CISA KEV 신규 6건 발표: Plex 4건·SiteGuard·Siemens 취약점과 관리자 점검 순서

기사 범위 한정 안내: 확인된 사실만 다루며 최종 게시 승인은 별도입니다. · 2026-10-22

CISA KEV 신규 6건 발표: Plex 4건·SiteGuard·Siemens 취약점과 관리자 점검 순서

2026년 10월 20일 CISA 발표 핵심

미국 CISA는 2026년 10월 20일 실제 악용 취약점으로 확인된 여섯 항목을 Known Exploited Vulnerabilities(KEV) Catalog에 신규 추가했다고 발표했다. CISA KEV 목록은 취약점이 단순히 이론상 가능하다는 뜻이 아니라 악용 근거가 있다는 뜻이다. 다만 모든 이용자 환경이 침해됐다는 의미는 아니다.

보안 관제 대시보드와 취약점 대응을 표현한 AI 실사풍 참고 이미지
보안관제 작업을 재현한 AI 생성 이미지. 실제 침해 사고 기록이나 CISA 관제 화면이 아닙니다.
ADVERTISEMENTGoogle AdSense (Client/Slot ID 설정 대기)

Plex·SiteGuard·Siemens에 해당하는 6건

신규 등록은 Plex Media Server 4건, EG Secure Solutions SiteGuard Server Edition 1건, Siemens Software Center 1건이다. 각 취약점의 식별자와 유형은 아래 공식 발표 표를 기준으로 확인한다.

CVE제품취약점 유형
CVE-2026-96652Plex Media ServerSSRF
CVE-2026-96654Plex Media Server인코딩 URI 스킴 처리 오류
CVE-2026-96655Plex Media ServerSSRF
CVE-2026-96656Plex Media Server파일명·경로 제어 오류
CVE-2026-106931EG Secure Solutions SiteGuard Server EditionOS 명령 삽입
CVE-2026-110936Siemens Software Center검색 경로 요소 제어 오류

제품 영향 범위와 조치 전 확인 사항

공식 공급업체 공지를 재대조한 결과, Plex Media Server 네 건의 취약점은 Plex 1.43.3.10861 이상에서 수정된 것으로 명시되어 있다. SiteGuard 및 Siemens의 구체적인 영향·수정 버전은 이 기사에서 아직 확정하지 않았으므로 각각의 공급업체 공지와 실제 설치 버전을 별도로 비교해야 한다.

관리자를 위한 위험 기반 대응 절차

첫째 사용 중인 소프트웨어 목록에서 해당 제품 유무와 외부 노출 여부를 확인한다. 둘째 공식 공급업체 권고를 열어 실제 제품 버전의 영향 여부를 확인한다. 셋째 관련 시스템의 접근 기록과 이상 행위를 보존하면서 변경관리 절차에 따라 수정 사항을 검토한다. 넷째 적용 후 서비스 동작·로그·보안 상태를 재점검한다. 이 단계는 일반적 대응 순서로 제품별 긴급 조치 지시를 대신하지 않는다.

CISA KEV의 의미와 적용 범위

취약점 패치 우선순위는 악용 확인 사실, 자산 중요도, 노출 정도와 수정 가능성을 함께 고려해야 한다. CISA 보안 권고는 미국 연방 민간기관에 적용되는 요구사항과 다른 조직에 대한 권고를 구분하므로, 모든 한국 기업에 동일한 법적 의무가 있는 것처럼 해석하지 않는다. KEV 추가일 확인 결과는 2026년 10월 20일이다.

CISA KEV 검증 흐름의 단계별 확인 항목을 나타낸 설명 도해
CISA KEV 검증 흐름 — 편집 설명 도해이며 실제 사진은 아닙니다.

검증하지 못한 내용

Plex Media Server는 공급업체가 수정 기준 버전 1.43.3.10861 이상을 발표했다. 반면 SiteGuard·Siemens의 정확한 영향·수정 버전, 국내 피해 규모와 개별 조직의 공격 로그는 이번 검증에서 확정하지 못했다. 인기 키워드 검색량도 실측하지 않았다.

1차 공식 출처

CISA 2026년 10월 20일 발표 원문 · KEV 공식 목록

취약점 공지를 운영 자산에 연결하는 방법

CVE 목록을 그대로 긴급 조치 목록으로 복사하기보다 제품명, 설치 버전, 외부 노출 여부와 보호 장치가 실제 자산에 해당하는지 먼저 대조한다. 자산별 영향 판정에는 공급업체 공지의 정확한 버전 범위가 필요하다.

수정 버전이나 완화책이 확인되지 않은 제품은 임의의 업데이트 명령을 제시하지 않는다. 공지 원문, 관리자 확인 시각, 적용한 조치, 미해결 위험을 이력으로 남겨 후속 공지 때 다시 확인한다.

수정 확인 범위와 관리자가 기록할 증빙

현재 확인된 공급업체 수정 기준은 Plex Media Server 1.43.3.10861 이상이며, 이 수치를 SiteGuard Server Edition이나 Siemens Software Center에 적용해서는 안 된다. 다른 두 제품은 각각의 공식 제품 공지에서 영향 버전과 패치 또는 완화책을 대조해야 한다.

ADVERTISEMENTGoogle AdSense (Client/Slot ID 설정 대기)
보안 소식: 자산 영향 범위 확인 설명 도해
자산 영향 범위 확인 — 설명 도해(실사 사진 아님)

KEV 신규 등록 사실만으로 특정 조직의 피해 발생을 확정할 수 없다. 자산별 설치 버전과 외부 노출 여부, 확인한 공지 시각, 취한 조치, 재검증 결과를 기록하고 미확인 항목은 후속 확인 대상으로 명시한다.

공식 원문 확인

이번 검증에서 확정하지 않는 범위

Plex를 제외한 공급업체의 영향·수정 버전과 조직별 침해 여부는 공식 근거가 확인되지 않아 기사에서 제시하지 않습니다. 신규 KEV 6건의 식별자와 취약점 유형, 관리자 확인 절차만 다룹니다. 개별 자산의 영향 여부는 공급업체 공지에서 별도 확인해야 합니다.