ConnectWise가 활성 원격 세션을 통해 무단으로 파일을 전송하고 실행할 수 있는 ScreenConnect의 취약점을 해결하기 위한 보안 업데이트를 배포했습니다. 앞서 9월 3일 고객들에게 해당 문제를 경고했던 ConnectWise는 관리자들에게 열려 있는 세션의 'TransferFiles' 권한을 제거하도록 권고한 바 있습니다. CVE-2026-84869로 추적되는 이 취약점은 ScreenConnect 클라이언트 버전 26.6.5 이상에서 패치되었습니다.
앤트로픽은 알리바바, 딥시크, 문샷 등 중국 소재 7개 AI 연구소가 자사 모델 클로드(Claude)의 성능을 무단으로 복제하는 산업 규모의 지식 증류 공격을 감행한 것을 확인하고 차단했다고 밝혔습니다. 이들 연구소는 도난당한 신용카드와 로그인 정보, 유출된 API 키 등으로 생성된 가짜 계정과 프록시 서비스를 이용해 방어 체계를 우회했습니다. 또한 사용자와 자사 모델 간의 대화를 클로드에 입력하거나 사용자 요청을 무단으로 클로드에 재라우팅하여 훈련 데이터를 수집했으며, 이 과정에서 민감한 정보가 포함된 대화 내용도 활용된 것으로 나타났습니다.
GitLab의 패치 발표 하루 만에 인증되지 않은 사용자가 임의의 파일을 읽을 수 있는 치명적 경로 순회 취약점(CVE-2026-85706)에 대한 실제 악용 시도가 관찰되었습니다. 보안 기업 WatchTowr는 단일 HTTP 요청으로 파일 열람이 가능한 이 결함에 대한 대규모 악용이 곧 이어질 가능성이 높다고 경고했습니다. 이번 업데이트에는 민감 자격 증명 등에 접근 가능한 또 다른 치명적 결함(CVE-2026-87719)을 포함해 총 18개의 취약점 패치가 포함되어 있어 즉각적인 업그레이드가 권장됩니다.
가장 혁신적인 공격자들은 에이전틱 공격을 준비하고 테스트하기 위한 랩 환경 구축부터 정찰, 측면 이동, 데이터 유출에 이르기까지 인공지능(AI)을 광범위하게 도입하고 있습니다. 이는 공격의 다양한 단계 전반에서 AI가 활용되고 있음을 보여줍니다.
인도 정부 산하 기관인 인도 소프트웨어 기술 단지(STPI)의 하위 도메인 웹사이트에서 위조된 Cloudflare 인증 페이지를 악용한 'TerminalFix' 유형의 공격이 발견되었습니다. 이 페이지는 사용자의 클립보드에 악성 URL 문자열을 몰래 복사한 뒤, Windows Terminal에 이를 붙여넣어 실행하도록 유도해 공격자 서버로 요청을 보내게 만듭니다. 보안 연구원 Vibhum Dubey가 이를 발견해 STPI 및 CERT-In에 보고했으나 사이트 소스에 의심스러운 외부 자바스크립트가 남아 있어 완전히 해결되지 않았을 가능성이 제기되었습니다.
이메일 마케팅 플랫폼 Brevo가 SAML SSO 처리 결함을 악용한 공격자에게 침해당해 총 138개 고객 계정에 무단 접근이 발생했습니다. 공격자는 침해된 계정 중 일부를 이용해 Trezor, CoinTracking, BitBox 등 암호화폐 관련 기업의 뉴스레터 구독자들을 대상으로 피싱 메일을 발송했습니다. Trezor 고객에게는 하드웨어 취약점 경고를 위장해 앱 다운로드와 지갑 백업 입력을 유도하는 악성 링크가 포함된 메일이 전송되었습니다.
반자율 코딩 에이전트를 이용해 공격 작전을 수행하는 공격자가 식별되었습니다. 해당 공격자는 보안이 취약한 LLM 재판매 게이트웨이를 찾아 일반적인 웹 취약점과 계정 파밍을 통해 API 접근 권한을 획득했습니다. 이후 확보한 추론 용량을 검증한 뒤 이를 공격자 본인의 단일 게이트웨이 뒤에 통합했습니다.
러시아 연계 해커 그룹 UAC-0099가 악성 스크립트 주석에 안전에 민감한 요청을 삽입해 AI 악성코드 분석을 방해하는 'GuardBreaker' 프롬프트 인젝션 기법을 사용한 것으로 나타났습니다. 우크라이나를 겨냥한 공격에서 MATCHBOIL 로더를 설치하는 VBScript에 핵무기 제조 관련 내용을 주석으로 넣어 AI 모델의 안전 가드레일을 작동시키는 방식이 발견되었습니다. AI 스캐너가 안전 정책 위반으로 분석을 중단하면 위험한 샘플을 정상 파일로 오인할 수 있어 분석 공백이 발생할 위험이 있습니다.
Nozomi Networks 분석가들이 취약한 IoT 기기를 디도스(DDoS) 공격 노드로 전환하는 신종 악성코드 'KATARU'를 발견했다. 이 악성코드는 텔넷(Telnet) 무차별 대입 공격으로 침투한 뒤 Mirai 스타일의 디도스 공격 기능과 함께 리눅스 권한 상승 취약점 악용 시도를 수행한다. 또한 systemd 서비스, cron 작업, OpenWrt 훅 등 다양한 방식을 통해 리눅스, 라우터, 안드로이드 환경에서 지속성을 유지하도록 설계되었다.
보안 기업 Huntress에 따르면, 공격자들은 AI 기업이나 모델 자체를 직접 공격하기보다 Claude Artifacts, 공개 공유 링크, ChatGPT 및 Grok 대화 등 신뢰받는 AI 기능들을 악용해 악성코드를 유포하고 있습니다. 사용자들은 공식 도메인과 브랜딩을 신뢰하기 때문에 이러한 악성 콘텐츠를 정상적인 것으로 오인하기 쉽습니다. 일례로 지난 7월 발생한 FakeAgent 캠페인에서는 claude.ai에 호스팅된 악성 Claude Artifact로 가짜 데스크톱 앱 다운로드 페이지를 만들어 29개 이상의 조직을 공격했습니다.
8월 3일부터 5일 사이 공격자들이 기업의 CEO, CFO 등 고위 임원을 사칭해 100만 건 이상의 사기성 이메일을 발송하는 대규모 비즈니스 이메일 침해(BEC) 캠페인이 발생했습니다. 이메일은 악성 첨부파일이나 취약점 대신 ServiceNow 브랜딩을 모방한 가짜 청구서를 포함하여 재무 담당자가 약 5만 달러 규모의 ACH 송금을 승인하도록 유도했습니다. 마이크로소프트 분석에 따르면 템플릿 개발에 AI가 사용된 징후가 발견되었으며, 수신자의 약 87.7%는 미국에 집중되어 있었습니다.
기업용 네트워크 솔루션 오마다와 영상 보안 솔루션 비지가 광주에서 지역 보안·네트워크 실무진을 대상으로 '라이브 워크숍'을 개최했다. 이번 행사에서는 하반기 제품 로드맵과 함께 신제품 '퓨전 2.5G', '오마다 디자인 허브 2.0', AI 기반 영상 보안 카메라 '비지 인사이트 LPR345Z' 등이 소개됐다. 오마다는 대전과 대구, 광주에 이어 오는 12월 강릉에서 올해 마지막 라이브 워크숍을 진행할 예정이다.