기업 이사회가 실제 보안성을 입증할 것을 요구하는 상황에서 CVE 폭증과 CVSS 점수의 유용성 한계로 인해 전통적인 취약점 관리 방식이 한계에 직면하고 있습니다. 연간 발생하는 막대한 취약점으로 인해 미국 NIST의 국가취약점데이터베이스(NVD) 업무가 장기간 지연되었으며, CVSS 점수의 주관성 및 실효성에 대한 문제도 제기되고 있습니다. 이에 따라 단순 패치를 넘어 실제 위협 노출을 지속적으로 관리하는 CTEM(Continuous Threat Exposure Management) 방식이 대안으로 주목받고 있습니다.
해커들이 ScreenConnect 원격 지원 도구를 악용하여 Windows 시스템 간에 웜 같은 악성코드를 전파하고 있습니다. 공격은 사회공학, 피싱, 가짜 기술 지원 상호작용을 통해 시작되며, 피해자가 원격 접근을 허용하거나 설치 프로그램을 실행하면 공격자가 무단 클라이언트를 설치합니다. 감염된 ScreenConnect 클라이언트는 파일 전송 기능을 이용해 연결된 시스템에 4단계 VBS 스크립트 체인을 전달하여 추가 도구 배포, 권한 상승, Windows 보호 약화, 암호화폐 채굴 등을 수행할 수 있습니다. Huntress 연구원들은 8월 말 여러 조직의 중대 사건에서 이 패턴을 발견했으며, 신뢰할 수 있는 관리 도구가 공격자에게 제어되면 배포 채널로 악용될 수 있음을 보여줍니다.
WordPress 플러그인 Elementor Pro의 심각한 취약점(CVE-2026-32475)이 공격에 악용되고 있으며, 웹셸 페이로드를 전달하고 서버에서 임의의 명령을 실행할 수 있다. 이 취약점은 파일 업로드 배열의 검증 오류로 인해 발생하며, 버전 4.2.1 이하에 존재한다. 공격자는 첫 번째 배열 요소를 비워두고 두 번째 요소에 악성 PHP 파일을 제출하여 검증을 우회할 수 있으며, 업로드된 파일은 /wp-content/uploads/elementor/forms/ 디렉토리에 저장되어 원격 명령 실행이 가능하다. 8월 19일 패치 이후 Wordfence는 클라이언트를 대상으로 약 190,000건의 공격 시도를 차단했다.
연구자 Chaotic Eclipse가 Avast 안티바이러스의 권한 상승 제로데이 취약점을 발견했다고 주장하며 PrettyPrague라는 공개 PoC(개념 증명)를 공개했다. 이 취약점은 완전히 패치된 Avast 안티바이러스와 Windows 11 25H2 시스템에서 악용 가능하며, Avast Sandbox 컴포넌트의 결함을 통해 Windows SAM 데이터베이스에 접근하고 NT AUTHORITY\SYSTEM 권한으로 명령 셸을 실행할 수 있다. 연구자는 AVG 및 Norton 등 다른 GenDigital 제품도 영향을 받을 수 있다고 추측했으나 기술적 증거는 제시하지 않았으며, 공개 PoC는 방어자와 악의적 행위자 모두의 테스트 위험을 증가시킨다.
연구진에 따르면 이 사건은 최첨단 AI 에이전트가 공격 타임라인을 대폭 단축하고 대규모 침해를 조율할 수 있음을 보여준다.
해커들이 피싱 이메일에 QR 코드를 삽입하여 로그인 자격증명을 탈취하는 '퀴싱(quishing)' 공격을 사용하고 있다. 이 방법은 위험한 웹 주소를 QR 코드로 숨겨 사용자가 휴대폰으로 스캔하도록 유도하며, 사람들이 의심스러운 링크는 피하지만 QR 코드는 일상적인 단축키로 인식하는 습관을 악용한다. ESET의 보고서에 따르면 2026년 상반기에 QR 코드 피싱이 기록적 수준에 도달했으며, 4월에 최고 볼륨을 기록했고, ESET이 탐지한 피싱 이메일의 약 11%가 QR 코드를 사용했다.
피싱-서비스형(PaaS) 운영 조직인 Outsider Phishing Kit이 ChenLun이라는 위협 행위자에 의해 운영되고 있으며, Group-IB 연구팀이 2025년 12월부터 2026년 5월 사이에 54개 이상의 국가를 대상으로 100,000개 이상의 피싱 페이지를 추적했다. Google의 민사소송(6월 12일)과 FBI의 Operation Ghost Hook(6월 13일)을 통한 조직적 차단 이후에도 700개 이상의 새로운 피싱 페이지가 한 달 내에 식별되었으며, FBI는 핵심 관리자 서버, Shopify 상점, 약 $100,000의 지갑 자금, 수천 개의 도메인을 압수했다. Outsider Phishing Kit은 금융 서비스, 중개업체, 통신사, 우편 서비스, 정부 및 통행료 시스템을 대상으로 하는 267개의 사전 제작된 피싱 템플릿을 포함하고 있으며, SMS와 Telegram 생태계를 통해 배포되었다.
정보 유출 악성코드(인포스틸러) 로그에 기업 계정 정보가 포함되는 사례가 늘어나면서 단순 비밀번호 재설정만으로는 해결하기 어려운 보안 위협이 되고 있습니다. 인포스틸러는 비밀번호 외에도 브라우저 쿠키 등 활성 세션 정보를 탈취하므로 공격자가 MFA 인증 없이도 기업 애플리케이션에 침투할 수 있습니다. Flare Research에 따르면 기업 자격 증명이 포함된 스틸러 로그의 약 46%가 비관리형 또는 개인 기기에서 비롯되며, SaaS 및 클라우드 서비스 관련 노출은 연간 약 29% 증가하고 있습니다.
macOS용 HP Easy Start에서 공격자가 프린터 소프트웨어 설치 워크플로를 방해하고 권한을 상승시킬 수 있는 고위험 취약점 3개가 발견되었습니다. CVE-2026-12554, CVE-2026-12555, CVE-2026-12556으로 추적되는 이 취약점들은 다운로드 메커니즘, 임시 파일 처리, 네트워크 전송 설정에 영향을 미칩니다. 해당 결함은 2.16.7.260722 이전 버전에 영향을 미치며, HP는 문제를 해결한 패치 버전을 출시했습니다.
사이버보안 업계 단체인 CREST가 침투 테스트 서비스에서 인공지능(AI)을 책임감 있게 사용하는 10개 기업에 신규 인증을 부여했습니다. 이 인증은 기존 침투 테스트 인증 표준에 선택형 모듈로 통합되었으며, 유럽, 인도, 미국 등의 기업들이 첫 인증 대상에 포함되었습니다. 이를 통해 일상 업무에 AI를 적극 활용하는 기업들은 독립적인 평가를 거쳐 고객과 규제 기관에 안전하고 책임 있는 AI 거버넌스를 입증할 수 있게 됩니다.
낚시 앱 Fishbrain이 8월 19일 데이터 유출 사고를 당했으며, 공격자들이 사용자의 비밀번호 해시와 솔트를 포함한 개인정보를 탈취했다. 탈취된 데이터에는 이름, 생년월일, 이메일, 전화번호, 사용자명, 국가 정보 등이 포함되어 있으며, 해시와 솔트를 확보한 공격자들은 비밀번호 크래킹을 시도할 수 있다. Fishbrain은 취약점을 패치하고 모든 사용자의 비밀번호를 초기화했으며, 보안 통제를 강화하고 데이터 보안 조치에 대한 광범위한 검토를 진행 중이다.
해커들이 이미지 파일 없이 QR 코드를 이용해 이메일 보안을 우회하고 있다. HTML 테이블이나 텍스트 문자로 QR 패턴을 직접 이메일 본문에 만들어 이미지 스캔 기반의 보안 도구를 회피하는 기법으로, 피해자를 모니터링되는 업무용 컴퓨터에서 모바일 기기로 유도하여 피싱 페이지로 이동시킨다. PhishU Framework 분석가들이 이 기법을 발견했으며, 보안팀은 이미지 부재를 QR 코드가 없다는 증거로 간주하지 말고 전체 메시지를 시각적으로 렌더링하여 검사해야 한다.