INFINITT ULite 보안 업데이트: XSS와 인증 없는 공격 가능성

무슨 일이 생겼나요

KISA 보호나라가 인피니트헬스케어의 INFINITT ULite 보안 업데이트를 권고했어요. 웹 화면이 입력값을 다루는 일은 게시판에 붙일 글을 받는 것과 비슷해요. 글로만 취급해야 할 내용을 브라우저가 실행할 지시로 받아들이면 문제가 생길 수 있어요. CVE-2026-19876에 해당하는 크로스 사이트 스크립팅은 이런 구분과 관련된 취약점이에요.

보호나라 게시일은 2026-11-07이며, 업데이트 대상에는 CVE-2026-19876과 CVE-2026-19877이 포함돼요. 영향받는 버전은 모두 5.0.2.1_BN48_20260528 이하이고, 해결 버전은 5.0.2.1 BN50 이상이에요. 같은 제품과 같은 업데이트 대상에 묶여 있어도 취약점의 성격과 심각도는 구분해서 봐야 해요.

두 취약점 모두 공격자가 인증 없이 네트워크로 공격할 수 있는 조건으로 설명돼 있어요. 다만 CVE-2026-19877의 구체적인 공격 방식은 확인되지 않아 크로스 사이트 스크립팅으로 단정할 수 없어요. CISA KEV 에는 아직 등재되지 않았다.

기술적으로는 (초급 개발자용)

CVE-2026-19876은 크로스 사이트 스크립팅, 줄여서 XSS에 해당해요. 웹 화면에서 데이터로 다뤄야 할 내용이 브라우저에서 실행되는 스크립트로 해석되는 유형이에요. 취약점의 약점 유형을 분류하는 체계인 CWE에서는 CWE-79, 웹 페이지 생성 중 입력값을 적절히 무해화하지 못하는 약점으로 연결돼 있어요. 다만 INFINITT ULite의 어떤 입력 항목이나 처리 코드에서 문제가 발생하는지, 구체적인 구현 원인까지는 확인할 수 없어요.

CVE-2026-19877에는 CWE-307과 CWE-331이 연결돼 있어요. CWE-307은 과도한 인증 시도를 충분히 제한하지 못하는 약점이고, CWE-331은 예측하기 어려운 정도를 뜻하는 엔트로피가 충분하지 않은 약점이에요. 이 분류만으로 INFINITT ULite의 어떤 기능이 문제인지, 어떤 값을 예측하거나 어떤 인증 시도가 가능한지까지 설명할 수는 없어요. 특정 공격 방식이나 원인을 확정하려면 제조사의 취약점 설명을 확인해야 해요.

공격 조건에서 공통으로 확인되는 내용은 인증 없이 가능하고 네트워크로 공격할 수 있다는 점이에요. 여기서 인증 없이 가능하다는 말은 공격에 앞서 공격자가 로그인할 필요가 없다는 뜻이에요. 이 표현만으로 제품의 모든 인증 기능을 우회할 수 있다고 해석하면 안 돼요. 네트워크로 공격 가능하다는 조건 역시 각 운영 환경이 실제로 외부에 노출돼 있다는 뜻은 아니므로, 제품에 접근할 수 있는 범위를 별도로 확인해야 해요.

NVD는 미국의 국가 취약점 데이터베이스이고, CVSS는 취약점의 기술적 심각도를 평가하는 공통 취약점 점수 체계예요. NVD 게시일은 모두 2026-11-06이며, CVSS 버전은 3.1이에요. CVE-2026-19876은 6.1로 MEDIUM, 중간 수준이고, CVE-2026-19877은 7.5로 HIGH, 높음 수준이에요. 점수는 기술적 심각도를 비교하는 기준이며, 특정 운영 환경의 노출 정도나 실제 공격 발생 여부를 나타내지는 않아요.

누가 영향을 받나요

일반 사용자

INFINITT ULite를 이용하는 사람이라면 자신이 접속하는 제품의 운영 담당자에게 업데이트 적용 여부를 확인하는 것이 도움이 돼요. 화면을 정상적으로 사용할 수 있다는 사실만으로 취약점이 해결됐다고 판단할 수는 없어요. 확인할 핵심은 운영 중인 버전이 영향받는 범위에 해당하는지, 해결 버전 적용이 끝났는지예요.

CVE-2026-19876은 웹 화면에서 실행되는 스크립트와 관련된 문제지만, 어떤 화면에서 어떤 결과가 생기는지까지는 확인되지 않았어요. 따라서 개인 정보 유출이나 계정 피해가 발생했다고 단정할 수는 없어요. 사용자가 제품을 직접 관리하지 않는 환경에서는 운영 담당자를 통해 조치 상태를 확인하는 것이 알맞아요.

개발자

INFINITT ULite와 연동하거나 관련 웹 기능을 관리하는 개발자는 CVE-2026-19876의 XSS와 CVE-2026-19877의 약점 분류를 구별해서 이해해야 해요. CWE-79라는 분류만 보고 문제 지점을 특정하거나, CWE-307과 CWE-331만 보고 공격 과정을 재구성하면 실제 제품의 문제와 다른 결론에 이를 수 있어요.

개발자가 확인할 내용은 운영 중인 INFINITT ULite의 버전과 제조사가 안내하는 수정 범위예요. 연동 코드의 동작을 점검하는 일과 제품 업데이트 적용 여부를 확인하는 일은 각각 필요해요. 자체 코드 수정만으로 이번 제품 취약점이 해결됐다고 판단하지 말고, 제조사 공지의 업데이트 절차를 따라야 해요.

서버·장비 담당자

서버·장비 담당자는 INFINITT ULite가 설치된 운영 대상을 확인하고 실제 버전을 대조해야 해요. 5.0.2.1_BN48_20260528 이하라면 이번 권고의 영향 범위에 해당해요. 해결 기준은 5.0.2.1 BN50 이상이며, 버전 문자열의 표기가 다르거나 범위 판단이 모호하면 제조사 공지에서 적용 대상을 확인해야 해요.

두 취약점 모두 인증 없이 네트워크로 공격할 수 있으므로, 로그인 기능의 존재만으로 대응을 마쳤다고 볼 수는 없어요. INFINITT ULite에 누가 어느 네트워크에서 접근할 수 있는지 확인하고, 업데이트 일정과 적용 후 검증을 함께 준비해야 해요. 구체적인 설치 방법과 서비스 운영상 주의사항은 제조사 공지의 업데이트 절차를 따르세요.

지금 할 일

1. 운영하거나 이용 중인 제품이 인피니트헬스케어의 INFINITT ULite인지 확인하고, 직접 관리하지 않는 경우 운영 담당자에게 버전 확인을 요청하세요.
2. 실제 설치 버전을 확인해 5.0.2.1_BN48_20260528 이하인지 대조하세요. 버전 표기가 달라 판단하기 어렵다면 제조사에 영향 여부를 확인하세요.
3. 제조사 공지에서 CVE-2026-19876과 CVE-2026-19877의 업데이트 안내를 확인하고, 5.0.2.1 BN50 이상으로 적용할 대상과 일정을 정하세요.
4. 제조사 공지의 업데이트 절차를 따르세요. 설치 과정과 운영상 주의사항도 해당 공지를 기준으로 확인하세요.
5. 업데이트가 끝나면 실제 적용 버전과 평소 사용하던 기능의 동작을 확인하고, 적용 결과를 운영 기록에 남기세요.

바로 업데이트하기 어렵다면

• 제조사 공지에서 임시 대응 안내와 운영상 제약을 확인한 뒤, 업데이트 전까지 INFINITT ULite의 접근 범위를 필요한 사용자와 네트워크로 제한하는 방안을 검토하세요.
• 제조사 공지를 확인한 뒤, 업무에 필요하지 않은 외부 노출을 줄일 수 있는지 검토하세요. 접근 제한이나 노출 축소를 적용했더라도 해결 버전 업데이트는 별도로 진행해야 해요.

업데이트 후 확인

• 업데이트 후 실제 운영 중인 INFINITT ULite의 버전이 5.0.2.1 BN50 이상인지 확인하세요. 업데이트 파일을 준비한 상태와 설치가 완료된 상태를 구분해 기록하세요.
• 제조사 공지의 확인 절차에 따라 업데이트 적용 결과를 점검하고, 평소 사용하던 화면과 업무 기능이 정상적으로 동작하는지 확인하세요.
• 업데이트 대상에 포함한 각 운영 대상의 적용 결과를 대조해 누락 여부를 확인하고, 임시 접근 제한을 변경할 때는 제조사 안내와 운영 필요성을 다시 확인하세요.

해외 동향 (NVD·CISA KEV)

CISA의 실제 악용 취약점 목록(KEV)에는 2026.11.07 확인 기준 아직 올라 있지 않아요.

제조사 공식 공지

• https://www.infinitt.com/m/contents/content.php?url=INFINITT-SA-2026-001

자주 묻는 질문

Q. 로그인해야 사용할 수 있는 INFINITT ULite도 확인해야 하나요?

네. CVE-2026-19876과 CVE-2026-19877은 모두 인증 없이 네트워크로 공격할 수 있는 조건으로 설명돼 있어요. 로그인 화면이 있다는 이유만으로 영향이 없다고 판단하지 말고, 설치 버전과 제품의 접근 범위를 확인해야 해요.

Q. CVE-2026-19877도 크로스 사이트 스크립팅인가요?

그렇게 단정할 수 없어요. 크로스 사이트 스크립팅으로 확인되는 것은 CVE-2026-19876이에요. CVE-2026-19877에는 CWE-307과 CWE-331이 연결돼 있지만, 구체적인 공격 방식과 구현 원인은 제조사의 취약점 설명을 확인해야 해요.

Q. 실제 공격이 확인됐나요?

CISA KEV 에는 아직 등재되지 않았다. 이 상태만으로 실제 공격이나 악용의 유무를 판단할 수는 없어요. 업데이트 대상 여부는 설치 버전으로 확인하고, 5.0.2.1_BN48_20260528 이하라면 제조사 공지의 업데이트 절차에 따라 5.0.2.1 BN50 이상을 적용하세요.