발행 글 (6574)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

워드프레스 코어에서 익명의 방문자가 남긴 댓글을 통해 서버에서 코드를 실행할 수 있는 새로운 취약점(CVE-2026-93485)이 발견되었습니다. "Comment2Shell"로 명명된 이 결함은, 로그인한 관리자가 악성 스크립트가 포함된 댓글 페이지를 열 경우 관리자 세션을 이용해 웹 셸이 담긴 플러그인을 업로드하여 원격 코드 실행으로 이어질 수 있습니다. 워드프레스는 9월 17일 버전 7.1.1에서 이 문제를 해결했으며, 아직 이 취약점이 공격에 사용된 정황은 없습니다.

미국 11개 주에 걸친 14개 군사시설 매점에서 냉장·냉동 설비가 거의 동시에 고장 나 군 당국이 조사에 나섰다. 이번 사건으로 군 보급망의 산업제어장치 보안 문제가 제기되었으며, 사이버 공격 가능성도 거론되고 있다. 한 보안업체가 이전에 냉동 설비 제어장치에서 취약점을 발견했다고 발표했지만, 고장 난 매점에서 해당 장비를 사용했는지나 취약점이 악용되었는지는 확인되지 않았다. 미 육군 범죄수사사령부와 공군 특별수사국 등이 소프트웨어 오류 등 다른 가능성을 포함해 원인을 조사 중이다.

개인정보보호위원회 위원장이 통신 3사 대표들과 만나 AI 시대 개인정보 보호 방안을 논의하고 공동 선언문을 발표할 예정입니다. 개인정보위는 이 자리에서 지난 11일부터 시행된 개정 개인정보보호법의 주요 내용을 안내하고 법령 준수를 당부할 계획입니다. 개정법은 반복적이거나 고의·중과실로 대규모 개인정보 유출 사고를 일으킨 기업에 전체 매출액의 최대 10%를 과징금으로 부과할 수 있도록 합니다.

애플이 iOS 26.6.2에 대한 서명을 중단함에 따라, iOS 27을 설치한 아이폰 사용자는 공식적인 경로로 iOS 26 계열로 다운그레이드할 수 없게 됐습니다. 애플은 보안 취약점이 패치된 iOS 업데이트 이후, 공격에 악용될 가능성을 줄이기 위해 구버전 설치를 막는 서명 제한 조치를 시행합니다. 이로 인해 최신 버전의 오류나 호환성 문제로 이전 버전 복귀를 고려하던 사용자의 선택지가 줄어들게 되었습니다.

미국 사이버보안 및 인프라 보안국(CISA)은 Zyxel GS1900 시리즈 스위치에 영향을 미치는 보안 결함을 '알려진 악용 취약점(KEV)' 목록에 추가했습니다. CVE-2026-7273으로 추적되는 이 스택 기반 버퍼 오버플로우 취약점은 인증되지 않은 공격자가 LAN을 통해 임의의 OS 명령을 실행할 수 있게 합니다. 이와는 별개로, Arctic Wolf는 Veeam Agent for Microsoft Windows의 로컬 권한 상승 취약점(CVE-2026-32996)도 활발히 악용되고 있다고 경고했으며, 이를 통해 공격자는 시스템 수준의 제어권을 얻을 수 있습니다.

카카오게임즈의 개인정보 유출 대상이 기존 140명에서 총 243명으로 증가했습니다. 이는 새로운 공격이 아닌, 기존 침해사고 조사 과정에서 RINK 서비스 이용자 103명의 정보 유출이 추가로 확인된 것입니다. 이번 사고는 외부 공격자가 파트너스와 RINK 시스템의 취약점을 이용해 발생했으며, 타사 식별코드, 자체 식별코드, 일부 국가코드 등이 유출되었습니다. 카카오게임즈는 관계기관에 사고 사실을 신고하고 외부 보안 전문기관과 함께 구체적인 원인과 영향을 조사하고 있습니다.

EU는 2026년 하반기까지 NIS2 지침 준수 여부를 검토할 예정이며, 경영진은 위반 시 개인적인 책임을 질 수 있습니다. NIS2 제21조는 접근 통제 정책, 다중 인증(MFA), 기본 사이버 위생과 같은 최소한의 사이버 보안 위험 관리 조치를 의무화합니다. Passwork와 같은 암호 및 비밀 관리 솔루션은 이러한 요구사항을 자동화하여 준수 절차를 간소화하고 감사 증거 생성을 지원할 수 있습니다.

해커들이 마이크로소프트 팀즈 채팅을 이용해 IT 헬프데스크 직원을 사칭하여 윈도우 비밀번호를 탈취하고 있습니다. 이들은 외부 마이크로소프트 365 테넌트에서 직원에게 연락하여 악성코드 설치나 원격 접근을 유도합니다. 일단 접근 권한을 얻으면, SynkLoader와 같은 악성코드를 설치하여 가짜 윈도우 잠금 화면을 띄웁니다. 사용자가 이 화면에 비밀번호를 입력하면, 공격자는 이를 평문으로 캡처하여 탈취합니다.

AI 플랫폼 전문기업 피씨엔이 개인정보와 기업기밀을 보호하면서 분산된 데이터를 안전하게 분석하고 AI 학습에 활용하기 위한 '분산형 데이터 연합컴퓨팅' 기술을 고도화하고 있습니다. 이 기술은 데이터를 중앙으로 이동시키지 않고 연합 분석과 AI 학습을 수행하는 것을 목표로 하며, AI 모델 주기관리, 분산 데이터 정제, 데이터 사일로 리소스 모니터링 등 핵심 기술 개발에 집중합니다. 향후 의료, 금융, 교육 등 민감정보 활용 분야에서 데이터 주권을 보호하면서 기관 간 데이터 협력과 새로운 AI 서비스 개발을 확대하는 기반이 될 것으로 기대됩니다.

WordPress 재단이 SQL Injection 취약점(CVE-2026-60137)을 해결한 보안 업데이트를 발표했습니다. 영향을 받는 6.8.x, 6.9.x, 7.0.x 버전 사용자는 최신 버전으로 업데이트할 것이 권고됩니다.

한국인터넷진흥원(KISA)은 한국형 ‘보안 특화 인공지능(AI) 파운데이션 모델(보안 특파모)’을 국가 전략자산으로 만들어야 한다고 강조했다. 해외 모델은 한국을 겨냥한 공격과 국내 소프트웨어 환경을 충분히 반영하기 어렵고, 국가 핵심 인프라의 취약점 정보를 외부에 맡기는 데 한계가 있기 때문이다. KISA는 국내 위협정보를 학습하고 폐쇄망에도 구축할 수 있는 ‘소버린 보안 AI’를 핵심으로 제시하며, 데이터 통제와 보안 분야 기술 격차 보완 등을 한국형 모델이 필요한 이유로 들었다.

이 기사는 미국, 아일랜드, 영국 등에서 채용 중인 다양한 사이버보안 직무를 소개합니다. 소개된 직무에는 위협 인텔리전스 분석가, 애플리케이션 보안 전문가, 사이버 시스템 보안 엔지니어, 사이버 위협 엔지니어 등이 포함됩니다. 각 직무는 위협 식별, 애플리케이션 취약점 분석, 보안 시스템 설계, 사고 대응 등의 책임을 맡습니다.