발행 글 (6606)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

구글이 실제 공격에 악용되고 있는 Chrome의 V8 엔진 제로데이 취약점(CVE-2026-85046)을 비롯한 총 12건의 보안 결함을 패치하는 업데이트를 배포했습니다. 해당 취약점은 타입 혼동(Type Confusion) 결함으로, 악성 자바스크립트가 포함된 웹페이지를 통해 샌드박스 렌더러 프로세스 내에서 원격 코드 실행으로 이어질 위험이 있습니다. 이는 구글이 올해 들어 패치한 여섯 번째 실제 악용 제로데이 버그이며, 구글은 사용자가 브라우저를 최신 버전으로 업데이트하고 재시작할 것을 권고했습니다.

브로드컴이 VMware Workstation 및 Fusion 제품에서 발생하는 심각 및 높은 위험도의 취약점 2종에 대한 보안 패치를 발표했습니다. 임의 코드 실행으로 이어질 수 있는 정수 오버플로우 취약점(CVE-2026-59346)과 스택 기반 버퍼 오버플로우 취약점(CVE-2026-59347)이 확인되었으며, 두 문제 모두 25H2 및 26H1 버전에 영향을 미치고 26H1u1 버전에서 해결되었습니다. 별도의 우회 대책은 없으며, 브로드컴은 실제 악용 사례에 대한 언급 없이 사용자들에게 가능한 한 신속히 패치 버전을 적용할 것을 권고했습니다.

하드웨어 지갑 제조사 트레저(Trezor)는 물류 파트너사인 쉽몽크(ShipMonk)의 데이터 유출 사고로 인해 약 6만 7천 명의 미국 고객 정보가 추가로 유출되었다고 확인했습니다. 쉽몽크의 메타베이스(Metabase) 분석 플랫폼 내 SQL 인젝션 제로데이 취약점을 통해 발생한 이번 사고로 유출된 총 피해 고객 수는 8만 명을 넘어섰습니다. 유출된 데이터에는 이름, 이메일, 전화번호, 배송지 주소 등이 포함되어 피싱 및 물리적 보안 위협이 우려되며, 트레저 자체 시스템이나 기기는 침해되지 않았습니다.

구글이 이미 악용되고 있는 제로데이를 포함해 총 12건의 취약점을 해결한 크롬 152 보안 업데이트를 배포했습니다. CVE-2026-85046으로 추적되는 해당 고위험 취약점은 V8 자바스크립트 및 웹어셈블리 엔진의 타입 혼동 결함으로, 2026년에 패치된 여섯 번째 크롬 제로데이입니다. 이번 패치에는 원격 코드 실행 등을 유발할 수 있는 다수의 고위험 및 중간 위험도 취약점 해결이 함께 포함되었습니다.

투표용지가 투표된 순서를 복원할 수 있는 투표 시스템 취약점이 AI 도구를 통해 새롭게 악용되었습니다. 작성자는 원본 취약점 공개 후 거의 4년이 지난 시점인 2026년 5월 조지아 예비선거에서 공개된 조기 투표 명부와 투표 기록(CVR) 파일만을 코딩 에이전트에 제공하여 유권자 행동을 분석할 수 있었습니다. 이 과정에서 투표 기계 조작, 네트워크 공격, 비공개 데이터 접근 등은 전혀 사용되지 않았습니다.

멘로시큐리티가 구글 딥마인드의 사이버 보안 협력 체계인 '페어윈드 프로그램'의 공식 파트너사로 참여한다고 밝혔다. 이를 통해 멘로시큐리티는 자율 취약점 탐지와 자동 패치에 특화된 프론티어 보안 모델 '제미나이 3.8 플래시 사이버'의 얼리 액세스 권한을 확보했다. 회사는 해당 모델을 자사 기술에 적용해 웹·브라우저 환경을 보호하고, 인간 및 AI 에이전트 워크포스 통합 보안 역량을 한층 강화할 계획이다.

이스라엘의 한 스타트업 연구팀이 방위산업체, Fortune 500 기업, 빅테크 기업 소속의 6,214개 도메인을 스캔한 결과, 8,265개의 llms.txt 및 llms-full.txt 파일 중 120개가 등록되지 않은 코드 패키지 또는 도메인명을 가리키고 있음을 발견했다. 연구팀이 이러한 미등록 이름들을 등록하고 테스트용 패키지를 호스팅한 결과, 1시간 내에 Fortune 500 기업으로부터 응답을 받았으며, 시간이 지남에 따라 여러 Fortune 500 기업과 스타트업으로부터 추가 응답을 수신했다. 분석 결과 Claude, OpenAI의 Codex, Nous Research의 Hermes를 포함한 AI 코딩 에이전트들이 이러한 악의적 패키지를 설치하고 있었으며, 이는 공급망 공격으로 악용될 수 있는 심각한 보안 위험을 나타낸다.

OpenAI가 GPT-6 Astra를 출시했으며, 이 모델이 자사의 준비 프레임워크에서 사이버보안 위험에 대한 '심각(Critical)' 임계값을 넘었다고 공개했다. 이는 추가적인 배포 제한을 트리거하는 분류이다. Astra는 ExploitBench에서 100% 점수를 기록했으며(전작 GPT-5.6 Sol은 78.5%), ExploitGym에서는 42.4%의 성공률을 달성했다. OpenAI는 테스트 중 새로운 제로데이 취약점 2개를 발견했으며, 이를 관련 소프트웨어 제조업체에 공개했다고 밝혔다.

프랑스 사이버안보국(ANSSI)이 주도하는 G7 사이버보안 실무그룹은 9월 3일 각국 정부와 민간 부문에 양자내성암호(PQC) 전환을 가속화할 것을 촉구했다. G7은 양자컴퓨팅 위협을 먼 미래가 아닌 임박한 문제로 인식하고, 가장 중요한 데이터를 보유한 시스템부터 우선순위를 정해 선제적으로 전환해야 한다고 강조했다. 또한 암호화 자산 식별, 단계별 전환 계획 수립, 표준 교체 주기에 맞춘 PQC 제품 도입 등 5대 우선과제를 제시하며 조기 전환이 전체 비용을 절감할 수 있다고 권고했다.

보안 연구원들은 특정 슈퍼박스(SuperBox) 스트리밍 기기와 앱이 가정용 네트워크를 주거용 프록시 네트워크에 무단 등록해 제3자의 트래픽을 라우팅할 수 있다고 경고했다. 사이버 범죄자들은 이 같은 주거용 프록시를 이용해 정상적인 가정용 IP 주소로 신원을 숨기고 크리덴셜 스터핑 등 불법 행위를 저지를 수 있다. 또한 연구 결과 해당 기기는 노출된 ADB 접근과 인증 없는 루트 권한 등 안드로이드 보안 장치가 약화되어 있어 기기 자체가 악성코드 유포 플랫폼으로 악용될 위험도 있는 것으로 나타났다.

손기욱 한국사이버안보학회장 겸 서울과학기술대학교 교수는 '프라이빗AI 테크 서밋' 기조연설에서 AI 에이전트의 판단이 실제 행동으로 이어지는 특성에 맞춘 보안 제품화 조건과 시장 접근법을 제시했습니다. 손 교수는 메모리와 모델 컨텍스트 프로토콜(MCP) 같은 도구 호출을 핵심 보안 지점으로 꼽으며, 신원·실행환경·사람의 감독 등 전 계층을 아우르는 통제와 판단 과정 기록, 권한 제한이 필수적이라고 강조했습니다. 아울러 AI 에이전트 보안 제품은 단순 방어 실적 외에도 지연 시간, 비용, 업무 활용성 등을 함께 입증해야 시장에서 경쟁력을 가질 수 있다고 설명했습니다.

현대사에서 막대한 자원과 고도로 훈련된 인력이 필요했던 정교한 전쟁의 진입 장벽이 낮아지며 '전쟁의 민주화'가 급속도로 가속화되고 있습니다. 이러한 변화는 사이버 분야를 비롯해 공공 및 민간 부문, 이사회에까지 큰 영향을 미치고 있습니다. 우크라이나 사례와 2023년 모스크바 크렘린궁 드론 공격 등에서 보듯 상용 기술의 발달로 과거에는 상상하기 어려웠던 역량이 소수 개인이나 소규모 세력의 손에 들어가고 있습니다.