2026년 9월 보안 동향

2026년 9월 한 달 동안 한국인터넷진흥원(KISA)이 발표한 보안공지는 23건입니다. 8월 31일에 나온 6건은 지난달 정리를 마친 뒤에 올라와 이번에 함께 봅니다. 그중 중소 제조·건설 현장에서 실제로 확인이 필요한 것을 골라 정리했습니다.

1. 「이미 공격이 일어나고 있다」는 공지 세 건

보안공지는 대부분 「업데이트하라」로 끝납니다. 그런데 9월에는 실제로 공격과 피해가 발생하고 있다는 문구가 붙은 공지가 세 건 있었습니다. 업데이트 권고보다 한 단계 급한 신호입니다.

날짜	대상
9/3	Metabase(데이터 분석 도구) — SQL 인젝션 · 권한 확인 누락
9/15	Gitea(사내 코드 저장소) — 코드 인젝션
9/30	파이오링크 PAS-K(서버 앞단 부하 분산 장비) — 구버전 취약점 악용

Metabase는 8월에도 공지가 나왔던 제품입니다. 한 달 만에 다시, 이번에는 피해 사례와 함께 나왔습니다. 지난달 「AI·데이터 도구가 담당자도 모르게 사내망에 들어온다」고 짚은 흐름이 실제 공격으로 이어진 셈입니다. Gitea도 8월 27일에 이어 두 번째이고, AI 개발 도구 Langflow도 8월 31일에 다시 공지가 나왔습니다.

파이오링크는 국산 장비입니다. 지난달 국산 장비 공지는 놓치기 쉽다고 적었는데, 이번에는 새 취약점이 아니라 이미 알려진 구버전 취약점을 노린 공격이었습니다. 업데이트를 미뤄 둔 장비가 표적이 된 것입니다.

확인할 것 — 데이터 분석 도구나 코드 저장소를 직접 설치해 쓰고 있는지, 그것이 바깥에서 접속되는지부터 보십시오. 이런 도구는 대개 개발·데이터 담당자가 따로 띄워 두고 전산 담당자는 모르는 상태로 남습니다.

2. 방화벽 · 원격 접속 장비 — 석 달째

방화벽과 원격 접속 장비 공지가 9월에도 이어졌습니다. 7월·8월에 이어 석 달째입니다.

날짜	제조사	대상
8/31	Citrix	NetScaler ADC · Gateway — 메모리 처리 오류 등 5건
9/14	Fortinet	FortiOS(방화벽 운영체제) · FortiSwitchManager — 버퍼 오버플로
9/18	Check Point	보안 관리 서버 — 인증 미흡 · 인증 우회 / Security Gateway · Spark Firewall — 버퍼 오버플로
9/18	Cisco	ISE(네트워크 접근 제어) — 특권 API 오용 / Secure Email Gateway(메일 보안 장비) — SQL 인젝션
9/23	Check Point	보안 관리 서버 — 경로 조작
9/29	Citrix	NetScaler ADC · Gateway — 요청 위장(스머글링) 등 8건

시트릭스는 8월 21일, 8월 31일, 9월 29일 — 40일 사이에 세 번입니다. 체크포인트는 방화벽을 관리하는 서버에서 인증 우회가 나왔습니다. 관리 서버가 뚫리면 그 아래 방화벽 정책을 통째로 바꿀 수 있습니다.

확인할 것 — 방화벽 관리 화면이 인터넷 쪽에 열려 있지 않은지 보십시오. 관리 화면은 사내에서만 열리게 하는 것이 기본인데, 원격 관리를 편하게 하려고 바깥에 열어 둔 경우가 적지 않습니다.

3. 마이크로소프트 9월 정기 업데이트 (9/9)

총 13종이고 그중 긴급(Critical)이 10종입니다. 8월(8종)보다 늘었습니다. 윈도우 11과 서버 계열(2016·2019·2022·2025), 오피스, 셰어포인트, 익스체인지 서버, SQL 서버 등이 대상입니다.

오피스에는 이번에도 원격 코드 실행이 들어 있습니다. 두 달 연속입니다. 문서를 여는 것만으로 감염될 수 있다는 뜻이라, 메일로 오는 견적서·거래명세서 첨부파일이 그대로 통로가 됩니다. SQL 서버에도 원격 코드 실행이 포함돼, 생산관리·ERP 데이터베이스를 직접 운영하는 곳은 서버 쪽을 따로 챙겨야 합니다.

확인할 것 — PC는 자동 업데이트로 넘어가도 서버는 대개 사람이 직접 해야 합니다. ERP·MES 서버를 마지막으로 업데이트한 날이 언제인지 확인해 보십시오.

4. 전자서명 프로그램 — 깔아 두고 잊는 것 (9/1)

한컴위드 AnySign4PC에 입력값 검증 취약점이 나왔습니다. 공공기관·금융 사이트에서 전자서명을 할 때 PC에 설치되는 프로그램입니다. 영향받는 버전은 1.1.5.0~1.1.5.1이고 1.1.5.3에서 고쳐졌습니다.

문제는 깔았다는 사실을 잊는다는 것입니다. 조달·입찰이나 관공서 업무를 하는 사무실 PC에는 이런 프로그램이 여러 개 쌓여 있고, 윈도우 업데이트로는 함께 고쳐지지 않습니다.

확인할 것 — 제어판의 프로그램 목록에서 AnySign4PC가 있는지, 버전이 몇인지 보십시오. 더 이상 쓰지 않는 보안 프로그램은 지워 두는 편이 낫습니다.

5. 추석 연휴 전후 — 사람을 노린 공지 세 건

9월 17일에 기업 보안점검 강화와 스미싱·피싱 주의 공지가 함께 나왔고, 9월 29일에는 공공기관을 사칭한 해킹메일 사례가 보고됐습니다.

기업 대상 공지에서 중소 사업장이 바로 쓸 수 있는 항목은 두 가지입니다. 랜섬웨어에 대비해 백업을 분리해 두고 실제로 복구되는지 시험해 볼 것, 그리고 관리자 계정을 일반 계정과 나누고 2단계 인증을 걸어 둘 것입니다. 사람이 자리를 비우는 연휴에 대비하라는 것이 공지의 취지입니다.

해킹메일은 수법이 구체적입니다. 「이용정지」, 「출석 요구」, 「소명 절차」 같은 말로 공공기관을 사칭하거나, 「피해 보상금 지급」을 내세워 기업을 사칭합니다. 링크를 누르게 해 가짜 사이트에서 개인정보를 받거나 휴대폰에 악성 앱을 깔게 합니다.

기억할 것 — 정부기관이나 금융회사는 문자나 전화로 원격제어 앱 설치를 요구하지 않습니다. 링크를 누른 것만으로는 감염되지 않지만, 앱을 설치했다면 휴대폰을 비행기 모드로 바꾸고 다른 사람의 전화로 112에 신고하라는 것이 KISA 안내입니다. 악성 앱이 휴대폰을 원격으로 조종할 수 있기 때문입니다.

6. 홈페이지 · 서버 소프트웨어

회사 홈페이지나 사내 서버에 쓰이는 소프트웨어 공지도 이어졌습니다.

날짜	대상
8/31 · 9/30	Apache Tomcat(웹 서버) — 인증 미흡 · 인증 우회 등
8/31	Oracle WebLogic — 핵심 기능 인증 누락
9/10	PostgreSQL(데이터베이스) — SQL 인젝션 등 6건
9/22 · 9/23	WordPress — SQL 인젝션 · 원격 파일 포함
8/31 · 9/10 · 9/21	Linux 커널

워드프레스는 이틀 사이에 두 번 나왔고, 두 번째는 4.7 이후 여러 옛 버전이 대상입니다. 몇 년 전에 만들어 두고 손대지 않은 회사 홈페이지가 대개 이런 상태입니다.

확인할 것 — 회사 홈페이지를 누가 관리하는지, 마지막으로 업데이트한 것이 언제인지 아십니까? 홈페이지를 만들어 준 업체와 계약이 끝난 뒤 그대로 방치된 경우가 흔합니다.

9월을 요약하면

	확인할 것
이미 공격 중인 것	Metabase · Gitea · 파이오링크 PAS-K를 쓰는지, 바깥에 열려 있는지
방화벽 · 원격 접속	관리 화면이 인터넷 쪽에 열려 있지 않은지, 펌웨어가 최신인지
서버 업데이트	ERP · MES · 데이터베이스 서버의 마지막 업데이트 날짜
PC 보안 프로그램	전자서명 프로그램처럼 깔아 두고 잊은 것
직원 교육	「출석 요구」·「보상금 지급」 메일과 원격제어 앱 설치 요구

9월은 새로 나온 취약점보다 이미 알려진 취약점이 실제 공격으로 이어진 달이었습니다. 업데이트를 미뤄 둔 자리가 먼저 노려집니다.

한국인터넷진흥원(KISA) 보호나라 보안공지 2026년 9월분(8월 31일 공지 포함)을 정리한 것입니다. 해당 제품을 쓰고 계신다면 보호나라에서 원문과 영향받는 버전을 직접 확인하시기 바랍니다. 버전별 조치 방법은 공지마다 다릅니다.