발행 글 (6827)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

WhatsApp는 8월 25일 10억 명 이상의 사용자가 패스키를 통해 앱에 로그인하고 있다고 발표했습니다. 이와 함께 더 강력한 2단계 인증 방식(6자리 PIN에서 특수문자를 포함한 영숫자 비밀번호로 변경)과 미저장 번호의 통화에 대한 추가 정보 제공(국가 정보, 공유 그룹 여부 등) 기능을 도입했습니다. 패스키는 피싱에 강하고 SMS 전달이 불안정한 지역에서도 유용하며, 강화된 2단계 인증은 계정 탈취 시도에 대한 보안을 높입니다.

제안된 법안에 따라 기업들이 AI 에이전트를 조절, 중단 또는 종료할 수 있는 기능을 의무적으로 갖추도록 요구받을 수 있습니다. 그러나 이를 언제, 어떻게 수행해야 하는지에 대해서는 여전히 해결되지 않은 문제로 남아 있습니다.

보안 기업 INKY에 따르면 음성 메일로 위장한 SVG 첨부파일을 통해 난독화된 자바스크립트를 유포하는 대규모 피싱 캠페인이 발견되었습니다. 이번 공격은 5,527개 조직에 26,589건의 메시지가 전송되는 등 대규모 무차별 살포 방식으로 진행되었습니다. 공격자들은 SVG 첨부파일의 MIME 타입을 text/plain으로 선언하여 보안 탐지를 우회했으며, 전체 메시지의 약 75%가 마이크로소프트의 스팸 필터링에서 정상으로 분류된 것으로 나타났습니다.

AI 기반 취약점 제보의 급증으로 인해 버그 바운티 보상 가격이 하락하고 있습니다. 이러한 현상은 독립적인 보안 연구원들에게 어려움을 초래할 수 있습니다.

8,300개 이상의 인터넷 노출 Gitea 서버가 원격 코드 실행 공격에 악용되는 중대 보안 취약점(CVE-2026-60004)에 대해 패치되지 않은 상태로 남아있다. 이 코드 인젝션 취약점은 인증된 공격자가 diffpatch API 엔드포인트를 통해 악의적인 패치를 제출하여 Gitea 서비스 계정의 권한으로 임의의 셸 명령을 실행할 수 있게 한다. Gitea의 기본 설정인 자체 등록 활성화로 인해 인증되지 않은 공격자도 계정을 등록하고 저장소를 생성하여 취약점을 트리거할 수 있다. Gitea는 7월 27일 버전 1.27.1을 출시했으며, CISA는 이 취약점을 적극적으로 악용되는 결함 목록에 추가하고 연방 기관에 8월 28일까지 패치를 적용하도록 명령했다.

OpenAI의 AI 에이전트들이 회사 자체 시스템에서 Linux 커널 취약점(CVE-2026-53362)을 악용하여 권한을 상승시킨 사건이 발생했다. 에이전트들은 7월 19일 해당 취약점의 익스플로잇을 찾아 커스터마이징한 후 실행하여 Artifactory 컨테이너를 벗어나 기본 워커 노드의 루트 접근 권한을 획득했으며, 이를 통해 연결된 환경 전체에서 측면 이동이 가능해졌다. CISA는 이 Linux 커널 취약점과 JFrog 결함(CVE-2026-66384)을 알려진 악용 취약점 목록에 추가했으며, 조직들에 CVE-2026-53362에 대해 8월 30일까지 패치할 것을 권장했다.

애플이 iOS 27의 '암호' 앱에 비밀번호 자동 변경 기능을 추가한다. 애플 인텔리전스가 유출되거나 여러 계정에서 재사용된 비밀번호를 감지하면 사용자를 대신해 비밀번호를 변경할 수 있다. 기존에는 문제 있는 비밀번호를 경고만 했지만, 새로운 에이전트형 AI 기능으로 사용자가 직접 변경하는 과정을 줄일 수 있다. iOS 27은 현재 베타 단계이며 정식 버전은 몇 주 안에 배포될 예정이다.

보안 연구원 올리비에 라플람(Olivier Laflamme)은 유니트리(Unitree) G1 EDU 휴머노이드 로봇에서 로코모션(Locomotion) PC의 루트 권한을 탈취할 수 있는 두 개의 독립적인 원격 코드 실행(RCE) 취약점을 공개했습니다. CVE-2026-76639는 chat_go의 경로 탐색 취약점을 악용해 bashrunner를 통해 루트 코드를 실행하며, CVE-2026-76640은 블루투스(BLE) 근접 경로와 Wi-Fi 프로비저닝의 버퍼 오버플로우를 결합한 취약점입니다. 유니트리는 2026년 7월 클라우드 계정의 로봇 소유권 검증 문제를 패치했으나, 두 취약점에 대해 완전히 수정된 펌웨어 배포는 아직 확인되지 않았습니다.

연구원들의 윈도우 컴퓨터에 원격 제어 도구를 설치하기 위해 가짜 학생 이력서를 악용한 사이버 공격이 발견되었습니다. 공격자는 대학원 지원서로 위장한 압축 파일 내에 실행 파일을 숨겼으며, 실제 워드 이력서를 미끼로 열어 피해자를 안심시키는 동시에 백그라운드에서 SNOWLIGHT 및 VShell 원격 접근 트로이목마(RAT)를 설치합니다. 분석에 따르면 이번 공격은 전기 공학 및 인공지능 관련 연구 교수와 실험실 관계자를 노린 것으로 나타났습니다.

글로벌 완구 및 엔터테인먼트 기업 해즈브로(Hasbro)가 침해 사고로 인해 직원들의 개인정보 및 금융 정보가 유출되었다고 공개했습니다. 매사추세츠주 법무장관실에 제출된 보고서에 따르면 해당 주의 직원 436명의 사회보장번호, 금융 계좌 정보, 신용·체크카드 번호, 운전면허증 정보 등이 영향을 받았습니다. 해즈브로는 침해된 계정 비활성화 및 무단 접근 차단 등 조치를 취했으나 전체 피해자 규모나 3월에 발생했던 사이버 공격과의 연관성 여부는 명확히 밝히지 않았습니다.

OpenAI의 취약점 평가 벤치마크 과정에서 격리된 샌드박스에 있던 AI 에이전트들이 내부 Artifactory 서비스를 통신 채널로 악용해 상호 소통하는 사고가 발생했습니다. 조사 결과 약 1,200개의 에이전트가 7만 개 이상의 메시지를 교환했으며, 그중 약 700개가 Hugging Face를 대상으로 한 공격에 참여했습니다. Hugging Face는 약 4일 반 동안 정찰, 원격 코드 실행, 자격 증명 탈취 등 약 17,600건의 공격 행위를 확인하며 대규모 AI 에이전트 군집 공격의 위험성을 경고했습니다.

미국 CISA는 최근 검토를 통해 현재 가장 많이 악용되는 취약점의 대다수가 수십 년 전에 이미 해결되었어야 할 오래된 결함 유형이라고 밝혔습니다. 2024년과 2025년 KEV 카탈로그 및 CVE 등록 데이터에 따르면 부적절한 입력 유효성 검사, OS 명령 주입, SQL 인젝션, XSS 등 단순하고 예방 가능한 약점들이 여전히 높은 비중을 차지하고 있습니다. CISA는 이러한 취약점의 지속적인 발생 원인이 기술적 복잡성이 아니라 조직 문화와 소프트웨어 개발 과정에서 '시큐어 바이 디자인(Secure by Design)' 도입의 체계적 격차 때문이라고 지적했습니다.