보안 패치 사전실제 공격 확인 취약점 · 보안 패치
Kestra · Kestra OSS실제 공격 확인 취약점

Kestra OSS(워크플로 오케스트레이션) 보안 업데이트 CVE-2026-49869 - 1.0.45·1.3.21 로

1
해당되나요?

Kestra OSS(오픈소스 이벤트 기반 오케스트레이션 플랫폼)를 운영하는 서버는 1.0 계열은 1.0.45 이상, 1.1.0 이상은 1.3.21 이상으로 업데이트하면 된다.

2
내 버전 찾기 — 이 판 이상이거나 이 패치를 적용했으면 고쳐진 상태
Kestra OSS 1.0 ~ 1.1.0 미만1.0.45· GHSA-5vc5-wxxq-3fjx 이상
Kestra OSS 1.31.3.21· GHSA-5vc5-wxxq-3fjx 이상
3
확인하고 업데이트하기
  • 설정 micronaut.security.enabled=false(Basic Auth · Kestra OSS 기본 인증 방식)로 운영 중인지 확인한다
CVE
CVE-2026-49869
심각도(CVSS)
10.0Critical · CVE 공식 기록(기록 작성 기관 평가) 기준
실제 공격
확인됨KEV 등재 2026-09-02
랜섬웨어 사용
알려지지 않음CISA KEV 표시
고친 버전
있음원문 확인 2026-11-07
이 사이트의 판단

업데이트 순서: 가장 먼저. 인터넷에 노출된 서버·장비가 있으면 그것부터 적용한다.

근거: 실제 공격 확인(KEV 2026-09-02) · 네트워크로 공격 가능(AV:N) · 추가 권한 없이 가능(PR:N) · CVSS 벡터는 CVE 공식 기록의 기록 작성 기관 평가 — 판단 규칙

일반 사용자

Kestra OSS 는 오픈소스 이벤트 기반 오케스트레이션 플랫폼(서버 소프트웨어)으로, 직접 설치해 운영하지 않으면 영향 범위 밖일 가능성이 크다. 운영하는 곳은 1.0 계열은 1.0.45 이상, 1.1.0 이상은 1.3.21 이상으로 올리면 된다.

서버 관리자·개발자

Basic Auth(micronaut.security.enabled=false)가 Kestra OSS 의 기본 인증 방식이라 그 설정의 모든 인스턴스가 해당하며, 인증 검사에 허점이 있어 로그인 없이 일부 API 를 호출할 수 있다. 인터넷에 노출되지 않아도 8080/32776 포트에 접근할 수 있는 공격자면 악용할 수 있다. 스크립트 실행 플러그인(plugin-script-shell·plugin-script-python 등)이 기본으로 켜져 있어 워커 컨테이너 안 root 권한 원격 코드 실행으로 이어진다.

확인 순서는 아래 「내 장비 확인과 업데이트 순서」.

보안 담당자

  • CVSS 벡터 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
  • CWE CWE-78, CWE-184, CWE-287, CWE-918
  • CVE 기록 작성 기관(CNA) GitHub
  • CISA 요구 조치(영어 원문)Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

영향 판은 1.0.45 미만과 1.1.0 이상 1.3.21 미만이며, 기본 인증 방식인 Basic Auth(micronaut.security.enabled=false)로 운영하는 인스턴스가 해당한다. 결함은 인증 필터가 공개 엔드포인트를 가려낼 때 경로의 끝부분만 비교해 일부 API 경로가 인증을 건너뛰는 인증 우회(로그인·인증 절차를 거치지 않고 들어가는 것) 문제다. 로그인하지 않은 원격 공격자가 임의 워크플로를 만들어 실행할 수 있고 스크립트 실행 플러그인이 기본으로 켜져 있어 워커 컨테이너 안에서 root 권한의 RCE(공격자가 네트워크 너머에서 그 장비·서버에 명령을 실행하는 것)로 이어진다. 인터넷에 노출되지 않았더라도 8080/32776 포트에 닿는 공격자면 악용할 수 있으며, CVSS(취약점 심각도 점수 0~10) v3.1 점수는 10.0 이다. 이 취약점은 2026-09-02 KEV(실제 공격에 쓰인 것으로 확인돼 미국 CISA 가 목록에 올린 취약점)에 올랐고, 조치 기한 2026-09-05 는 미국 연방 민간기관 기준이다.

이 페이지의 핵심 한 문장Kestra 는 2026-06-03 GitHub 저장소 보안 권고 GHSA-5vc5-wxxq-3fjx 에서 Kestra OSS 1.0.45 와 1.3.21 로 이 취약점을 고쳤다고 밝혔다(2026-11-07 원문 확인).
  1. CVE 공개
  2. KEV 등재 — 실제 공격 확인
  3. 미국 연방기관 조치 기한
  4. 고친 버전 원문 확인

영향받는 버전

CVE 공식 기록에는 분기 구분 없이 적혀 같은 페이지의 고친 판까지 덮는 행도 있다 — 그런 행은 이 표에 싣지 않는다. 업데이트할 판은 위 「내 버전 찾기」를 따른다.

고친 버전과 근거

제조사 원문 기준 · 행마다 근거와 확인 날짜

제품·분기고친 버전근거확인
Kestra OSS 1.0 ~ 1.1.0 미만1.0.45· GHSA-5vc5-wxxq-3fjxgithub.com · GHSA-5vc5-wxxq-3fjx2026-11-07
Kestra OSS 1.31.3.21· GHSA-5vc5-wxxq-3fjxgithub.com · GHSA-5vc5-wxxq-3fjx2026-11-07

내 장비 확인과 업데이트 순서

  1. 설정 micronaut.security.enabled=false(Basic Auth · Kestra OSS 기본 인증 방식)로 운영 중인지 확인한다

자주 묻는 것

미국 기한은 국내에도 적용되나?

아니다. KEV 조치 기한(2026-09-05)은 미국 연방 민간기관에 적용된다. 국내 기관·개인은 제조사 공지와 KISA 권고에 따라 가능한 한 빨리 고친 버전으로 올리면 된다.

랜섬웨어 공격에 쓰였나?

CISA KEV 에는 랜섬웨어 사용 여부가 알려지지 않음으로 표시돼 있다.

고친 버전은 어디서 확인했나?

github.com(2026-11-07)에서 원문을 직접 확인했다. 값이 바뀌면 아래 「바뀐 기록」에 남긴다.

확인하지 못한 것

바뀐 기록

출처

인용할 때: Kestra OSS(워크플로 오케스트레이션) 보안 업데이트 CVE-2026-49869 - 1.0.45·1.3.21 로, 보안 패치 사전, 확인 2026-11-07, https://patch.braindetox.kr/cve/CVE-2026-49869.html