발행 글 (6594)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

BleepingComputer가 Material Security와 함께 Google Workspace 보안에 대한 웨비나를 개최할 예정입니다. 이번 웨비나에서는 실제 공개된 침해 사례를 분석하여, 제한된 자원을 가진 보안팀에게 가장 중요한 보안 통제가 무엇인지 논의할 것입니다. 또한 소셜 엔지니어링과 악성 OAuth 애플리케이션을 결합한 공격 사례를 통해 어떤 방어가 실패했는지 살펴보고, 실제 위험에 기반한 우선순위 설정 방법을 다룰 예정입니다.

Microsoft가 Azure AI Foundry에서 발견된 CVSS 점수 10.0의 치명적인 보안 취약점(CVE-2026-85889)을 수정했습니다. 이 결함은 중요 기능에 대한 인증 누락으로, 인증되지 않은 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다. Microsoft는 해당 취약점이 이미 완전히 완화되어 고객 조치가 필요 없으며, 실제 환경에서 악용된 증거는 없다고 밝혔습니다. 이와 함께 Microsoft 365 Copilot, Azure Database for PostgreSQL 등 다른 제품의 여러 치명적인 결함도 패치되었습니다.

보안 회사 Hacktron이 AI를 사용하여 이미지 처리 라이브러리의 취약점에 대한 익스플로잇을 개발했습니다. 연구원들은 이 익스플로잇을 OpenAI의 로그인 시스템 결함과 연계하여 직원들의 ChatGPT 및 Codex 계정을 탈취하고 내부 코드 저장소에 접근했습니다. OpenAI 커뮤니티 포럼용으로 생성된 로그인 토큰이 과도한 권한을 부여한 것이 계정 탈취로 이어졌으며, 연구원들은 접근 권한을 증명하기 위해 내부 저장소에 풀 리퀘스트를 열었습니다.

마이크로소프트가 최근 업데이트 설치 후 '디펜더 안티바이러스가 꺼져 있습니다'라는 잘못된 경고가 표시되는 문제를 해결했습니다. 이 버그는 안티바이러스가 정상적으로 작동함에도 불구하고 윈도우 보안 앱에서 오류 알림을 발생시켰습니다. 해당 문제는 9월 17일에 배포된 마이크로소프트 디펜더 안티바이러스 업데이트(버전 4.18.26080.4)에서 수정되었습니다.

워드프레스 e-러닝 플러그인 Tutor LMS에서 10만 개 이상의 사이트에 영향을 미치는 심각한 취약점이 발견되었습니다. CVE-2026-78175로 추적되는 이 결함은 낮은 권한의 사용자도 원격 코드 실행을 통해 서버를 장악할 수 있게 합니다. 이 취약점은 인출 계정 기능의 PHP 객체 주입 문제로 인해 발생하며, 공격자는 조작된 데이터를 전송하여 서버에 악성 파일을 업로드하고 실행할 수 있습니다.

일본 소프트웨어 회사 Helpfeel의 이미지 공유 서비스 Gyazo에서 데이터 유출 사고가 발생했습니다. 해커는 9월 11일 이미지 업로드 서버의 취약점을 악용하여 약 2,360만 개의 사용자 기록에 접근했습니다. 유출된 정보에는 이름, 이메일 주소, 비밀번호 해시 등이 포함되었으며, 약 4억 9천만 개의 이미지 메타데이터 기록도 함께 유출되었습니다. 회사에 따르면 결제 카드 정보는 침해되지 않았습니다.

구글이 윈도우, macOS, 리눅스용 크롬 153 안정 버전을 출시하여 16개의 보안 취약점을 해결했습니다. 이번 업데이트에는 WebGPU 그래픽 API 구현체인 Dawn의 use-after-free 취약점과 WebGL의 버퍼 오버플로우 취약점 등 두 가지 심각한 결함이 포함됩니다. 또한 Tracing, PDFium, Skia, V8 자바스크립트 엔진 등 여러 컴포넌트에서 발견된 8개의 높은 심각도의 취약점도 수정되었습니다.

앤트로픽의 보안 사고 문서에 따르면, AI 모델인 클로드(Claude)가 간단한 이미지 식별 CAPTCHA를 해결하는 데 큰 어려움을 겪었습니다. 이 모델은 반복적으로 실패하고 자신의 결론을 의심했으며, 결국 시간이 초과되어 테스트를 다시 시작해야 했습니다. 반면, GPT-6 아스트라(Astra)가 '나는 로봇이 아닙니다' 게임의 모든 레벨을 해결했다는 비공식 보고도 있어 현재 AI의 CAPTCHA 해결 능력에 대해 상반된 정보가 존재합니다.

Microsoft는 Azure 클라우드 포트폴리오와 Copilot 브랜드 AI 제품에 걸쳐 18개 취약점에 대한 패치를 발표했습니다. 공개된 취약점의 대부분은 권한 상승 결함이었으며, 정보 공개 및 스푸핑 취약점도 포함되었습니다. 현재까지 해당 취약점들이 악용된 사례는 보고되지 않았으며, 모든 수정 사항은 서버 측에서 구현되어 고객의 별도 조치는 필요하지 않습니다.

안드로이드가 앱과 엔터프라이즈 도구가 기기의 중요 보안 패치 누락 여부를 확인할 수 있는 새로운 'Security State' 라이브러리를 출시했습니다. 이 라이브러리는 기존의 월별 보안 패치 수준(Security Patch Level)보다 더 상세한 보안 상태 정보를 제공하여, 앱이 패치되지 않은 시스템 구성 요소나 보류 중인 업데이트를 식별할 수 있게 합니다. 은행, 핀테크 등 보안에 민감한 앱들은 이 기능을 사용하여 안드로이드 시스템, 시스템 모듈, 리눅스 커널의 패치 상태를 구성 요소 수준에서 확인하고 고위험 작업을 처리하기 전에 보안 상태를 검증할 수 있습니다.

13개의 npm 패키지에서 이전에 문서화되지 않은 자바스크립트 정보 탈취 악성코드 'WeaselBiscuit'이 발견되었습니다. 이 새로운 악성코드는 북한(DPRK)의 'Contagious Interview' 캠페인과 관련된 BeaverTail 및 OtterCookie와 기능적 유사성을 보이지만, 더 작고 기능이 축소된 버전입니다. WeaselBiscuit은 윈도우, macOS, 리눅스에서 크롬 확장 프로그램 저장소 정보를 수집하며, 윈도우 시스템에서는 클립보드 내용과 키 입력을 기록할 수도 있습니다.

Surfshark의 연구에 따르면 대부분의 사람들은 온라인에서 봇과 인간을 구별하지 못하며, 특히 긍정적이고 예의 바른 봇에 더 잘 속는 것으로 나타났습니다. 참가자들은 부정적인 AI 봇은 절반 가량 식별했지만, 긍정적인 성향의 봇 식별률은 그보다 낮았습니다. 연구자들은 의심을 사지 않는 친근하고 논리적인 봇이 더 큰 개인정보 및 보안 위협이 될 수 있다고 경고했습니다.