발행 글 (6606)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

슈나이더 일렉트릭, 지멘스, 아베바 등 산업용 제어시스템(ICS) 제조사들이 2026년 9월 패치 화요일 보안 권고를 발표했다. 슈나이더 일렉트릭은 Modicon M580 컨트롤러의 CVSS 9.2 점수의 심각한 인증 취약점(CVE-2026-3869)을 포함해 새로운 보안 권고 4개를 발표했고, 지멘스는 Reyrolle 7SR5, OIS, Industrial Edge Management 등에서 심각한 수준의 취약점 4개를 포함한 새로운 권고 9개를 발표했다. 아베바는 Pipeline Integrity Monitor의 PIMBoards 컴포넌트에서 하드코딩된 암호화 키와 MD5 해싱 문제 등 4개의 취약점을 공개했다.

비트코인 지갑 업체 Alby는 자체 호스팅형 라이트닝 지갑인 Alby Hub에서 공격자가 지갑을 장악하고 자금을 전송할 수 있는 치명적인 취약점을 경고했습니다. 이번 결함은 인터넷에 노출된 v1.7.0부터 v1.18.5 버전 환경에 영향을 미치며, 현재까지 1명의 사용자가 피해를 입은 것으로 확인되었습니다. v1.19.0 이후 버전에는 해당 결함이 해결되었으며, Alby는 구버전 사용자들에게 외부 접근을 즉시 차단하고 최신 버전(v1.24.0)으로 업데이트한 뒤 잠금 해제 비밀번호를 변경할 것을 권고하고 있습니다.

온라인에 노출된 36,000개 이상의 Plex 미디어 서버가 최근 보안 취약점에 대해 패치되지 않은 상태로 남아 있으며 공격에 취약한 것으로 나타났다.

마이크로소프트가 Windows Remote Desktop Client의 원격 코드 실행 취약점 CVE-2026-69485에 대한 보안 업데이트를 공개했다. 이 취약점은 낮은 권한의 인증된 공격자가 특수하게 조작된 네트워크 요청을 통해 영향받는 서버에서 코드를 실행할 수 있으며, CVSS 3.1 점수는 8.8이다. 초기화되지 않은 리소스 사용으로 인한 것으로, 공격자는 사용자 상호작용 없이 악의적인 요청을 보내 시스템을 제어할 수 있다. Windows Server 2016, 2019, 2022, 2025 및 여러 Windows 10 버전이 영향을 받는다.

Zscaler가 AI 에이전트와 제로트러스트 텔레메트리를 결합한 새로운 보안운영센터(SOC) 솔루션인 'Zscaler Agentic SOC'를 발표했다. 이 솔루션은 AI 기반 공격에 대응하기 위해 머신 속도로 위협을 탐지, 조사, 차단하도록 설계되었으며, Anthropic과 OpenAI 같은 AI 연구 기관과의 협력을 통해 개발되었다. Zscaler의 고유한 텔레메트리, 디코이 메시 네트워크, 전문가 검증 에이전트, 제로트러스트 제어를 통합하여 위협을 조기에 탐지하고 자동화된 격리를 제공한다.

API 키가 공개 저장소에 유출될 때 취소 절차가 복잡하고 시간이 걸리는 문제를 해결하기 위해 ORKS(Open Revocable Key Standard)라는 개방형 표준이 제안되었다. 이 표준은 API 키에 발급자 정보를 포함시키고, 발급자가 /.well-known/api-key-config에서 취소 엔드포인트를 제공하도록 하여, 스캐너가 유출된 키를 자동으로 감지하고 취소할 수 있게 한다. OAuth의 RFC 7009 토큰 취소 표준과 GitHub의 Secret Scanning 프로그램에서 영감을 받았으며, 현재 GitHub에 초안 사양이 공개되어 있다.

바라쿠다는 피해자의 브라우저 내에서 blob URL을 생성해 피싱 페이지를 직접 렌더링하는 새로운 형태의 피싱 캠페인을 분석했습니다. 이 공격은 DocuSign 테마의 이메일과 마이크로소프트 팀즈 같은 신뢰할 수 있는 리디렉션 과정을 거쳐 브라우저 내에만 존재하는 피싱 페이지를 생성하므로 탐지 스캐너를 우회합니다. 또한 서비스 워커와 iframe, 숨겨진 C2 구성을 통해 중앙에서 제어 및 업데이트되는 관리형 플랫폼 형태로 운영되어 은밀성과 유연성을 높였습니다.

생성형 AI 애플리케이션의 보안 테스트는 단순한 챗봇 검증을 넘어 코드 작성, 데이터 검색, 계약 검토 등 다양한 기능을 수행하므로, 조작된 언어가 보호된 데이터에 접근하거나 무단 업무 작업을 트리거할 수 있는지 확인해야 한다. 효과적인 침투 테스트는 애플리케이션 아키텍처 전체를 매핑하여 프롬프트, 검색 서비스, 벡터 데이터베이스, API 등 각 구성 요소 간의 신뢰 수준 변화 지점을 파악하고, OWASP의 프롬프트 주입 지침에 따라 직접 조작과 외부 콘텐츠의 간접 지시를 구분하여 테스트해야 한다. 테스트 중 에이전트 시스템의 부작용을 방지하기 위해 승인된 테넌트, 테스트 신원, 모델, 비용 한도 등을 명시한 규칙을 수립해야 한다.

Securin이 공격 표면 발견, 취약점 및 위협 인텔리전스, 공격 검증, 조치를 하나의 워크플로우로 통합한 AI 기반의 선제적 노출 관리 플랫폼 'Securin Platform'을 공식 출시했다. 이 플랫폼은 단순한 심각도 점수 대신 실제 공격 위험을 초래하는 노출과 공격 경로를 식별하고 우선순위를 지정해 조치하도록 지원한다. 또한 안전한 공격 검증과 실시간 위협 인텔리전스를 결합해 취약점 조치 후 공격 경로가 실제로 차단되었는지 재검증하는 기능을 제공한다.

구글은 악용이 확인된 제로데이 취약점을 포함해 총 230건의 취약점을 해결한 Chrome 153 버전을 출시했습니다. 악용 사실이 인지된 취약점(CVE-2026-87491)은 V8 자바스크립트 및 WebAssembly 엔진의 OOB(out-of-bounds) 쓰기 문제로, 서울대학교 Compsec Lab의 정지현이 보고했습니다. 이번 업데이트는 2026년 들어 Chrome에서 패치된 일곱 번째 제로데이 취약점 외에도 5건의 심각(critical) 등급 결함과 다수의 고위험·중위험 결함을 함께 해결했습니다.

마이크로소프트가 2026년 9월 패치 화요일을 통해 역대 최다인 974개의 CVE 취약점 패치를 발표했습니다. 이 중 윈도우 관련 취약점이 723개, 오피스가 111개를 차지했으며, 에이전틱 AI 도구를 활용한 제로데이 취약점 발견으로 인해 패치 규모가 급증했습니다. 이번 업데이트에는 119개의 치명적 취약점과 함께 실제로 악용되고 있는 제로데이 취약점 2종(CVE-2026-85880, CVE-2026-81963)에 대한 수정이 포함되었습니다.

에임인텔리전스가 지난 7일 삼성금융캠퍼스에서 국내외 주요 기업과 기관의 책임자들이 참여한 'AI 리스크 컨퍼런스 서울 2026'을 개최했다. 행사에서는 AI 에이전트와 피지컬 AI 등 고도화된 기술로 인한 리스크 관리의 필요성이 강조되었으며, 듀얼 LLM 기술, 금융권 위험 탐지, 자율성 통제 및 권한 설정 등 다양한 보안 방안이 발표되었다. 이어 위험도 기반 취약점 관리, 멀티미디어 영역의 보안 수요, 거버넌스와 데이터 주권 관리 등의 구체적 통제 방안이 다뤄졌다.