무슨 일이 있었나
NVD REST API를 통해 확인 (CVE-2026-110769 게시일 2026-10-14, CVSS 8.6 v3.1 / 8.3 v4.0; CVE-2026-110768 CVSS 4.8). 로컬 에이전트를 구동할 수 있는 대상을 제한하기 위한 channel-gateway 커넥터는 빈 허용 목록으로 실패 시 열리며(fail open) 스푸핑 가능한 사용자 이름에 의존하므로, 임의의 원격 사용자가 에이전트를 조종하여 호스트 인프라에서 작동하게 할 수 있습니다.
왜 중요한가
이것은 직접적인 에이전트 제어 취약점입니다: 채팅 메시지를 보낼 수 있는 공격자는 개인 AI 에이전트가 운영자 머신에서 도구(셸, 파일 작업, 브라우저)를 실행하게 만들 수 있습니다 — 사실상 원격 에이전트 구동 실행이며, 메시징 표면이 진입점인 에이전트 애플리케이션 취약점 클래스입니다. 사용자는 allowFrom/numeric-id 목록을 채우거나 네트워크 연결 채널 커넥터를 비활성화해야 합니다.
공격 경로
원격, 무인증: 공격자가 운영자의 Telegram/Slack/Discord 봇에 메시지를 보냅니다. ChannelIngress.handle은 턴을 바인딩된 작업 영역 에이전트에 전달하고, 에이전트는 운영자 머신에서 구성된 도구를 실행합니다. 기본 allowFrom 목록이 비어 있으므로 #isAllowed 검사는 모든 발신자를 수락합니다 (CWE-1188). CVE-2026-110768은 추가로 숫자 ID 대신 변경 가능한 사용자 이름으로 권한을 부여합니다 (CWE-290).
영향받는 시스템
holaOS 2026.822.1까지
완화 방안
holaOS를 업그레이드하고 allowFrom 발신자 목록을 명시적으로 구성하십시오(숫자 Telegram ID, 사용자 이름 아님). 활발히 사용하지 않는 채널 커넥터를 비활성화하십시오. 노출된 모든 봇을 공격 표면으로 취급하십시오. VulnCheck 권고 110769/110768.