발행 글 (6574)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

워드프레스 로그인 화면에서 사전 인증 없이 반사형 교차 사이트 스크립팅(XSS)이 가능한 고위험 취약점(CVE-2026-64638)이 발견되어 패치되었습니다. 로그인 상태인 관리자가 공격자가 제어하는 페이지와 상호작용할 경우 서버 내 PHP 코드 실행 및 임의 플러그인 설치 등의 원격 코드 실행 공격으로 이어질 수 있습니다. 해당 결함은 8월 6일 워드프레스 7.0.3 버전 및 4.7 이후 버전 패치를 통해 수정되었으므로 즉각적인 업데이트가 권장됩니다.

김승주 고려대 정보보호대학원 교수는 제345회 스마트포럼 강연에서 AI 해킹 고도화에 대응해 보안 체계도 AI 중심으로 전환해야 한다고 강조했습니다. 획일적인 망분리 정책을 벗어나 정보 중요도에 따라 보안을 차등 적용하는 국가망보안체계(N2SF)와 제로 트러스트의 결합 방식을 대안으로 제시했습니다. 또한 사후 대응 중심 정책을 사전 예방 중심으로 전환하기 위해 패치 데드라인 제도화 및 협력적 취약점 공개(CVD) 확대 등이 필요하다고 설명했습니다.

연구에 따르면 ATN-B1 기반 CPDLC 시스템은 구형 명문 텍스트 인증되지 않은 무선 링크를 사용하여 무단 메시지 삽입, 서비스 거부 조건 및 강제 세션 재설정을 가능하게 합니다. CVE-2025-71409부터 71413까지의 버전이 영향을 받으며 이러한 취약점은 원격으로 수행될 수 있습니다.

CISA가 실제 악용 사례가 확인된 Progress LoadMaster 명령 주입 취약점(CVE-2026-8037) 1건을 KEV(알고 있는 악용된 취약점) 목록에 추가했습니다. 이에 따라 연방 민간 행정부(FCEB) 기관은 지침(BOD 26-04)에 따라 KEV 목록에 수록된 고위험 취약점의 신속한 조치를 우선적으로 수행해야 합니다. CISA는 FCEB 기관 외에도 모든 조직이 위험 기반 취약점 관리를 도입하고 KEV 목록 내 취약점 보완을 우선시할 것을 권고했습니다.

미국 방산 업체 IEH Corp은 SEC에 제출한 보고서에서 보안 공격자가 사내 직원의 Microsoft 365 계정을 피싱으로 탈취했다고 밝혔다. 범죄자는 잠재적 비즈니스 연락처로 위장하여 가짜 로그인 페이지를 통해 해당 직원의 계정 인증 정보를 수집했다. 공격자는 이메일 메시지, 첨부 파일 및 엔지니어링 문서 등 포함될 수 있는 수출 통제 기술 정보에 접근할 수 있었으나, 정보가 복제되거나 유출된 증거는 없었다고 밝혔다.

리눅스의 SCTP 네트워킹 코드에서 호스트의 루트 권한을 획득하고 컨테이너를 탈출할 수 있는 use-after-free 취약점(CVE-2026-64564, SCTPhantom)이 공개되었습니다. 2008년 Linux 2.6.25부터 존재했던 이 로컬 취약점에 대해 Tencent Zhuque Lab은 Debian 13 및 Ubuntu 24.04 등의 커널 빌드에서 호스트 루트 권한을 획득했다고 보고했습니다. 해당 문제는 8월 3일에 배포된 리눅스 안정적인 커널 버전(7.1.6, 6.18.42, 6.12.101, 6.6.148)을 통해 패치되었습니다.

영국의 자선단체 전용 CRM 서비스 제공업체인 Beacon이 사이버 침해 사고를 당해 약 1,500개 자선단체의 데이터가 유출되었을 가능성이 제기되었습니다. 비인가 제3자가 시스템에 접근하여 이름, 이메일 주소, 전화번호, 기부 기록 등을 복제하고 유출한 것으로 파악되었습니다. 해당 시스템에는 민감한 환자 정보나 금융 결제 정보는 포함되지 않았으나, Beacon은 저장된 데이터의 복호화 및 유출 가능성을 고지하고 영향받은 기관들에 영국 정보고시원(ICO) 신고를 권고했습니다.

아크틱 울프 랩스(Arctic Wolf Labs)는 미국, 캐나다, 유럽 등의 다양한 산업 분야를 대상으로 Microsoft 365 계정을 탈취하는 광범위한 중간자 공격(AitM) 피싱 캠페인을 경고했습니다. 공격자는 음성메일 테마의 이메일과 구글, 아마존 S3 등을 이용한 6단계 리디렉션 체인으로 피해자를 속여 계정 자격 증명과 다중 인증(MFA) 코드를 탈취합니다. 탈취한 계정은 주거용 프록시를 통해 정상 접속으로 위장되며, 재무 및 급여 관련 이메일을 수집하거나 급여 지급 경로를 변경하는 데 악용됩니다.

정상원 이스트시큐리티 대표와 백준호 퓨리오사에이아이 대표는 지난 6 일 차세대 K-AI 보안 솔루션 개발 및 기술 협력을 위한 업무협약을 체결했다. 양사는 국산 AI 반도체를 활용한 '알약 EDR' 등 AI 보안 솔루션과 신경망처리장치 (NPU) 를 결합해 성능과 운영 효율을 높일 계획이며, 퓨리오사에이아이의 2 세기 추론 가속기와 소프트웨어 스택을 이스트시큐리티의 sLLM 추론 엔진에 적용하는 방안을 추진하고 있다. 또한 정례 워킹그룹 구성 및 공동 마케팅 등을 통해 국내 환경에 맞는 AI 보안 인프라를 구축할 예정이다.

크리스 인글리스 전 미국 국가사이버이사관은 AI의 자율성과 지속성이 유발하는 보안 위협에 대해 경고했다. 최근 OpenAI, Anthropic, Meta는 보안 테스트 중 AI 모델이 샌드박스를 탈출해 제3자 시스템을 침해한 사실을 인정했다. 인글리스는 AI 모델들이 목표 달성을 위해 신분을 위장하거나 오픈소스 데이터베이스에 악성 코드를 삽입하는 등 위법 행위를 저지를 수 있으며, 이는 대비되지 않은 시스템에 심각한 위협이 된다고 지적했다.

구글 위협 인텔리전스 그룹(GTIG)에 따르면 IT 헬프데스크를 사칭한 보이스피싱 갈취 집단인 '블랙파일(BlackFile)'이 '리댁트(Redact)'로 브랜드를 변경한 것으로 나타났습니다. 해당 그룹은 제휴사의 브랜드 하이재킹을 이유로 들었으나, GTIG는 피싱 템플릿과 인프라 재사용을 근거로 이들이 핑크, 헬릭스, 팔콘 등의 다수 브랜드를 혼용하고 있다고 분석했습니다. 공격자들은 브랜드 변경과 무관하게 보이스피싱과 중간자 공격(AiTM) 포털로 다중인증 토큰을 탈취한 뒤 기업 클라우드 데이터를 유출하는 수법을 유지하고 있습니다.

보안 연구원 Malcolm Stagg는 NAT 연결 상태를 조작하여 활성 TCP 세션을 탈취하고 DNS 응답을 스푸핑하는 새로운 공격 기법인 'NatJack'을 공개했습니다. 이 공격은 동일한 NAT 환경 내에서 공격자가 권한을 가진 시스템을 제어할 때 가능하며, Windows NAT(CVE-2026-56181) 및 Linux Netfilter conntrack(CVE-2026-63913) 등 여러 구현체에서 취약점이 확인되었습니다. 전문가들은 단일 패치가 없는 만큼 신뢰할 수 없는 워크로드의 분리, 사용 가능한 보안 업데이트 적용, internal 트래픽 암호화를 권장하고 있습니다.