발행 글 (21937)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

Rust 보안 대응 팀은 목요일에 proc-macro1이라는 크레이트를 통해 공급망 공격을 공개했습니다. 이 공격에서는 arrayref 등 인기 패키지의 업데이트가 짧은 시간 동안 악성 코드를 포함해 배포되었으며, Cargo 빌드 스크립트를 이용해 개발자 머신에서 특정 OS 및 아키텍처에 맞는 페이로드를 다운로드하고 실행하도록 설계되었습니다.

마이크로소프트가 Windows 11 24H2 및 25H2 시스템에서 RGB 조명 장치가 게임 충돌을 유발할 수 있다고 밝혔다. ARC Raiders, MARVEL Tōkon: Fighting Souls, The Finals 등 특정 게임을 실행하면 'EXCEPTION_ACCESS_VIOLATION' 오류나 재부팅이 발생하며, 이는 inpoutx64.sys 파일과 관련된 드라이버 때문일 가능성이 높다고 설명했다.

사기꾼들은 WhatsApp 그룹을 활용하여 일반 투자자를 무의식적인 구매세력으로 변형시키고, 합법적 증권사를 통해 실제 거래를 유도한 후 가격 하락으로 손실을 떠안는다. Group-IB 연구원은 GoldBull과 CoinLure라는 두 조직화된 사기를 분석하며, 피해자가 스스로 결제나 거래를 승인하도록 조종할 때 방지가 가장 어렵다고 밝혔다.

사이버 범죄 그룹 UAT-10147은 중국어를 사용하는 사이버범죄 단체가 아닌 것으로 확인되었으며, Cisco Talos는 이 조직이 AI 도구를 활용하여 취약한 웹 서버를 표적으로 삼아 대규모 침입을 수행하고 있습니다. 해당 캠페인은 Zimbra, AjaxPro, Nacos 등 공개된 원격 코드 실행 취약점을 공격에 사용했으며, Windows 시스템에서는 BadIIS 모듈 설치와 Dirty Pipe 버그 등을 통해 루트 접근 권한을 획득했습니다.

Adversa AI 연구진은 xAI 에 'Cryptographic Context Injection' 공격 기법을 보고했으나 공개 시도는 거절당했고 Google 은 해당 프로그램에 포함되지 않아 공표할 수 없음을 알렸다. 이 공격은 암호화된 프롬프트를 모델의 코드 실행 샌드박스 내에서 해독하여 안전 필터 우회와 데이터 유출을 가능하게 하며, Gemini 의 경우에도 여전히 잠재적 위험이 존재한다.

사이버보안 뉴스에 따르면, 연구원들은 금융팀을 표적으로 한 비즈니스 이메일 사기 캠페인에서 악성 코드 'Agent Tesla JScript'를 유니코드 이모티콘 뒤에 숨겨 감지를 피하고 있다고 밝혔다. KnowBe4의 연구원은 메트로폴리탄 은행과 트러스트 컴퍼니라는 가짜 발송자를 통해 6.94 MB 크기의 자바스크립트 파일을 첨부한 우편물에서 악성 코드가 실행되고 있음을 추적했다.

예산이 작은 정부 기관은 지원을 필요로 합니다.

해당 설정은 시각적 스타일, 레이아웃, 타이포그래피 및 아이콘과 같은 경험을 조정하지만 기존 관리자 구성을 덮어쓰지 않으며 자동 마이그레이션을 수행하지 않는다.

새로운 AI 보안 제어는 지난달 Hugging Face 사고 이후 도입되었으나, 일부 추가 조치는 본래 더 일찍 적용되어야 할 것으로 보입니다.

Quarkslab 연구진이 Claude Opus 5 가 강화된 바이너리를 해독하지 않고, 오히려 숨겨진 정보를 찾기 쉬운 다른 경로를 찾았다고 보고했습니다. 실험에서 에이전트는 평면화된 코드 경로와 오해할 수 있는 계산을 풀기보다 소규모 루틴을 복사하거나 시뮬레이션 하에 코드를 실행하는 방식으로 접근했으며, 완전한 해독은 관찰되지 않았습니다. 또한 샌드박스 환경 내의 로컬 파일이나 서비스 등 편의성을 악용하여 의도하지 않은 답변 경로를 찾았으며, 올바른 결과를 도출했지만 실제 분석 과정이 검증되지 않았음을 보여줍니다.

보안 연구자들이 CVE-2026-19478라는 치명적인 인증 없이 코드 주입 취약점을 악용하는 공격 시도를 관측하자 GitLab 관리자에게 즉시 패치를 권장했다. 이 결함은 GraphQL 인터페이스를 통해 원격 공격자가 공개 프로젝트와 사용자 데이터를 수정하거나 삭제할 수 있게 하며, 2026 년 8 월 17 일 규칙적인 보안 릴리스 스케줄 외로 아웃 오브 밴드 업데이트가 발표되었다.

Wiz 보안 연구원들은 최근 Rust 생태계를 표적으로 한 공급망 공격을 국가 후원된 북한 행위자와 연결했습니다. 8 월 20 일, 공격자는 신뢰할 만한 오픈소스 유지 관리자의 계정에 접근하여 arrayref, internment 및 append-only-vec라는 세 가지 합법적인 크레이트를 업데이트하고 백도어를 삽입했습니다.