발행 글 (24837)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

애플은 18일 서울에서 첫 폴더블폰 '아이폰 듀오'를 공식 공개했다. 접었을 때 가로 13.6cm, 펼쳐진 대화면의 크기는 가로 19.3㎝이며 비대칭 둥근 모서리 디자인이 특징이다. 최소 가격 329만원에도 불구하고 넷플릭스 앱 최적화 및 멀티 작업창 등 폴더블폰 기능은 주목받고 있다.

다중 인증 (MFA) 는 필수적이나 OAuth 거버넌스나 최소 권한 범위 설정을 대체하지 못합니다.

Amazon Elastic Container Service Express Mode 는 이제 서비스의 CPU 아키텍처로 ARM64 를 지정할 수 있도록 지원하며, AWS Graviton 기반 컴퓨팅에서 최대 40% 더 나은 가격 성능을 제공합니다. 이 기능은 웹 애플리케이션 및 API 와 같은 컨테이너화 응용 프로그램을 신속하게 배포하는 데 도움이 되며, 새로운 서비스와 기존 Amazon ECS Express Mode 서비스를 위한 CPU 아키텍처를 AWS Management Console, AWS CLI, AWS SDKs 및 인프라 as code 도구를 사용하여 구성할 수 있습니다. 이 기능은 모든 AWS 상업적 지역과 AWS GovCloud (US) 지역에서 사용 가능합니다.

보안 연구원들이 Anthropic 의 Claude 모델을 활용하여 libheif 라이브러리의 heap 버퍼 과부하 취약점을 발견했고, 이를 연쇄 공격으로 OpenAI 직원 계정을 탈취한 후 내부 저장소에 PR 을 생성하는 데 성공했습니다. 이 과정은 약 72 시간 만에 완료되었으며, 이후 연구원들은 해당 결함을 보고하고 $6,500 의 보상을 받았습니다.

보안 연구팀 pwn.ai 가 발견한 Click2Shell 취약점은 로그인된 관리자가 만든 웹 링크만으로도 공식 디렉터리에서 별도의 클릭 없이 테마를 설치할 수 있게 합니다. 이 공격은 WordPress 코어의 결함과 특정 테마의 별도 결함이 결합되어 서버에 원격 코드를 실행하게 할 때 위험도가 극대화되며, 9 월 17 일에 배포된 WordPress 7.1.1 업데이트로 해결되었습니다.

미국 인공지능 기업 오픈AI가 생성형 AI 개발 과정에서 NYT 등 주요 언론의 기사 1000만 건 이상을 무단으로 사용했다는 주장이 공개됐다. 마이크로소프트(MS) 또한 유사한 침해를 저지른 것으로 NYT는 지적하고 있다. 두 회사는 허락 없이 기사를 학습에 쓰면서 출처 표기나 대가를 지불하지 않았다는 이유로 뉴욕 연방지방법원에 저작권 침해 소송을 제기했다.

사고는 2026 년 9 월 11 일에 발생하여 데이터베이스에 접근하고, 이후 발견된 9 월 12 일에는 이미 정보가 유출되어 플랫폼이 임시 정지되었습니다. 노출된 데이터에는 이름/별명, 이메일 주소, 비밀번호 해시값, 사용자 및 기기 ID 등 개인 정보와 이미지 메타데이터가 포함되어 있으며, Helpfeel 이 운영 중인 다른 서비스에도 피해는 없었습니다.

사이버보안 스타트업 AIR 연구원들이 발견한 'Plugin4Shell' 취약점은 신뢰된 플러그인 마켓플레이스에서 악성 코드로 교체되는 제로클릭 원격코드실행 공격을 가능하게 합니다. Claude Code, Codex 및 GitHub Copilot과 같은 AI 프로그래밍 에이전트는 SHA 해시를 직접 Git에 전달하고 해당 커밋이 실제로 체크아웃되었는지 검증하지 않아 취약점이 발생했습니다. Anthropic은 Claude Code 2.1.179 버전에서, OpenAI는 Codex 0.146.0 버전을 통해 패치를 배포했으나 Google은 Gemini CLI를 폐기했고 GitHub는 아직 공식적인 수정을 발표하지 않았습니다.

Zscaler ThreatLabz에 따르면, 인도와 아프가니스탄의 정부 및 국방 기관을 표적으로 하는 새로운 사이버 공격 캠페인 'Operation RapidRust'가 발생했으며, 투명 트라이브 (APT36)는 RUSTYSHADE 등 기존 문서화되지 않은 도구들을 사용했습니다. 이 공격은 명령 및 제어 통신을 위해 공격자가 통제하는 사설 GitHub 저장소를 활용하고 있으며, 2026 년 8 월 20 일에서 9 월 1 일 사이에 주중 아침 시간대 동안 C2 명령이 발령되었습니다.

LastPass 와 Delphos Labs 는 SEO 최적화된 GitHub 저장소를 통한 Rapuncel 정보 탈취 프로그램 배포 캠페인을 발견했습니다. 이 공격은 Microsoft 서명된 커널 드라이버를 포함하여 안티바이러스 및 EDR 소프트웨어 약 145 종을 무력화하고, 피해자가 다운로드 버튼을 클릭하면 보안 스캔을 우회하는 ZIP 아카이브로 리디렉션됩니다.

eSentire 의 위협 대응 팀은 2026 년 8 월 말 GhostCode라는 새로운 피싱 키트를 발견했습니다. 이 공격자는 Microsoft OAuth 2.0 기기 인증 흐름을 악용하여 피해자에게 접근 권한을 넘기도록 속이고, 획득한 토큰으로 세 개의 기기를 등록하며 Intune 에 재등록하는 자동화된 활동을 수행합니다.

Mandiant 의 2026 AI 리스크 보고서에 따르면 해커들은 이제 챗봇 프롬프트를 넘어 자율 에이전트를 통해 전체 침입을 실행하고 있으며, corrupted 값이 계정을 탈취하는 사례가 발생했습니다. CrowdStrike 는 Npm 기반 정보 탈취 프로그램인 PhantomRaven 을 LLM 에 의해 작성된 것으로 추정하며, SAP 는 Onapsis 가 발견한 CVE-2026-44756 취약점으로 인해 인증 없이 메모리 부식이 가능하다고 경고하고 있습니다.