마이크로소프트(MS)가 버그 바운티 프로그램을 통해 64개국 562명의 보안 연구원에게 역대 최대 규모인 2,000만 달러 이상의 포상금을 지급했습니다. 이는 전년도 1,700만 달러(344명)보다 크게 늘어난 수치로, 연구원 참여 증가와 보안 연구 내 AI 도구 활용, 라이브 해킹 행사인 'Zero Day Quest' 개최 등이 영향을 미쳤습니다. 연구원들은 Zero Day Quest 행사 기간 동안에만 약 700건의 취약점 보고서를 제출하고 230만 달러의 포상금을 받았습니다.
미국 CISA가 실제 공격에 악용 중인 IBM Langflow(CVE-2026-9198), N-able N-central(CVE-2026-18576), Apache Tomcat(CVE-2026-34486) 취약점 3종을 '확인된 악용 취약점(KEV)' 목록에 추가했습니다. 심각도 9.8의 Langflow 취약점은 인증 없이 원격 코드를 실행할 수 있으며, N-central 취약점은 인증 없이 관리자 계정을 탈취할 수 있습니다. Apache Tomcat 취약점은 불완전한 이전 패치에서 비롯된 것으로, 최근 중국어권 위협 연루자가 서버에 리버스 쉘을 설치하려 시도한 정황이 확인되었습니다.
사이버보안 연구진이 지하 사이버범죄 포럼 등에서 인공지능(AI) 모델에 대한 불법 접근을 제공하는 다수의 서비스를 발견했습니다. 대표적인 서비스인 'Poison Claude'는 AWS의 무료 크레딧을 악용하여 Anthropic 모델 접근 권한을 공식 가격의 5~15% 수준으로 판매해 왔습니다. 설정 오류로 인해 총 사용자 수가 881명으로 노출되기도 했던 이러한 서비스들은 이용 시 모델 제공업체가 사기 계정의 접근을 차단하는 등의 위험이 존재합니다.
Open VSX 레지스트리에서 실제 개발자 도구를 사칭하는 77개의 가짜 확장 프로그램이 발견되었으며, 이 중 약 4분의 1은 조직의 Git 및 지속적 통합(CI) 식별 데이터를 수집한 것으로 나타났습니다. 19개 확장 프로그램은 호스트 이름, OS 사용자 이름, 저장소 정보뿐만 아니라 GitHub 및 GitLab 등 CI 프로젝트 관련 데이터까지 전송했습니다. 또한 확장 프로그램 설명에 명시된 고지 사항과 달리 실제 코드에서는 수집하지 않는다고 명시한 CI 데이터 값까지 전송된 것으로 조사되었습니다.
비트코인 암호 체계 자체보다는 지갑, 펌웨어, 시드 생성 및 복구 절차 등 수탁 구조 전반의 보안 취약점이 주요 위험 요소로 지적되고 있습니다. 코인카이트의 시드 난수 생성 오류, 레저 커넥트 키트 악성코드 배포, 서명 내 시드를 숨기는 '다크 스키피' 기법 등 하드웨어·소프트웨어 취약점 사례들이 다양하게 확인되었습니다. 나아가 AI가 취약점을 찾아내고 연결하는 속도가 빨라지면서 지갑 소프트웨어 및 콜드스토리지 운영 절차에 대한 재점검 필요성이 커지고 있습니다.
.webp)
Pulse Security AI가 80명 이상의 선임 실무자를 대상으로 조사한 보고서에 따르면, 보안 리더 중 발표 후 이사회가 보안 프로그램의 실제 상태를 정확히 이해했다고 매우 확신하는 비율은 12.5%에 불과한 것으로 나타났습니다. 또한 이사회의 55%는 회사가 수용할 사이버 리스크 허용범위를 공식적으로 정의하지 않은 상태이며, 보안 리더의 71%는 이사회 발표 준비에 매 분기 10시간 이상을 소모하고 있습니다.
Paperclip 의 두 보안 취약점(CVE-2026-41679 및 GHSA-x8hx-rhr2-9rf7)은 악성 에이전트 임포트와 실행을 통해 네트워크 서버나 개발자 컴퓨터에서 명령어를 실행할 수 있게 합니다. CVE-2026-41679 는 인증 모드로 운영되는 네트워크 접근 가능한 배포에 대해 사전 계정이나 피해자와의 상호작용 없이 공격이 가능하지만, GHSA-x8hx-rhr2-9rf7 은 Paperclip 이 기본 local_trusted 모드에서 실행될 때 사용자가 악성 페이지를 열어야 합니다. Oasis Security 는 에이전트 구성을 실행 가능한 입력으로 취급해야 한다고 강조하며, Rapid7 은 해당 취약점을 위한 Metasploit 모듈을 배포했습니다.
AWS IAM Identity Center 는 새로운 조직 인스턴스 생성 시 AWS 계정 접근 관리 옵션을 활성화할 수 있게 했습니다. 이 기능은 기존 인스턴스는 영향을 주지 않으며, 서비스 링크드 역할 프로비저닝이 선택되지 않을 경우 환경의 접근 표면적을 줄입니다.
Black Hat USA 2026 행사에서 주요 보안 기업들이 신제품 및 확장 기능을 공개했습니다. BlackCloak은 딥페이크 및 사칭 보호 기능을 임원뿐만 아니라 가족과 변호사 등 신뢰 그룹으로 확장했으며, Stairwell은 악성코드 변종 및 영향 시스템을 추적하는 'Backstory' 플랫폼을 출시했습니다. Jscrambler는 브라우저 내 애플리케이션과 데이터를 보호하는 통합 클라이언트 측 보안 플랫폼을 선보였고, Novee는 AI 침투 테스트 플랫폼 적용 대상을 모바일 앱으로 확대했습니다.
구글 블로거(Blogger)의 자동화 시스템 오분류로 인해 악성코드를 유포하지 않은 합법적인 블로그 수백 개가 '악성코드 및 유사한 악성 콘텐츠' 정책 위반으로 잠기거나 삭제되는 현상이 발생했습니다. 지난 8월 4일부터 시작된 이 문제로 영향받은 운영자들은 블로그 관리 대시보드 접근이 차단되었으며, 3개월 내에 이의 신청을 하지 않으면 영구 삭제될 수 있다는 경고를 받았습니다. 일부 사용자들은 이의 신청을 거쳐 블로그가 복구되고 있으나, 일부는 복구 후 다시 삭제되는 등 문제가 지속되고 있습니다.
.webp)
싱가포르의 블록체인 인텔리전스 기업 웁살라 시큐리티(Uppsala Security)가 블록체인 인텔리전스 기업 최초로 사이버 위협 연합(CTA)에 제휴 회원으로 가입했다. 웁살라 시큐리티는 악성 지갑 활동, 의심스러운 거래 패턴, 불법 자금 이동 등의 온체인 위협 인텔리전스를 CTA에 공유할 예정이다. 이를 전통적인 사이버 위협 지표와 결합함으로써 수사관과 보안 팀이 침해 사고 전반을 더 명확히 이해하고 효과적으로 대응하는 데 기여할 것으로 기대된다.
피싱 서비스(PaaS) 플랫폼인 'Greatness'가 다중 인증(MFA)을 우회하고 Microsoft 365 계정 접근 권한을 탈취하는 데 사용되고 있습니다. 이 캠페인은 RingCentral 음성메일 및 성과 평가 위장 이메일을 활용했으며, 이메일 인증(SPF, DKIM, DMARC) 실패에도 불구하고 도메인 기반 안전한 발신자 예외 설정으로 인해 보안을 우회했습니다. ZeroBEC 분석에 따르면 Greatness는 피해자와 Microsoft 365 간의 실시간 로그인 릴레이를 통해 생성된 인증 토큰을 수집하여 계정을 침해합니다.