CISA, KEV 카탈로그에 알려진 악용 취약점 2건 추가

CISA가 실제 악용 정황을 근거로 KEV 카탈로그에 취약점 2건을 추가하며, 연방기관의 패치 우선순위와 보안 업데이트 압박이 커진 상황임.

• CISA, Known Exploited Vulnerabilities(KEV) Catalog에 2건 신규 등재(발행 2026-07-10)함
• 추가된 CVE: CVE-2026-48939(iCagenda), CVE-2026-56291(Balbooa Forms)로 둘 다 위험한 유형의 파일 무제한 업로드(Unrestricted Upload of File with Dangerous Type) 취약점임
• CISA, 해당 유형이 악성 행위자의 빈번한 공격 벡터이며 연방 엔터프라이즈에 중대한 위험을 초래한다고 설명함
• 구속력 있는 운영 지침 BOD 26-04: Prioritizing Security Updates Based on Risk가 FCEB(연방 민간 행정부) 기관의 취약점 관리 요구사항을 규정함
• BOD 26-04, KEV에 등재된 고위험 CVE에 대해 신속한 조치를 우선하도록 요구하며, 공개 노출 자산에서 악용 후 자산의 완전 통제 권한을 부여하는 경우를 중점 대상으로 삼도록 명시함
• BOD 26-04, 낮은 위험 취약점은 조치 유예 가능하되 패치 적용 전 침해 여부 점검 시점에 대한 기본 기대치도 규정해 운영·감사(컴플라이언스) 부담이 확대될 수 있음