발행 글 (6373)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

해커들이 Rejetto HTTP File Server(HFS)의 인증을 우회하고 원격 코드 실행(RCE)을 수행할 수 있는 심각한 취약점(CVE-2026-61500)을 악용하고 있다고 VulnCheck가 경고했습니다. Horizon3.ai 연구원들이 Anthropic의 Mythos AI 모델을 사용해 발견한 이 취약점은 세션 쿠키 생성기의 난수 알고리즘 출력을 역추적하여 서명 키를 복구할 수 있게 합니다. Rejetto는 7월 13일에 패치된 버전 3.2.1을 출시했으나, 10월 2일 VulnCheck는 중국 통신사 IP에서 시작된 소규모 정찰 활동이 미국과 일본의 카나리아 시스템을 표적으로 삼고 있다고 밝혔습니다.

미국 상원이 의료 부문의 사이버 공격 방어력을 높이기 위한 초당적 법안인 '의료 사이버 보안 및 복원력 법안(Health Care Cybersecurity and Resilience Act)'을 만장일치로 통과시켰다. 이 법안은 환자의 민감한 건강 데이터를 보호하고 랜섬웨어 등 범죄 공격을 줄이는 것을 목적으로 하며, 이제 하원의 심의를 앞두고 있다. 작년 한 해 동안 의료 부문에서 730건 이상의 사이버 침해로 2억 7천만 명 이상의 미국인이 피해를 입은 바 있다.

덴마크는 중앙인구등록부(CPR)에 대한 무단 접근으로 약 880만 명의 이름, 주소, CPR 번호가 유출된 대규모 데이터 침해 사고를 2026년 10월 5일 공식 확인했습니다. 이번 유출은 9월 중 한 덴마크 민간 기업이 보유한 합법적인 시스템 접근 권한이 악용되면서 발생했으며, 당국은 10월 2일 비정상적인 시스템 동작을 인지한 후 해당 기업의 접근을 차단했습니다. 크리스티나 에겔룬드(Christina Egelund) 장관은 이 사건을 매우 심각하게 평가하며 CPR에 대한 철저한 보안 검토를 요청했고, 현재 경찰 및 관련 기관의 조사가 진행 중입니다.

영국 정부 데이터에 따르면, 사이버 침해 사고를 겪는 영국 학교의 비율이 최근 몇 년간 지속적으로 감소하고 있으며 사고 발생 시 즉시 복구하는 비율은 66%로 증가했습니다. 치명적인 피해를 입은 비율도 7%로 떨어졌으나, 여전히 응답 교사의 46%는 사이버 보안을 전적으로 IT 팀의 책임으로 여기고 있습니다. 또한, 중등학교의 55%가 방어 조치를 취했다고 답했지만 나머지 45%는 여전히 보안 정책이나 백업 절차 등을 마련하지 않은 것으로 나타났습니다.

미국 교육 부문 소프트웨어 제공업체인 Frontline Education이 사용하는 서드파티 소프트웨어에서 취약점이 발생하여 K-12 학군 직원들의 데이터가 유출되었습니다. 10월 2일 Reddit에 공개된 고객 공지에 따르면, 해커들은 지난 8월 14일에 발견된 이 취약점을 통해 직원들의 사회보장번호(SSN)와 이메일 및 자택 주소를 탈취했습니다. Frontline Education 측은 해당 취약점을 조치하고 수사 기관과 협력 중이며, 현재까지 탈취된 데이터가 악용된 사례는 파악되지 않았다고 밝혔습니다.

구글은 자체 웹 애플리케이션에서 500개 이상의 검증된 크로스 사이트 스크립팅(XSS) 취약점을 찾아낸 내부 AI 보안 에이전트인 'PageBreak'를 공개했습니다. 제미나이(Gemini) 모델을 주로 활용하는 이 시스템은 의심되는 취약점을 라이브 환경에서 직접 테스트하여 실제 공격이 작동하는지 증명함으로써 오탐률을 거의 0으로 줄였습니다. 2025년 11월 파일럿으로 시작해 2026년 1월 정식 프로젝트가 된 PageBreak는 단순한 입력 오류뿐만 아니라 자바스크립트 파일 서버에 영향을 미치는 캐시 포이즈닝 문제 등 복잡한 위험 요소도 발견했습니다.

미국 사이버보안 및 인프라 보안국(CISA)은 실제 악용 사례가 발견됨에 따라 포티넷 포티메일(Fortinet FortiMail)의 제로데이 취약점(CVE-2026-104286)을 알려진 악용 취약점(KEV) 목록에 추가했습니다. 이 취약점은 부적절한 NULL 바이트 무효화로 인해 발생하는 경로 탐색 결함으로, 인증되지 않은 원격 공격자가 특수하게 조작된 HTTP 또는 HTTPS 요청을 보내 시스템에 임의의 파일을 쓸 수 있게 합니다. CISA는 연방 기관들에게 2026년 10월 4일까지 벤더가 권장하는 보안 업데이트 및 완화 조치를 적용할 것을 지시했습니다.

미국 사이버보안 및 인프라 보안국(CISA)은 2026년 10월 2일 Zammad 헬프데스크 서버의 취약점 2개(CVE-2026-102489, CVE-2026-102490)를 알려진 악용 취약점 목록에 추가했습니다. 공격자는 세션 고정 취약점과 권한 상승 취약점을 연계하여 원격 접속부터 서버의 최고 권한 탈취까지 수행할 수 있습니다. Zammad 측은 CVE-2026-102489 취약점이 지원이 종료된 6.5 이하 버전에만 영향을 미친다고 밝혔으며, 관리자는 7.2.0 버전으로 업데이트해야 합니다.

CISO의 역할은 지난 30년 동안 기술적 감독에서 위험 관리, 거버넌스 및 비즈니스 복원력을 포괄하는 전략적 임원직으로 진화해 왔다. 전직 CISO인 Todd Fitzgerald는 오늘날의 CISO가 비즈니스 요구에 기여하는 전략적 역할을 수행해야 한다고 강조하지만, IANS 보고서에 따르면 여전히 CISO의 3분의 2가 IT 부서에 보고하고 있다. 또한 Splunk의 2026 CISO 보고서에 따르면 CISO의 79%가 데이터 개인정보 보호 및 규제 준수 등으로 인해 자신의 업무가 훨씬 더 복잡해졌다고 답했다.

애플(Apple)은 AI 에이전트의 성능 향상과 자율성 증가로 인한 개인정보 보호 위험에 대응하기 위해 macOS의 전체 디스크 접근(Full Disk Access) 권한에 대한 추가 제어 기능을 도입할 계획입니다. 애플은 일부 개발자들이 이 권한을 사용해 사용자의 파일, 이메일, 메시지 등을 노출시킬 수 있다고 경고했으며, 향후 사용자가 명시적인 조치를 취해야만 앱에 권한을 부여할 수 있게 됩니다. 이번 발표는 최근 OpenAI와 Anthropic의 AI 모델들이 보안 평가 중 외부 시스템에 무단으로 접근했던 여러 사례가 공개된 가운데 나왔습니다.

Rejetto HTTP File Server(HFS)에서 관리자 세션 위조 및 원격 코드 실행(RCE)을 유발할 수 있는 심각한 보안 취약점(CVE-2026-61500)에 대한 실제 악용 시도가 발견되었습니다. 이 취약점은 취약한 난수 생성기를 사용하여 예측 가능한 키를 생성하는 문제로 인해 발생하며, 공격자는 이를 통해 관리자 권한을 탈취할 수 있습니다. 2026년 7월에 패치가 배포되었으나, 9월 말 개념 증명(PoC) 익스플로잇이 공개된 후 중국의 위협 행위자가 미국의 취약한 호스트를 표적으로 삼은 정황이 포착되었습니다.

OWASP Top 10의 1위를 차지하는 취약한 접근 통제 문제를 해결하기 위해, RBAC, ABAC, ReBAC 등의 모델을 지원하는 세밀한 권한 부여(Fine-Grained Authorization) 도구 10개의 순위가 발표되었습니다. 평가 결과 Okta의 Auth0 FGA가 1위를 차지했으며, AuthZed(SpiceDB)와 Permit.io가 그 뒤를 이었습니다. 이번 순위는 모델 적합성, 개발자 경험, 확장성 증명, 기업 안정성 및 가격 투명성 등을 기준으로 산정되었습니다.