Smart Slider 3 WordPress 플러그인의 심각한 임의 파일 읽기 취약점으로 50만 개 이상의 웹사이트가 노출되었습니다. TP-Link는 라우터의 인증 우회 및 명령 삽입 결함을 패치했습니다. Cisco는 서비스 거부(DoS), 시큐어 부트 우회, 권한 상승을 포괄하는 다중 취약점 IOS 수정을 배포했습니다. BIND DNS 리졸버는 조작된 도메인을 통한 메모리 고갈 공격에 직면했습니다. Hightower Holding은 13만 명에게 영향을 미친 데이터 침해를 공개했습니다. OpenAI는 버그 바운티를 확장해 AI 안전성 및 오남용 위험을 포괄합니다.
인증된 사용자라면 누구나(구독자 포함) 서버의 임의 파일을 읽을 수 있습니다 — 이를테면 wp-config.php 같은, 데이터베이스 자격 증명과 키, 솔트(salt)가 담긴 파일도 포함됩니다. 현재도 50만 개 이상의 사이트가 취약한 버전을 실행 중입니다.
보안 연구자 Dmitrii Ignatyev가 다음 제품에서 심각한 취약점을 발견해 공개했습니다: Smart Slider 3는 WordPress에서 가장 인기 있는 슬라이더 플러그인 중 하나로, 활성 설치 수가 80만 건이 넘습니다. 이 취약점은 다음으로 추적됩니다: CVE-2026-3098, 이 결함은 인증된 사용자라면 누구나 — 심지어 가장 낮은 구독자(subscriber) 권한을 가진 사용자라도 — 웹 서버에서 임의의 파일을 읽을 수 있게 합니다.
이 취약점의 원인은 권한 검사 누락으로 인해 플러그인의 AJAX 내보내기 액션에서 발생합니다. 문제가 되는 actionExportAll 함수는 파일 유형과 소스 검증을 수행하지 않아, 이미지나 동영상 파일뿐 아니라 .php 파일도 읽힐 수 있습니다.
넌스(nonce)가 존재하지만, 인증된 사용자라면 누구나 이를 획득할 수 있어 악용을 막지 못합니다. Wordfence 연구원 István Márton은 다음과 같이 설명했습니다:
"이는 결국 구독자와 같이 최소한의 접근 권한만 가진 인증된 공격자도 서버상의 임의 파일 — 데이터베이스 자격 증명은 물론 암호화 보안을 위한 키와 솔트까지 담고 있는 사이트의 wp-config.php 파일을 포함해 — 을 읽을 수 있게 만듭니다."
이 취약점은 아직 활발히 악용되고 있다는 신고는 없습니다, 그러나 낮은 진입장벽(구독자 수준 접근 권한)과 노출되는 데이터의 높은 가치(데이터베이스 자격 증명)를 고려하면 임박한 악용이 예상됩니다.
방어자 조치: Smart Slider 3를 즉시 버전 3.5.1.34로 업데이트하십시오. 당장 패치할 수 없다면 플러그인을 비활성화하십시오. 승인되지 않은 구독자 계정이 있는지 사이트를 점검하십시오. 침해가 의심되면 데이터베이스 자격 증명과 WordPress 솔트를 교체하십시오. 이상 징후가 있는 내보내기 요청이 있는지 서버 로그를 검토하십시오.
TP-Link 라우터의 다수 고위험 결함으로 인증 우회, 임의 명령 실행, 설정 파일 복호화가 가능합니다. 펌웨어 업데이트가 제공됩니다.
TP-Link가 라우터 제품군 전반의 다수 고위험 취약점을 해결하는 펌웨어 업데이트를 배포했습니다. 이 보안 결함들은 공격자가 연쇄적으로 악용해 유효한 자격 증명 없이도 라우터를 완전히 장악할 수 있게 합니다.
이러한 취약점이 특히 위험한 이유는 가정용 및 중소기업용 라우터가 대개 인터넷에 노출되어 있고, 업데이트가 드물며, 내부 네트워크로의 수평 이동을 위한 전략적 거점을 제공하기 때문입니다.
방어자 조치: TP-Link 라우터 모델을 제조사의 보안 권고와 대조해 확인하고 펌웨어를 즉시 업데이트하십시오. 불필요하다면 원격 관리 기능을 비활성화하십시오. 기본 관리자 자격 증명을 변경하십시오. 라우터 침해의 피해 범위를 제한하기 위해 네트워크 분리를 고려하십시오.
Cisco가 자사의 IOS 및 IOS XE 소프트웨어를 위한 보안 패치 묶음을 배포해, 다수의 고위험 및 중간위험 취약점을 해결했습니다. 이 결함들은 기업용 네트워킹 장비 전반에 걸쳐 폭넓은 공격 표면을 아우릅니다.
| 영향 | 심각도 | 설명 |
|---|---|---|
| 서비스 거부(DoS) | 높음 | 조작된 패킷이 라우팅 프로세스를 충돌시켜 네트워크 장애를 유발할 수 있습니다 |
| 시큐어 부트 우회 | 높음 | 공격자가 시큐어 부트 보호를 우회해 지속적인 펌웨어 수준 임플란트를 설치할 수 있게 합니다 |
| 정보 노출 | 중간 | 민감한 설정 데이터 및 내부 상태 정보 유출 |
| 권한 상승 | 중간 | 인증된 사용자가 자신의 권한 수준을 넘어서는 권한 상승을 할 수 있습니다 |
그중 시큐어 부트 우회가 특히 우려됩니다 — 초기 접근 권한을 확보한 공격자가 기기를 재부팅해도, 일부 시나리오에서는 펌웨어를 업그레이드해도 살아남는 지속형 백도어를 설치할 수 있게 하기 때문입니다.
방어자 조치: Cisco IOS 보안 권고 묶음을 검토하고, 인터넷에 노출된 장비와 핵심 인프라 장비에 대한 즉각적인 패치 일정을 수립하십시오. 시큐어 부트 우회와 서비스 거부(DoS) 취약점을 최우선으로 처리하십시오. Cisco의 Trustworthy Technologies 검증 도구를 사용해 기기 무결성을 확인하십시오.
특수하게 조작된 도메인 쿼리가 BIND 리졸버에서 메모리 고갈 상태를 유발해, 점진적인 메모리 누수와 결국 서비스 거부로 이어질 수 있습니다.
ISC가 BIND 9 — 가장 널리 배포된 DNS 서버 소프트웨어 — 에 대한 업데이트를 발표했습니다. 이 패치는 원격 공격자가 특수하게 조작된 도메인 쿼리를 통해 메모리 고갈을 DNS 리졸버에서 유발할 수 있게 하는 고위험 취약점을 해결합니다.
BIND의 도메인 이름 해석 로직에 존재하는 예외 상황(엣지 케이스)을 악용합니다. 리졸버가 특정하게 조작된 도메인 이름을 처리할 때, 결코 제대로 해제되지 않는 메모리를 할당하게 됩니다. 공격자는 이러한 쿼리를 지속적으로 대량 전송해 리졸버에서 사용 가능한 메모리를 점진적으로 모두 소진시킬 수 있으며, 결국 다음과 같은 결과를 초래합니다:
BIND가 인터넷 DNS 인프라의 상당 부분을 지탱하고 있다는 점을 고려하면, 이 취약점들은 파급 범위가 매우 넓습니다. 기업, ISP, 정부 DNS 리졸버 모두가 잠재적인 영향을 받을 수 있습니다.
방어자 조치: BIND를 즉시 최신 패치 버전으로 업데이트하십시오. 리졸버의 메모리 사용량에서 이상 증가 패턴이 있는지 모니터링하십시오. 개별 소스로부터의 DNS 쿼리에 속도 제한(rate limiting)을 적용하십시오. 이중화를 위해 BIND를 대체 리졸버와 함께 배치하는 것을 고려하십시오.
Hightower Holding은 미국에 본사를 둔 대형 자산관리 회사로, 약 13만 명에게 영향을 미친 데이터 침해를 공개했습니다. 회사 측은 해커가 자사 환경에 무단으로 접근해 민감한 개인정보를 유출했다고 확인했습니다.
이러한 개인식별정보(PII) 조합은 특히 신원 도용과 금융 사기에 위험합니다. SSN과 운전면허 번호가 있으면 공격자는 부정 신용 계좌를 개설하거나 허위 세금 신고서를 제출하고, 피해자를 대상으로 정교한 사회공학 공격을 벌일 수 있습니다.
Hightower는 1,300억 달러 규모의 자산을 운용하는 등록 투자자문사로, 이번 침해는 금융 서비스 업계에 특히 중대한 의미를 갖습니다. 회사는 영향을 받은 개인들에게 신용 모니터링 서비스를 제공하고 있습니다.
영향을 받은 개인 여러분께: Hightower 고객이시라면 3대 신용평가기관(Equifax, Experian, TransUnion) 모두에 신용 동결을 신청하십시오. 금융 계좌에 무단 활동이 있는지 모니터링하십시오. 유출된 개인정보를 이용한 피싱 시도에 유의하십시오. IRS 신원보호 PIN(IP PIN) 발급을 고려하십시오.
보안 프로그램의 눈에 띄는 확장으로, OpenAI가 다음을 구체적으로 겨냥한 새로운 버그 바운티 트랙을 출시했습니다: AI 오남용 및 안전 위험. 전통적인 버그 바운티가 코드 수준의 취약점에 초점을 맞추는 것과 달리, 이 프로그램은 실질적인 피해로 이어지는 설계상 또는 구현상의 문제를 발견한 연구자에게 보상합니다.
이는 AI 기업들이 보안에 접근하는 방식의 중대한 전환을 나타냅니다. 이러한 AI 안전성 레드티밍에 금전적 유인을 제공함으로써, OpenAI는 AI 역량 발전에 발맞춰 전통적인 취약점 공개 모델도 진화해야 한다는 점을 인정하고 있습니다.
연구자를 위한 안내: 이 프로그램은 실질적인 피해로 이어지는 설계 및 구현상의 문제를 다룹니다. 보고서에는 명확한 재현 절차와 영향에 대한 증거가 포함되어야 합니다. 이는 OpenAI의 기존 HackerOne 보안 버그 바운티와는 별개입니다.
| 위협 | 카테고리 | 심각도 | 조치 필요 |
|---|---|---|---|
| Smart Slider CVE-2026-3098 | WordPress 취약점 | 중간* | 3.5.1.34로 업데이트 |
| TP-Link 라우터 결함 | 네트워크 취약점 | 높음 | 펌웨어 업데이트 |
| Cisco IOS 복합 취약점 | 네트워크 취약점 | 높음 | IOS 패치 적용 |
| BIND DNS 메모리 누수 | DNS 취약점 | 높음 | BIND 업데이트 |
| Hightower 침해(13만 명) | 데이터 침해 | 높음 | 신용 동결 / 모니터링 |
| OpenAI 안전 바운티 | 업계 | 정보 | 주의 환기 |
*Smart Slider CVE는 인증이 필요하다는 점 때문에 중간 등급이지만, 회원가입이 개방된 사이트에서는 실제 위험도가 높습니다.
KENSAI는 귀사의 WordPress 플러그인, 네트워크 장비, DNS 인프라에서 알려진 취약점을 지속적으로 모니터링하여 — 공격자가 움직이기 전에 알려드립니다.
무료 스캔 시작하기 →작성: KENSAI 위협 인텔리전스 팀
2026년 3월 29일 — 저녁판
출처: Wordfence, BleepingComputer, SecurityWeek, ISC, Cisco, TP-Link, OpenAI