨어 인터페이스) 표준 구현체 TianoCore EDK II의 PXE 네트워크 부트 드라이버에서 버퍼 오버플로가 공개됐습니다출처 4Code execution flaw in UEFI firmware threatens most servers on Earth (2026-10-22)Ars Technica출처 목록에서 보기 ↓. 네트워크상 공격자가 보안 부팅과 운영체제 로드 이전에 코드를 실행할 수 있고, 결함은 코드베이스에 약 16년간 존재했다고 보도됐습니다출처 4Code execution flaw in UEFI firmware threatens most servers on Earth (2026-10-22)Ars Technica출처 목록에서 보기 ↓.

왜 중요한가

운영체제와 EDR(Endpoint Detection and Response)이 작동하지 않는 부팅 이전 단계의 공격 경로입니다. 네트워크 부트를 쓰는 데이터센터·서버실일수록 구조적으로 노출됩니다.

점검 포인트

사용 확인: PXE·네트워크 부트로 운영하는 서버 목록을 만듭니다.
구간 격리: PXE 트래픽을 신뢰 구간으로 묶고, 벤더 펌웨어 패치 일정을 따로 추적합니다.

LiteLLM 공급망 공격, AI 자격증명 노출

AI 모델 게이트웨이로 널리 쓰이는 오픈소스 파이썬 라이브러리 LiteLLM의 릴리스 인프라가 침해돼, 10월 21일 짧은 시각대에 악성 버전 1.107.0이 배포됐습니다출처 6Black October (information security) — LiteLLM 악성 릴리스 시각대 정리Wikipedia출처 목록에서 보기 ↓. 해당 창구에 내려받은 환경은 시작 훅을 통해 AI·클라우드 자격증명이 유출될 수 있다는 분석이 나왔습니다출처 5LiteLLM supply chain attack exposes AI and cloud credentials (2026-10-23)esentry출처 목록에서 보기 ↓.

왜 중요한가

LLM(대규모 언어 모델) API 키 하나가 클라우드 전체 자격증명으로 확대되는 구조가 실제로 쓰인 사례입니다. AI 도구 도입이 빠른 조직일수록 의존성 검증이 비어 있기 쉽습니다.

점검 포인트

설치 이력: 해당 시각대 LiteLLM 1.107.0 설치·실행 이력을 확인하고 제거합니다출처 6Black October (information security) — LiteLLM 악성 릴리스 시각대 정리Wikipedia출처 목록에서 보기 ↓.
키 교체: 노출 가능성이 있다면 LLM·클라우드 API 키를 전량 재발급합니다.
고정 정책: 패키지 버전·해시를 고정(pin)하는 정책을 도입합니다.

APT28, NATO 방산 기업 스피어피싱 침투

Symantec 위협 추적 팀은 NATO 회원국 2개국의 해군 조선사, 항공기 엔진 제조사, 법집행기관이 러시아 계열 APT28의 스피어피싱과 HOOKEDGE 백도어, SSH 터널링으로 침투됐다고 보고했습니다출처 7Recent activities attributed to the Swallowtail threat group (APT28)Broadcom(Symantec)출처 목록에서 보기 ↓. 활동은 7월 24일부터 관측됐습니다출처 7Recent activities attributed to the Swallowtail threat group (APT28)Broadcom(Symantec)출처 목록에서 보기 ↓.

왜 중요한가

표적은 조선·항공 부품과 방산 협력망입니다. 같은 산업 생태계에 있는 국내 협력사도 동일한 수법의 표적이 될 수 있습니다.

점검 포인트

피싱 대비: 기간산·방산 협력사 담당자를 겨냥한 스피어피싱 대응 훈련을 점검합니다.
이상 터널: 서버에서 나가는 지속 SSH 터널·비정상 로더 탐지 규칙을 확인합니다.

PHP 심각 결함, CISA가 즉시 패치 경보

왜 중요한가

점검 포인트

GitLab, CVSS 10.0 무인증 원격 실행 결함

왜 중요한가

점검 포인트

서버 펌웨어 PXE 결함, 부팅 전 코드 실행

왜 중요한가

점검 포인트

LiteLLM 공급망 공격, AI 자격증명 노출

왜 중요한가

점검 포인트

APT28, NATO 방산 기업 스피어피싱 침투

왜 중요한가

점검 포인트

출처

관련 인사이트(iax.kr)