보안 뉴스

The Hacker News·2026. 09. 23.

F5, OAuth 서버 비인증 RCE 제로데이(CVE-2026-94127)로 악용된 BIG-IP APM 긴급 패치 배포

F5 BIG-IP APM(기업 애플리케이션 접근을 제어하는 네트워크 보안 모듈)에서 로그인 없이 원격으로 시스템을 장악할 수 있는 심각한 취약점(CVE-2026-94127)이 발견되어 실제 공격에 악용되고 있습니다. 이 취약점은 APM이 OAuth(앱 간 인증 토큰을 발급하는 프로토콜) 인증 서버 역할을 하도록 설정된 시스템에서만 나타나며, 위험 점수가 10점 만점에 9.8로 최고 수준입니다. 미국 CISA(사이버보안·인프라보안국)는 실제 악용이 확인된 취약점 목록(KEV)에 이를 등재하고 연방 기관에 9월 25일까지 조치를 완료하도록 명령했습니다. F5는 버전별 핫픽스를 배포했으며, 즉시 설치가 어려운 경우 임시 대응책인 iRule을 F5 지원 티켓을 통해 받을 수 있습니다. 이미 공격받았을 가능성을 확인하려면 APM 로그의 반복 인증 실패, 감사 로그의 의심스러운 명령, TMM 프로세스의 비정상 종료(SIGABRT) 여부를 점검해야 합니다.

#CVSS #OAuth #RCE

Ryuk 랜섬웨어 조직원, 징역 24개월 선고

랜섬웨어(중요 파일을 암호화한 뒤 돈을 요구하는 악성 프로그램) 공격 조직인 Ryuk의 멤버 카렌 바르다냔이 미국 기업들을 해킹한 혐의로 징역 24개월을 선고받았습니다. 그는 2019년부터 2020년까지 여러 미국 기업 네트워크에 침투해 수백 대의 서버와 컴퓨터를 랜섬웨어로 암호화했습니다. 피해 기업들로부터 받은 몸값은 비트코인으로 약 1,610개(당시 시세 기준 1,500만 달러 이상)에 달합니다. Ryuk는 2020년 운영을 중단한 뒤 Conti 랜섬웨어로 이어졌으나, Conti도 2022년 내부 정보 유출로 해체되었습니다. 이번 판결은 랜섬웨어 범죄자에 대한 국제 공조 수사와 사법 처리가 지속되고 있음을 보여줍니다.

#AI #랜섬웨어 #암호화

ZDNet Korea·2026. 09. 23.

가비아, 고객 2,998명 개인정보 유출…외부 공격자의 웹 서비스 취약점 악용

국내 코스닥 상장 IT 기업 가비아에서 외부 공격자의 비인가 접근으로 고객 2,998명의 개인정보가 유출됐습니다. 유출된 정보는 성명, 아이디, 이메일 주소, 휴대전화번호이며, 현재까지 비밀번호 유출은 확인되지 않았습니다. 공격자는 가비아 웹 서비스의 외부 요청 검증(입력값이 정당한지 확인하는 절차)이 충분하지 않은 점을 악용해 내부 시스템에 접근했습니다. 가비아는 사고 인지 직후 공격 경로와 관련 계정을 차단하고, KISA(한국인터넷진흥원) 및 개인정보보호위원회에 신고했습니다. 피해 고객에게는 이메일·문자로 개별 안내할 예정이며, 동일 유형 취약점에 대한 전수 점검도 진행 중입니다.

#KISA #개인정보 #개인정보 유출

F5, RCE 공격에 악용된 BIG-IP APM 제로데이 취약점 패치 배포

F5가 자사의 접근 관리 솔루션 BIG-IP APM에서 발견된 심각한 제로데이 취약점(CVE-2026-94127)에 대한 보안 업데이트를 긴급 배포했습니다. 이 취약점은 RCE(원격 코드 실행, 공격자가 인터넷을 통해 서버를 마음대로 조종할 수 있는 공격)에 이미 실제로 악용되고 있어 즉각적인 대응이 필요합니다. OAuth 인증 서버로 설정된 환경에서만 취약점이 발생하며, 인터넷에 노출된 BIG-IP APM 장비가 전 세계 14,700개 이상으로 파악돼 피해 규모가 클 수 있습니다. CISA(미국 사이버보안·인프라보안국)는 이 취약점을 실제 악용 확인 목록(KEV)에 등재하고, 미국 연방 기관에 금요일까지 패치를 완료하도록 명령했습니다. 즉시 패치가 어려운 경우를 위해 F5는 iRule을 이용한 임시 완화 조치도 제공하고 있습니다.

#AI #OAuth #RCE

The Hacker News·2026. 09. 23.

심각한 Next.js ImageResponse 취약점, 조작된 SVG 입력을 통한 서버 코드 실행 가능

Next.js의 소셜 미리보기 이미지 생성 기능인 ImageResponse에서 심각한 취약점(CVE-2026-94545, CVSS 9.5)이 발견됐습니다. 공격자가 URL 등을 통해 제어할 수 있는 값을 앱이 이미지 생성에 그대로 사용할 경우, 서버에서 임의의 코드를 실행(RCE, 원격에서 서버를 마음대로 조작할 수 있는 공격)할 수 있습니다. Next.js 16.2.0~16.3.5 버전(Node.js 런타임)이 영향을 받으며, 2026년 9월 22일 배포된 16.3.6 버전으로 즉시 업그레이드해야 합니다. 패치 전까지는 사용자 입력값이 SVG 콘텐츠·속성·스타일에 삽입되지 않도록 코드를 수정하는 것이 임시 대응책입니다.

#CVSS #GitHub #RCE

Help Net Security·2026. 09. 23.

테스트한 웹사이트의 거의 3분의 2가 모든 봇 탐지에 실패

보안 업체 DataDome이 7만 5천여 개 웹사이트를 1년간 분석한 결과, 악성 봇 트래픽이 같은 기간 인간 트래픽 증가율(13.2%)의 약 10배인 124%나 급증한 것으로 나타났습니다. 전체 인터넷 트래픽의 약 26.5%가 봇과 AI 에이전트에서 발생했으며, 웹 스크래핑(데이터 무단 수집)이 악성 봇 공격의 71%를 차지했습니다. 특히 AI 봇이 로그인 페이지에 접근하는 비율이 2026년 상반기에만 8배 이상 급증하면서, 정상적인 AI 비서와 계정 탈취 봇을 구분하는 것이 새로운 과제가 되고 있습니다. 테스트에 포함된 인기 웹사이트의 65.3%는 10가지 봇 시뮬레이션 중 단 하나도 탐지하지 못했으며, 모든 유형을 막은 사이트는 2.4%에 불과했습니다. 기업 보안 담당자는 로그인·결제·장바구니 페이지에 대한 봇 탐지 체계를 재점검할 필요가 있습니다.

#AI #AI 에이전트 #DDoS

Help Net Security·2026. 09. 23.

Rabbit의 새 OS, 클라우드에서 동작하며 사용자 PC를 빌려 작업을 처리한다

Rabbit이 출시한 OS3는 클라우드에서 동작하면서 사용자의 PC·Mac·Linux 등 최대 5대의 기기를 원격으로 제어하는 에이전트형 운영체제입니다. 사용자가 채팅창에 목표를 입력하면 OS3가 파일을 열고, 웹을 탐색하고, 코드를 실행하는 등 작업을 대신 처리하는데, 이 과정에서 처리 중인 파일 내용이 Rabbit 서버와 사용자가 선택한 AI 모델 제공사 서버 두 곳을 거칩니다. 특히 임의의 URL에서 '스킬(skill)'을 설치할 수 있어, 검증 절차 없이 PC를 제어하는 에이전트에 외부 기능이 추가될 수 있다는 보안 우려가 있습니다. 민감한 계약서·내부 문서 등을 다루는 기업 환경에서 도입 시 데이터 유출 경로와 스킬 공급망 위험을 사전에 검토해야 합니다.

#AI #API 키 #Windows

Help Net Security·2026. 09. 23.

NetBSD 10.2 보안 패치, ipfilter의 원격 커널 버그 수정

NetBSD 10.2가 2026년 9월 15일 출시되어, 네트워크 트래픽을 필터링하는 ipfilter 커널 모듈에서 외부 공격자가 원격으로 시스템 전체를 다운시킬 수 있는 null 포인터 역참조(널 포인터 역참조: 아무것도 가리키지 않는 포인터를 참조해 커널이 충돌하는 오류) 취약점이 수정되었습니다. 또한 TCP 타임스탬프를 통해 커널 스택 메모리 4바이트가 외부로 유출되는 문제도 패치됐는데, 이 소량의 데이터에도 커널 주소가 포함될 수 있어 ASLR(무작위 메모리 배치 보호) 우회에 악용될 수 있습니다. NFS(네트워크 파일 공유 서비스)와 telnet에도 보안 수정이 포함됐지만, 구체적인 내용이나 CVE(공통 취약점 식별자)가 공개되지 않아 심각도 판단이 어렵습니다. OpenSSL 3.0.21, libXpm(CVE-2026-4367), unbound DNS 리졸버(CVE-2025-11411) 등 번들 서드파티 구성 요소도 함께 업데이트됐습니다. NetBSD 10을 운영 중인 시스템은 커널을 먼저 업데이트하고 재부팅한 뒤 유저스페이스를 업데이트하는 순서로 10.2 업그레이드를 진행해야 합니다.

#DNS #보안패치 #익스플로잇

ZDNet Korea·2026. 09. 18.

"클로드로 오픈AI 뚫었다"…직원 계정 넘어 내부 코드 저장소까지 접근

보안업체 핵트론AI 연구진이 AI 모델 클로드를 활용해 오픈AI 커뮤니티 포럼의 취약점을 발견하고 공격 코드를 자동으로 작성, 서버에서 사용자 인증 토큰을 탈취했습니다. 일부 토큰은 오픈AI 직원 계정과 연결돼 있었고, 이를 통해 직원의 챗GPT·코덱스 계정은 물론 오픈AI 내부 비공개 코드 저장소(모노레포)까지 접근하는 데 성공했습니다. 저장소에는 AI 모델 운영 알고리즘 관련 기술이 담겨 있었으며, AI 모델 가중치는 포함되지 않았습니다. 연구진은 추가 열람을 자제하고 버그바운티(취약점 신고 포상 프로그램)를 통해 오픈AI에 신고해 6,500달러를 받았으며, 오픈AI는 해당 문제를 모두 수정했다고 밝혔습니다. 이번 사례는 AI가 사이버 공격 도구로 직접 활용될 수 있음을 실증한 사례로, 기업 보안 담당자들의 주의가 요구됩니다.

디링크 DIR-822A 공유기 'CVSS 10.0' 제로데이…패치 없이 PoC 공개

D-Link의 무선 공유기 DIR-822A에서 공격자가 인증 없이 원격으로 시스템을 완전히 장악할 수 있는 최고 위험도 취약점 두 개가 발견됐습니다. 첫 번째(CVE-2026-86296)는 CVSS 10.0점짜리 제로데이로, DHCP 처리 과정의 메모리 오류를 통해 악성 코드를 실행할 수 있습니다. 두 번째(CVE-2026-86510)는 CVSS 9.9점으로, VPN 연결에 쓰이는 L2TP 기능의 메모리 오류를 노립니다. 두 취약점 모두 공격 방법을 재현하는 PoC(개념증명 코드)가 이미 공개됐고, 공식 보안 패치는 아직 없는 상태입니다. 당장 패치를 적용할 수 없으므로, 해당 공유기의 인터넷 직접 노출과 원격 관리 기능을 즉시 점검해야 합니다.

#CVSS #PoC #RCE

악성 외부 MFA 제공자를 이용해 로그인 중 비밀번호를 탈취하는 공격 기법 공개

보안 연구팀 Varonis가 'TrustSink'라는 새로운 공격 기법을 공개했습니다. 이 기법은 마이크로소프트 Entra(기업용 계정 관리 서비스)의 외부 MFA(다중 인증) 연동 기능을 악용해, 정상적인 로그인 과정 중에 사용자의 비밀번호를 몰래 탈취합니다. 공격자는 먼저 높은 권한의 관리자 계정을 탈취한 뒤, 가짜 외부 MFA 제공자를 등록해 마이크로소프트 로그인 화면을 흉내 낸 피싱 페이지를 끼워 넣습니다. 피해자가 비밀번호를 입력하면 공격자 서버로 전송되지만, 로그인은 정상적으로 완료되어 피해자는 이상을 전혀 느끼지 못합니다. 비밀번호를 바꿔도 가짜 MFA 제공자가 그대로 남아 새 비밀번호까지 재탈취되므로, 반드시 악성 제공자를 먼저 제거한 뒤 자격증명을 교체해야 합니다.

#AI #MFA #PoC