발행 글 (6606)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

새롭게 분석된 리눅스 루트킷이 디스크에 악성 PHP 코드를 남기지 않고 침해된 F5 BIG-IP APM 환경 내부에 웹셸을 은닉하는 데 사용된 것으로 확인되었습니다. 보안 기업 소포스(Sophos)에 따르면 이 악성코드는 미인증 원격 코드 실행 취약점인 CVE-2025-53521의 악용과 연계되어 있으며, 맞춤형 ELF 로딩 및 런타임 코드 패칭을 통해 지속적인 접근 권한을 확보합니다. 특히 아파치의 PHP 로딩 과정을 가로채 디스크 상의 파일은 정상 상태로 둔 채 메모리 내에서만 웹셸이 포함된 코드를 실행함으로써 기존 웹셸 탐지 도구를 우회하는 정교함을 보였습니다.

공격자들이 액티브 디렉터리(AD)의 복제 프로세스를 악용해 도메인 컨트롤러를 사칭하고 기업 네트워크에서 비밀번호 해시를 탈취하는 DCSync 공격을 점점 더 많이 활용하고 있습니다. 이 공격은 도메인 컨트롤러에 직접 악성코드를 배포하거나 메모리에서 자격 증명을 덤프하지 않고도 DRSUAPI 프로토콜을 통해 NTLM 비밀번호 해시 등의 정보를 요청할 수 있습니다. 특히 공격자가 KRBTGT 계정의 해시를 획득할 경우 '골든 티켓'을 생성해 권한을 위조하고 장기적인 침투 상태를 유지할 수 있어 큰 위협이 됩니다.

미국 CISA는 실제 공격에 악용 중인 사실이 확인된 Fortinet의 힙 기반 버퍼 오버플로우 취약점(CVE-2025-25249)을 악용된 취약점(KEV) 목록에 추가했습니다. 이 취약점은 FortiOS, FortiSwitchManager, FortiSASE에 영향을 미치며, 공격자가 조작된 패킷을 전송해 권한 없는 코드나 명령을 실행할 수 있게 합니다. CISA는 연방 민간 기관에 완화 조치를 적용하도록 요구하는 한편, 침해 여부를 조사하기 위한 포렌식 선별 작업을 수행할 것을 권고했습니다.

미국 의료 장비 기업 AdaptHealth가 지난 6월 발생한 해킹으로 410만 명 이상의 개인, 건강 및 보험 정보가 유출되는 침해사고를 겪었습니다. 공격자는 외주 업체의 사용자 세션을 사회공학적 기법으로 탈취하여 환자 관리 및 문서 저장 내부 시스템에 접근했으며, 보험 청구 관련 비밀번호 파일도 유출되었습니다. 한편 또 다른 의료 기업인 Baylor Genetics도 6월 해킹 피해를 입어 280만 명 이상의 건강 및 금융 정보, 사회보장번호 등이 도난당했다고 보건복지부(HHS)에 보고했습니다.

팔로알토 네트웍스가 자사 PA 시리즈 하드웨어 방화벽 등에서 루트 권한으로 임의 코드를 실행할 수 있는 고위험 PAN-OS 취약점(CVE-2026-0310)을 공개했다. 이번 결함은 XML 처리 과정에서 발생하는 버퍼 오버플로우(CWE-787) 문제로, 인증되지 않은 원격 공격자가 특수 제작된 XML 데이터를 전송해 시스템 전체 제어권을 장악할 수 있다. VM-Series 방화벽의 경우 서비스 거부(DoS) 상태로 제한되는 등 제품군별로 영향이 다르며, 임시 해결책이 없으므로 해당 버전의 보안 패치를 즉시 적용해야 한다.

구글 크롬이 활발히 악용되고 있는 취약점 1건을 포함해 총 230건의 보안 결함을 해결하는 데스크톱 브라우저 업데이트를 배포했습니다. 적극적으로 악용 중인 CVE-2026-87491은 V8 엔진의 경계 밖 쓰기 취약점으로, 조작된 HTML 페이지를 통해 브라우저 샌드박스 내부에서 임의 코드를 실행할 수 있게 합니다. 이번 업데이트는 해당 취약점 외에도 WebGL에서 발견된 4건을 포함해 '치명적(Critical)' 등급 취약점 5건도 함께 수정했습니다.

보안 취약점에 대한 단순한 소문이나 대략적인 정보만으로도 AI 에이전트를 이용해 공개 패치가 나오기 전에 익스플로잇을 찾아낼 수 있다는 점이 지적되었습니다. 이에 따라 공격자가 새로운 보안 문제를 빠르게 악용할 수 있게 되면서 오픈소스 분야의 보안 대응 방식에 변화가 필요하다는 의견이 제기되었습니다. 사이먼 윌리슨은 이러한 발견 속도가 기존의 오픈소스 엠바고 관행과 맞지 않는 것으로 보인다며 커뮤니티의 안전을 위한 새로운 프로세스가 필요하다고 덧붙였습니다.

미국 CISA는 Cisco, Citrix, Fortinet 제품에 영향을 미치는 취약점 3건을 '알려진 악용 취약점(KEV)' 카탈로그에 추가하고, 연방 민간 행정부 기관에 2026년 9월 12일까지 패치를 적용하도록 요구했습니다. 대상 취약점은 Cisco Secure Firewall Management Center의 인증 우회 취약점(CVE-2026-20079), Citrix NetScaler의 인증 우회 취약점(CVE-2026-19490), Fortinet FortiOS 등의 힙 기반 버퍼 오버플로우 취약점(CVE-2025-25249)입니다. Cisco는 2026년 8월 해당 결함에 대한 악용 시도를 인지했다고 밝혔으며, Citrix 및 Fortinet 취약점 역시 공격 활동 및 악성코드 유포 등에 악용된 정황이 관찰되었습니다.

OpenAI가 취약점을 지속적으로 발견, 검증 및 해결하는 자동화된 에이전트 기반 사이버 보안 운영 체계인 '디펜스 팩토리(Defense Factory)'를 도입했습니다. 공격자가 AI 에이전트를 활용해 복잡한 공격 체인을 형성하고 기계적 속도로 공격을 확장할 수 있게 됨에 따라 기존의 수동적 보안 프로세스로는 대응에 한계가 생기고 있습니다. 이에 대응해 디펜스 팩토리는 AI 에이전트를 기존 개발 및 보안 도구와 연동하고 격리된 임시 환경에서 패치를 테스트함으로써 자산 파악부터 취약점 수정까지 일련의 방어 루프를 수행합니다.

Scytale이 자사의 Vendors 모듈 내에 최신 AI 기반 제3자 위험 관리(TPRM) 기능을 출시했습니다. 이번 기능은 제3자 관련 침해 사고가 급증하는 상황에서 기존의 주기적 검토 방식을 지속적으로 업데이트되는 벤더 위험 인텔리전스 체계로 전환합니다. 이를 통해 SSO 및 연동 시스템을 통한 자동 벤더 탐지, AI 기반 벤더 프로필 보강, 동적 위험 점수 산정 및 지속적인 보안 태세 모니터링을 제공합니다.

워드프레스가 WordPress.org 업데이트 API를 통해 배포되는 모든 플러그인 릴리스를 사전에 검사하는 자동 보안 검토 시스템을 도입했습니다. 지난 6월 5일 도입된 6시간의 쿨다운 기간 동안 여러 AI 모델과 Jetpack Scan이 변경 사항을 분석하여 보안 위험 점수를 산출합니다. 고위험으로 판정된 릴리스는 팀원의 수동 개입 없이 자동으로 배포가 차단되며, 해당 플러그인의 커밋 권한자들에게 결과 설명 이메일이 발송됩니다.

시스코와 미국 CISA는 올해 초 공개된 시스코 Secure Firewall Management Center(FMC)의 치명적인 인증 우회 취약점(CVE-2026-20079)이 실제로 악용되고 있다고 경고했습니다. 공격자는 조작된 HTTP 요청을 보내 악성 스크립트를 실행하고 기본 OS에 대한 루트 권한을 획득할 수 있으며, CISA는 해당 취약점을 KEV 카탈로그에 추가했습니다. 시스코 탈로스에 따르면 러시아 연계 조직 Sandworm을 포함한 여러 위협 행위자 그룹이 이 취약점 등을 악용해 웹셸과 Cyclops Blink 악성코드를 유포하고 있습니다.