오라클이 MySQL 커뮤니티의 개방성과 참여를 강화하기 위해 새로운 거버넌스 프레임워크를 도입합니다. 이 체계는 외부 기여자가 로드맵 논의부터 보안 취약점 대응까지 직접 참여할 수 있도록 하며, 오라클, AWS, 구글 클라우드가 참여하는 조정 위원회를 신설해 장기적인 기술 방향을 논의할 예정입니다.
원문 보기 →
개인정보보호위원회가 API를 통한 개인정보 유출 사고가 빈번해짐에 따라 사업자들에게 권한 관리 강화를 요청했습니다. 위원회는 설계 단계부터 개인정보를 최소화하고, 최소 권한 원칙을 적용하며, API 목록을 지속적으로 관리하는 등 3가지 중점 점검 사항을 제시했습니다. 또한 서비스 목적에 불필요한 정보는 API 응답 데이터에서 제외하고, 오래된 API는 폐기하며, 이상 행위 탐지를 위한 접속 기록 점검도 강조했습니다.
원문 보기 →
미국 사이버보안 및 인프라 보안국(CISA)이 실제 공격에 악용되고 있는 4개의 보안 취약점을 '알려진 악용 취약점(KEV)' 카탈로그에 추가했습니다. 해당 취약점은 어도비 콜드퓨전, 줌락(Joomlack) 페이지 빌더, 랭플로우(Langflow), 줌셰이퍼(JoomShaper) SP 페이지 빌더에서 발견되었습니다. 이 취약점들은 원격 코드 실행, 권한 우회, 임의 파일 업로드 등을 허용하며, 일부는 제로데이로 악용된 사례도 확인되었습니다.
원문 보기 →
동형암호 기술 기업 크립토랩이 자사의 AI 검색 솔루션 '인벡터(enVector)'를 구글 클라우드 마켓플레이스에 입점시켰습니다. '인벡터'는 데이터를 암호화한 상태에서도 성능 저하 없이 실시간 벡터 검색을 수행하여, 생성형 AI 등에서 민감 데이터가 노출될 수 있는 보안 취약점을 해결합니다. 이번 입점으로 전 세계 기업들은 클라우드 환경에서 동형암호 기술을 쉽게 테스트하고 기존 AI 워크플로우와 연동해 안전한 검색 환경을 구축할 수 있게 되었습니다.
원문 보기 →
기업의 정보보호 환경이 데이터 흐름 중심으로 확장됨에 따라, CISO는 제한된 자원 내에서 효과적인 운영 전략을 수립해야 합니다. 이를 위해 현업의 업무 흐름을 이해하고 데이터 노출을 최소화하면서도 업무 연속성을 보장하는 실질적인 보안 정책을 설계하는 것이 중요합니다. 또한 ISMS-P와 같은 정보보호 인증을 단순한 규제 준수를 넘어, 조직 내 보안 조치의 우선순위를 확보하고 자원 배정의 근거로 활용하는 전략적 도구로 사용해야 한다고 필자는 강조합니다.
원문 보기 →
IT 서비스 대기업 액센츄어(Accenture)가 데이터 유출을 당했음을 확인했습니다. '888'로 알려진 해커는 7월에 35GB의 소스 코드, RSA 키, 애저(Azure) 액세스 토큰 등을 훔쳤다고 주장하며 이를 사이버 범죄 포럼에서 판매하고 있습니다. 액센츄어는 이 사건이 해결되었으며 운영에는 영향이 없다고 밝혔으나, 유출된 데이터의 구체적인 내용에 대해서는 언급하지 않았습니다.
원문 보기 →보안 기업 바로니스(Varonis)는 구글의 AI 챗봇 개발 플랫폼 다이얼로그플로우 CX(Dialogflow CX)에서 '로그 에이전트(Rogue Agent)'라는 취약점을 발견했습니다. 이 취약점은 공격자가 AI 챗봇 데이터를 탈취할 수 있도록 허용했으며, 현재는 구글에 의해 패치되었습니다. 이번 사건은 AI 인프라 보안의 중요성을 강조합니다.
원문 보기 →
중국 해킹 그룹 'UAT-7810'이 주로 패치되지 않은 루커스(Ruckus) 라우터 등 인터넷 연결 네트워크 장비를 감염시켜 작전용 릴레이 박스(ORB) 네트워크를 확장하고 있습니다. 이들은 알려진 취약점을 악용하며, 기존 SHORTLEASH 백도어의 업그레이드 버전인 LONGLEASH를 비롯해 DOGLEASH, JARLEASH 등 새로운 악성코드를 사용합니다. 해당 ORB 네트워크는 다른 중국 연계 APT 그룹들이 트래픽을 중계하여 탐지를 회피하고 공격 출처를 숨기는 데 사용되는 보안 인프라 역할을 합니다.
원문 보기 →
미국의 한 카운티 정부가 사이버 갈취 그룹 '카이로스'에 100만 달러의 몸값을 지불한 것으로 알려졌습니다. 카이로스는 2025년 5월 무차별 대입 공격으로 2TB가 넘는 데이터를 탈취했으며, 이를 공개하겠다고 협박했습니다. 이번 공격은 파일 암호화 없이 데이터만 훔치는 순수 갈취 공격이었으며, 유출된 정보에는 45,487명의 이름, 사회보장번호 등 민감한 개인정보가 포함되었습니다.
원문 보기 →
여러 Tenda 라우터 펌웨어 버전에서 숨겨진 인증 백도어가 발견되었습니다. 이 취약점(CVE-2026-11405)은 공격자가 특정 비밀번호를 사용해 사용자 이름과 상관없이 기기의 웹 관리자 접근 권한을 획득하도록 허용합니다. 현재 제조사의 패치가 없는 상태이며, CERT/CC는 원격 웹 관리 패널을 비활성화하여 인터넷을 통한 접근을 막을 것을 권고했습니다.
원문 보기 →AWS가 유럽(프랑크푸르트) 리전에서 Amazon EC2 C8ine 인스턴스를 출시했습니다. 이 인스턴스는 6세대 인텔 제온 스케일러블 프로세서와 AWS 니트로 카드를 탑재하여 이전 세대보다 최대 43% 향상된 성능을 제공합니다. 특히 가상 방화벽, 로드 밸런서 등 보안 및 네트워크 가상 어플라이언스 워크로드에 최적화되어 설계되었습니다.
원문 보기 →
VECT 랜섬웨어 그룹이 TeamPCP라는 위협 그룹과 협력하여 새로운 공급망 공격을 수행하고 있습니다. TeamPCP는 널리 사용되는 오픈소스 패키지를 변조하여 개발자 자격증명을 대량으로 훔치고, VECT는 이 훔친 자격증명 데이터베이스에서 공격 대상을 선택하여 랜섬웨어를 배포합니다. 이 방식은 기존의 정찰 단계를 생략하는 새로운 공격 형태로, FBI는 도난당한 자격증명이 장기간에 걸쳐 악용될 수 있다고 경고했습니다.
원문 보기 →