구글 검색 결과에서 회사 홈페이지의 관리자 주소가 발견됐다고 가정해 봅시다. 서버 설정을 보니 robots.txt에 이미 Disallow: /admin/이 있습니다. 이때 먼저 열어 볼 것은 설정 파일보다 관리자 URL입니다. 로그아웃 상태에서 주소를 열었을 때 로그인 화면만 뜨는지, 관리자 전용 데이터까지 내려오는지에 따라 대응 순서가 달라집니다. 공개 파일에 적힌 수집 규칙 robots.txt는 검색 엔진 크롤러처럼 웹페이지를 자동으로 읽는 프로그램에 어느 경로를 수집할지 안내하는 공개 파일입니다. 예를 들어 아래 설정은 이 규칙을 따르는 크롤러에 /admin/으로 시작하는 경로를 가져가지 말라고 요청합니다. 이 파일을 수정해도 브라우저에서 같은 주소를 직접 요청했을 때 ..

브라우저 A와 B에서 같은 홈페이지 관리자 계정으로 로그인해 둡니다. A에서 비밀번호를 바꾸고 B로 돌아오니, 세션이 끊어지지 않고 열어 둔 관리자 화면이 그대로 보입니다. 이 상태에서 B로 관리자 전용 기능을 한 번 더 실행해 봅니다. 서버가 새 요청에도 관리자 데이터를 보내는지 보면 기존 세션이 살아 있는지 끊어졌는지 확인할 수 있습니다. 비밀번호 변경과 세션 종료 비밀번호는 로그인할 때 계정의 소유자를 확인하는 데 쓰입니다. 로그인 뒤에는 서버가 브라우저의 쿠키 등에 담긴 세션 식별자를 통해 같은 사용자의 요청인지 알아봅니다. 이전 비밀번호로 새 로그인이 막혀도, 서버가 기존 세션을 유효하게 처리하면 이미 로그인한 브라우저는 관리자 기능을 계속 사용할 수 있습니다. 세션..

직원 PC에서 액세스 스위치의 로그인 화면이 열린다면, 비밀번호를 몰라도 그 PC의 요청은 이미 웹 관리 서비스에 닿고 있습니다. CVE-2026-107441은 바로 이 지점에서 문제가 됩니다. 점검 범위는 PC나 무선 접속 장비(AP)가 연결되는 GS1900 스위치 자체의 웹 관리 주소입니다. 웹 관리 CGI의 인증 전 취약점Zyxel은 2026년 11월 3일 처음 공지했고, KISA는 11월 5일 업데이트를 권고했습니다. 웹 관리 요청을 처리하는 CGI에 메모리 범위를 벗어나 쓰는 결함이 있습니다. 제조사 설명에 따르면 LAN 측에서 관리 서비스에 닿을 수 있는 공격자가 로그인 없이 조작한 HTTP 요청으로 운영체제 명령을 실행할 수 있습니다. Zyxel — GS1900 보안 권고 KISA — Zy..