미국 사이버보안 및 인프라 보안국(CISA)이 현재 야생에서 악용되고 있는 것으로 확인된 취약점 목록을 업데이트했습니다. 이번 발표는 2026년 10월 24일 기준으로 최신 상태가 반영되었습니다.
아리스타(VeloCloud Orchestrator)의 SQL 인젝션 취약점이 대표적입니다. 이 결함은 원격 공격자가 내부 권한 기능을 접근할 수 있게 하며 오케스트레이터 호스트의 기밀성과 가용성을 위협합니다. 해당 항목은 2026년 10월 23일에 추가되었고, 패치 마감일은 10월 26일로 설정되었습니다.
콜라보라 온라인(Collabora Online) 내장 CODE 서버에서도 OS 명령어 주입 취약점이 발견되었습니다. NextCloud 플랫폼 내에서 사용될 때 원격 코드 실행이 가능하다는 점이 특징입니다. 이 역시 10월 23일 등록 후 10월 26일까지 대응이 요구됩니다.
EG Secure Solutions의 SiteGuard Server Edition도 유사한 명령어 주입 문제로 리스트에 올랐습니다. 공격자가 루트 또는 SYSTEM 권한으로 임의의 OS 명령어를 실행할 수 있습니다. 이 취약점은 10월 20일에 추가되어 이미 패치 기한인 10월 23일이 지났거나 임박한 상황입니다.
Plex Media Server의 파일 경로 제어 취약점도 함께 언급되었습니다. 관리자 사용자가 로드 시 실행 가능한 임의 파일을 작성할 수 있으며 다른 CVE와 연계될 가능성이 제기되었습니다.
커뮤니티에서는 최근 몇 년간 CVE 발급 기준이 낮아졌다는 논의가 이어지고 있습니다. GitHub와 리눅스 커널이 자체 CNA로 지정되면서 자동화 절차가 늘어난 영향으로 분석됩니다. 일부 개발자는 베타 릴리스 단계에서도 정규식 오류 등으로 CVE가 부여되는 사례를 보고했습니다.
심각도 필터링 없이 집계된 수치만 보면 추세가 과장될 수 있다는 지적도 나옵니다. 그러나 치명적(Critical) 등급의 CVE 증가율은 2020년 대비 약 25배에 달하는 것으로 나타났습니다. 전체 CVE 증가율보다 훨씬 높은 수준입니다.
미 연방 기관들의 예산 삭감으로 백로그가 얼마나 쌓였는지 정확한 규모는 파악되지 않고 있습니다. 따라서 공식 통계와 실제 현장의 간극은 여전히 불확실성으로 남아 있습니다.