미국 사이버보안 당국이 악용 확인된 2건의 취약점에 대한 긴급 대응을 지시했다

closeup photography of green and black computer motherboard — Bartosz Kwitkowski / Unsplash

미국 사이버보안 및 인프라보안국(CISA)은 현지 시각 2026년 10월 23일, 악용이 확인된 취약점 2건에 대해 주의보를 발령했다. 해당 취약점은 Nextcloud에 문서 편집 서버를 통합하기 위해 Collabora가 제공하는 내장 코드 서버에 존재하는 운영체제 명령 주입 취약점(CVE-2026-110447)과, Arista Networks의 SD-WAN 환경용 네트워크 통합 관리 제품 VeloCloud Orchestrator에 존재하는 SQL 주입 취약점(CVE-2026-114625)이다. CISA는 이 두 취약점을 악용 확인 취약점 카탈로그에 추가했다.

내장 코드 서버의 운영체제 명령 주입 취약점은 문서 편집 서버가 실행되지 않는 상태에서 조작된 요청이 전송될 때, 인증 없이 원격으로 임의의 운영체제 명령을 실행당할 수 있는 위험을 내포한다. 개발사는 이 취약점을 수정한 버전 26.4.303을 공개했으며, 앱을 비활성화하는 것만으로는 대응이 되지 않으므로 업데이트하거나 앱을 완전히 삭제할 것을 요구하고 있다.

VeloCloud Orchestrator의 SQL 주입 취약점은 관리 화면에 접근할 수 있고 인증된 세션이 필요한 경우에만 악용될 수 있다. 그러나 악용 시 권한이 상승되어 내부용 관리 기능에 접근할 수 있게 된다. CISA는 미국 정부 기관에 대해 이 취약점들에 대한 대응 기한을 10월 26일로 지정했다. 당국은 취약점을 해소하는 것뿐만 아니라, 침해가 발생했는지에 대해서도 조사할 것을 요구하고 있다.