CodeScoring, 2026년 오픈소스 치명적 취약점 4.9배 증가

Go에서는 78건에서 396건으로 5.1배 늘었다. 영향받는 안정 버전 모듈은 5,995개에서 12,443개로 2.1배 증가했다.

인증 없는 네트워크 공격이 다수

2026년 치명적 취약점의 3분의 2 이상은 CVSS 평가에서 사전 권한이나 사용자 조작 없이 네트워크로 공격할 수 있는 것으로 분류됐다. 공격자가 직원 계정 정보를 가로채거나 악성 파일을 열도록 유도할 필요 없이, 네트워크에서 접근 가능한 소프트웨어 자체가 직접 공격 대상이 된다. 또한 2026년 9월 15일부터 10월 15일까지 한 달간 오픈소스 컴포넌트에서 모든 심각도의 신규 고유 취약점 4,609건이 공개됐다.

CodeScoring은 증가의 주된 원인으로 결함 탐색이 활발해지고 보고 범위가 넓어진 점을 꼽았다. 연구자들이 자동 분석과 AI 도구를 적극 활용하고, 발견된 결함을 체계적으로 공개하는 개발자도 늘고 있다. 최신 감사 기법은 오래된 코드의 오류도 찾아낼 수 있어, 수년 전 도입한 뒤 업데이트하지 않은 라이브러리에서도 취약점 정보가 나올 수 있다.

제품 분석가 아르툠 막시모프는 조직이 소프트웨어 구성을 정기적으로 점검하고, 완제품뿐 아니라 사용된 컴포넌트 단위로 알려진 위협을 추적해야 한다고 말했다. 운영 중인 외부 서비스에 영향을 주는 문제를 우선 해결해야 한다는 것이다. 이를 위한 방법으로 소프트웨어 구성 분석(SCA)을 들었으며, 애플리케이션 구성을 자동 추적하고 취약한 의존성과 수정된 버전을 식별할 수 있다고 설명했다.