발행 글 (6410)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

AWS는 Amazon GuardDuty 런타임 모니터링(Runtime Monitoring)이 AWS Security Hub 위협 분석(Threat Analytics) 플랜에 포함되었다고 발표했습니다. 이 기능은 운영 체제, 네트워크 및 파일 활동을 검사하여 Amazon EC2, Amazon EKS 및 AWS Fargate의 Amazon ECS 환경에서 발생하는 컨테이너 탈출, 권한 에스컬레이션, 크립토마이닝 등의 위협을 탐지합니다. 이번 통합으로 인해 별도의 GuardDuty 요금 대신 Security Hub를 통해 단일 사용 유형으로 청구되며, 기존의 탐지 범위나 보안 에이전트는 재구성할 필요 없이 그대로 유지됩니다.

아파치 소프트웨어 재단(Apache Software Foundation)은 2026년 10월 1일 특정 조건에서 코드 실행, 서버 충돌, 데이터 유출 등을 유발할 수 있는 20개의 보안 취약점을 수정한 아파치 HTTP 서버(Apache HTTP Server) 2.4.69 버전을 출시했습니다. 이 중 5개는 중간(moderate) 등급, 15개는 낮음(low) 등급으로 평가되었으며, 주로 2.4.0부터 2.4.68 버전에 영향을 미칩니다. 대표적인 코드 실행 취약점인 CVE-2026-63292와 CVE-2026-42356은 기본 배포 환경에서는 악용할 수 없으며, 특정 모듈 활성화 및 서버 설정 조건이 충족되어야만 공격이 가능합니다.

라온시큐어는 글로벌디지털혁신네트워크(GDIN)와 공동 주관하여 모바일 신분증 기반의 인공지능(AI) 및 웹3(Web3) 결합 서비스를 발굴하는 '2026 블록체인&AI 해커톤'을 성황리에 마쳤다. 이번 대회에는 총 318개 팀이 참가했으며, 모바일 신분증과 블록체인을 활용한 고령자 복지서비스를 제안한 '파스칼' 팀이 대상을 차지했다. 라온시큐어는 입상팀을 대상으로 투자사들과 함께 최대 10억 원 규모의 창업 지원 기회를 제공하고, 분산신원인증(DID) 기술을 바탕으로 웹3 생태계 확대를 이어갈 계획이다.

구글이 안드로이드용 크롬 154(버전 154.0.8037.126)를 출시했으며, 며칠 내로 구글 플레이를 통해 제공될 예정입니다. 이번 업데이트에는 안정성 및 성능 개선 사항이 포함되어 있습니다. 또한 데스크톱 버전(Windows 및 Mac: 154.0.8037.97/.98, Linux: 153.0.8010.97)과 동일한 보안 수정 사항이 적용되었습니다.

최근 신한은행의 개인정보 유출 사고에 오픈소스 침투테스트 시스템인 'ARTEX AI'가 악용되었을 가능성이 제기되면서, 공개된 보안 도구의 악용에 대한 우려가 커지고 있다. 갬빗시큐리티와 구글 위협 인텔리전스 그룹 등의 조사에 따르면, 스트릭스(Strix), 헤르메스(Hermes), 헥스트라이크AI(HexStrike AI) 등 다수의 AI 기반 오픈소스 보안 도구들이 실제 사이버 공격과 정보 탈취에 전용된 사례가 지속적으로 발견되고 있다. 이에 보안업계는 누구나 접근 가능한 AI 보안 도구가 해킹의 대중화와 자동화를 초래할 수 있다고 경고하며, 오픈소스 생태계 전반에 걸친 안전장치 마련과 대응 정보 공유가 시급하다고 강조했다.

포티넷(Fortinet)은 인증되지 않은 공격자가 특수하게 조작된 HTTP 또는 HTTPS 요청을 통해 시스템에 파일을 쓸 수 있는 심각한 FortiMail 제로데이 취약점(CVE-2026-104286)이 실제 공격에 악용되고 있다고 경고했습니다. 이 취약점은 경로 탐색(CWE-22)과 NULL 바이트의 부적절한 처리(CWE-158) 결함이 결합된 것으로 CVSS 점수 9.8을 기록했습니다. 포티넷은 2026년 10월 1일 보안 권고안(FG-IR-26-175)을 발표했으며, 패치가 배포되기 전까지 IBE 기능 지원을 비활성화하거나 관리 인터페이스에 대한 인터넷 접근을 제한하는 임시 조치를 즉시 적용할 것을 고객들에게 권장했습니다.

국내 위성 전문기업 쎄트렉아이가 국가핵심기술 유출 및 방산기술 수출 절차 위반 혐의에 대해 경찰로부터 '혐의없음' 불송치 결정을 받았다. 경찰은 쎄트렉아이가 수출 관련 법령을 준수하려는 태도를 보였으며 산업기술보호법과 방위산업기술보호법상 피의사실을 인정할 증거가 없다고 판단해 수사를 종결했다. 쎄트렉아이는 이번 결정으로 기술 유출 의혹을 벗었으며, 향후 초고해상도 지구관측위성 '스페이스아이-티'를 중심으로 글로벌 시장 공략을 이어갈 계획이다.

툴스 포 휴머니티(TFH)의 트레버 트레이나 CBO는 홍채 기반 '월드ID'가 기존 캡차와 KYC의 한계를 극복하고 AI 시대의 진정한 인간 증명 기술이 될 것이라고 강조했다. 월드ID는 익명으로 홍채 패턴을 등록해 고유 ID를 발급하며, 기업의 개인정보 보관 부담을 줄이면서도 봇 트래픽과 딥페이크 등에 대응할 수 있는 '3단계 인증'을 제공한다. 현재 줌, 도큐사인, 옥타 등과 협력하여 생태계를 확장하고 있으며, 한국을 포함한 주요 국가 시장 공략에 집중하고 있다.

위메이드플레이가 정보보안 국제표준인 ISO27001 심사를 완료하며 7년 연속 인증을 유지했다. 이번 심사에서는 지난해 말부터 도입한 제로 트러스트 기반의 보안 정책과 솔루션 운영 체계가 함께 검증되었다. 앞서 4월 국내 정보보호 관리체계(ISMS) 인증도 완료한 위메이드플레이는 하반기 중 개인정보 보호 강화를 위한 보안 정책 확대를 추진할 계획이다.

퓨쳐시스템 김성현 상무는 1일 열린 제19회 CPS 보안 워크숍에서 생성형 AI 확산에 따른 조직의 정보보호 대응체계 구축 전략을 발표했다. 그는 공격자들이 이미 AI를 활용해 공격 속도를 높이고 있는 상황에서, 기업 내부의 통제되지 않는 '섀도 AI'로 인한 기밀 유출 위험을 경고하며 기술적 통제의 필요성을 강조했다. 이에 따라 AI 보안을 거버넌스, 데이터, 모델·프롬프트, 이용자·에이전트 등 4개 영역으로 나누어 접근하고, 중요 제어 작업에는 사람의 최종 승인을 거치는 구조를 적용해야 한다고 제언했다.

모바일 포렌식 업체 마그넷 포렌식스가 아이폰의 자동 재부팅 이후에도 데이터 접근에 유리한 상태를 유지하는 '그레이키 프리저브'와 '증거 보존 모드'를 소개했다. 이 기능들은 애플이 iOS 18.1부터 적용한 자동 재시동 보안 기능을 우회하여 기기의 최초 잠금 해제 이후(AFU) 상태를 보존하는 데 초점을 맞춘다. 또한 외부 통신을 차단하고 최근 삭제된 사진이나 아이메시지 등의 데이터를 보존할 수 있다고 주장하지만, 최신 기기에서의 실제 작동 여부는 확인되지 않았다.

텍사스 인스트루먼트(TI)는 오픈소스 실시간 운영체제인 '제퍼 프로젝트'의 지원 범위를 자사 임베디드 제품군 전반으로 확대한다고 2일 밝혔습니다. 이를 통해 개발자들은 단일 개발 환경을 활용하여 코드 재작성 부담을 줄이고, 유럽연합(EU)의 사이버복원력법(CRA)을 준수하는 시스템을 구축할 수 있습니다. 또한 TI는 취약점 대응을 위해 리눅스 재단의 장기 지원 체계를 바탕으로 제퍼 기반 소프트웨어 개발 키트(SDK)를 정기적으로 업데이트할 예정입니다.