Reddit

More CVEs in Q3 2026 than in any full year before 2024

2026년 3분기 CVE 수, 2024년 이전의 어느 한 해보다 많아

CVE 목록에서 2026년 1월 1일부터 10월 23일까지 공개된 취약점은 8만 6,292건으로 전년 같은 기간의 2.2배입니다. AI 발견자 표기는 22배 늘었지만, 대형 업체의 발견 경로가 공개되지 않아 급증의 원인을 AI로 확정할 수는 없습니다.

에디터 노트

급증 원인을 AI로 단정하기보다 공개량의 증가와 발견 경로의 불투명성을 나눠 읽는 편이 정확합니다. AI 발견자 표기가 있는 CVE는 769건으로 크게 늘었지만 전체의 1% 미만이고, 증가 폭이 큰 대형 업체들은 발견자를 기록하지 않습니다. 글도 AI를 가장 유력한 원인으로 제시하면서 인과관계는 입증하지 못한다고 선을 긋습니다. 발급 절차 변경 가능성도 남아 있어 공개 건수만으로 AI의 기여분을 계산할 수 없습니다. CISA가 평가한 CVE 중 실제 악용 표시가 163건에서 195건으로 늘었다는 비교는 공개량 증가와 현장 위험이 같은 속도로 커지지 않았음을 보여줍니다. 다만 이 수치는 CISA가 평가한 항목에 한정됩니다. 댓글에서는 인력 부족과 AI가 공격자에게도 도움이 될 수 있다는 우려가 나왔고, 취약점이 과소 보고돼 왔다는 반응에는 다른 프로젝트의 영향도 거론됐습니다. 글의 데이터는 이런 원인별 주장을 판별하지 않습니다. 끝부분의 채용 서비스 홍보 역시 분석 결과와 구분해 읽어야 합니다.

AI 요약

글은 CVE Program의 전체 목록 41만 3,801건을 분석해 2026년 취약점 공개량이 급증했다고 보고합니다. 2026년 1월 1일부터 10월 23일까지 공개된 CVE는 86,292건으로 전년 같은 기간의 38,569건보다 2.2배 많습니다. 3분기는 36,953건으로 2025년 3분기 11,722건의 3.2배이며, 9월에는 14,934건이 공개됐습니다. 심각도 Critical 취약점도 같은 기간 3,348건에서 9,599건으로 늘었습니다.

증가 원인 분석

글은 과거 취약점의 뒤늦은 공개나 신규 발급 기관의 유입만으로 급증을 설명하기 어렵다고 분석합니다. 2026년에 공개된 CVE 중 2025년 이전 ID를 가진 비율은 2.7%이고, 예약부터 공개까지 걸린 기간의 중앙값은 13일입니다. 2025년에 공개 기록이 없던 기관이 낸 CVE는 1,662건에 그쳤으며, 기존 발급 기관의 공개량은 전체적으로 2.2배 늘었습니다. 기존 기관의 72%가 증가세를 보였습니다. Linux 커널, 주요 WordPress 발급 기관 3곳, VulDB를 제외해도 건수는 20,242건에서 61,970건으로 세 배가 됐습니다.

Google Chrome은 110건에서 3,593건으로 33배, Oracle은 314건에서 4,153건으로 13배, Apache는 172건에서 1,218건으로 7배, Red Hat은 250건에서 1,236건으로 5배, Microsoft는 1,106건에서 4,417건으로 4배 증가했습니다. Chrome이 2025년에 Critical로 분류한 CVE는 4건이었고 2026년에는 210건입니다. 다섯 업체 모두 CVE 기록에 취약점 발견자를 표기하지 않아, 이 수치만으로 증가 원인을 알 수는 없다고 글은 덧붙입니다.

AI 발견 및 AI 소프트웨어 취약점

발견자나 보고자 표기에 AI 시스템 또는 AI 연구 조직이 명시된 CVE는 2025년 34건에서 2026년 769건으로 22배 늘었습니다. 이 중 Anthropic과 Claude가 335건, AISLE이 296건, OpenAI가 112건에 이름을 올렸습니다. 769건 가운데 376건은 High 또는 Critical 등급입니다. curl, OpenSSL, PostgreSQL, Firefox, Apache 등 널리 검토되는 프로젝트도 포함됩니다. 다만 이 수는 전체 CVE의 1% 미만이며, 발견자 표기를 공개하고 AI를 명시한 기관만 집계합니다. 따라서 글은 이 수치를 AI가 발견한 취약점 전체의 추정치가 아니라 하한으로 봅니다.

AI 소프트웨어 자체의 CVE도 505건에서 3,191건으로 증가했습니다. 전체의 3.7%에 해당하며, OpenClaw에서만 600건이 넘었습니다. Open WebUI, Flowise, vLLM과 MCP 서버도 글이 언급한 대상입니다.

실제 악용과 분석의 한계

CISA가 평가한 CVE 중 실제 악용 중이라고 표시한 건수는 2025년 163건에서 2026년 195건으로 늘었습니다. 전체 CVE가 2.2배 늘어난 데 비해 악용 건수 증가율은 약 20%이며, 전체에서 차지하는 비율은 0.45%에서 0.25%로 줄었습니다. 글은 보안팀의 과제가 모든 취약점 패치보다 환경에 적용되는지, 실제로 접근 가능한지 판단해 우선순위를 정하는 일이라고 주장합니다.

분석은 CVE 공개일을 기준으로 두 해의 1월 1일부터 10월 23일까지를 비교합니다. 거부된 기록은 제외하며, AI 발견 집계에서 수정에 AI를 썼다는 표기는 제외합니다. 글은 인과관계를 입증할 수 없고 업체의 CVE 발급 절차 변경도 증가분에 영향을 줬을 가능성이 있다고 밝힙니다. 마지막에는 취약점 분류 역량을 평가하는 CyberHire의 채용 서비스를 홍보합니다.

Reddit 반응

  • @AmenoFPS — 사장님, 저 이제 지쳤습니다.
  • @WeirdSysAdmin — 2024년 이전 어느 한 해보다 인력이 적습니다.
    • @AlternativeThanks11 — 경영진은 안타깝게도 사이버 보안을 늘 비용 부서로 봐 왔습니다. AI가 업무량을 줄여 줄 거라고 기대하면서 공격자도 더 영리해져 업무량이 늘어난다는 점은 깨닫지 못할 겁니다. 14살 청소년이 Claude나 ChatGPT의 도움으로 NASA를 해킹했다는 다음 사례를 보게 될 거라는 강한 예감이 듭니다.
  • @Ulrich_b — 이런 이야기는 여러 형태로 들었습니다. 내년 계획을 경영진과 이야기할 때 쓰는 농담은 "올해와 똑같은 일인데 훨씬 더 많이" 정도입니다. 사이버 보안은 군비 경쟁이고 늘 이렇게 보일 겁니다. 이번에는 최신 유행이 붙었을 뿐입니다. 10년 뒤에는 2026년이 단순했던 시절이라고 그리워할 겁니다.
  • @IndependentMilkDrink — 수십 년 동안 취약점을 적게 보고하는 편향이 있었습니다. AI는 결함을 숨길 수 없게 만드는 긍정적인 효과를 냈습니다.
    • @pythbit — 네, 물론 그 때문이겠죠. Project Glasswing 같은 것 때문이 아니라요.
  • @scooterthetroll — 올해 10만 5천 건이라고 예상했는데 너무 높게 잡았다고 생각했습니다. 제가 틀렸네요. 내년에는 25만 건일 겁니다.
  • @mashmallownipples — 믿을 만하네요.
  • @TokenBearer — 이제 Nginx와 Apache도 분석해 주세요.
원문 보기 ↗토론 보기 ↗