TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

통신/IT 분야 뉴스

중요통신/IT

Help Net Security·2026. 09. 30.

OpenInfra Europe의 JFrog Artifactory 서버 침해, 패키지 조작 가능성

오픈소스 클라우드 인프라 프로젝트를 지원하는 비영리 단체 OpenInfra Foundation의 유럽 지부(OpenInfra Europe)가 운영하던 JFrog Artifactory 서버(artifactory.nordix.org)가 해킹당했습니다. 공격자는 인증 없이도 관리자 권한을 얻을 수 있는 취약점(CVE-2026-82329)을 이용해 8월 31일에 침입했지만, 조직은 9월 15일에야 이를 발견했습니다. Artifactory는 개발팀이 소프트웨어 빌드 결과물과 각종 라이브러리(패키지)를 저장·배포하는 저장소 시스템이라서, 이곳이 뚫리면 여기서 내려받은 프로그램 파일 전체를 믿을 수 없게 됩니다. 이 때문에 8월 28일부터 9월 15일 사이 해당 서버에서 내려받은 모든 패키지는 조작되었을 가능성이 있어 즉시 사용을 중단하고 배포 과정(파이프라인)에서 제거해야 합니다. 이 취약점은 실제 악용 사례가 확인되어 미국 정부의 악용 취약점 목록(KEV)에도 등재되었습니다.

#SaaS #데이터센터 #오픈소스

통신/IT

The Hacker News·2026. 09. 30.

OpenSSL, 힙 메모리를 암호화하지 않은 채 유출시킬 수 있는 고위험 DTLS 결함 수정

OpenSSL이 9월 29일, DTLS(UDP 기반 TLS) 통신에서 힙 메모리(프로그램이 사용 중인 내부 메모리)가 암호화되지 않은 채 상대방에게 유출되거나 프로그램이 다운될 수 있는 고위험(High) 취약점(CVE-2026-84782)을 수정했습니다. 핸드셰이크 메시지가 여러 조각으로 나뉘어 전송되던 중 재전송 타이머가 작동하면 잘못된 위치의 데이터가 다시 전송되면서 발생하는 문제입니다. WebRTC나 인터넷 전화처럼 DTLS를 사용하는 소프트웨어가 영향을 받으며, OpenSSL 4.0.3, 3.6.5, 3.5.9, 3.4.8 버전에서 수정되었습니다. 다만 3.0, 1.1.1, 1.0.2 등 오래된 버전은 유료 지원 고객만 패치를 받을 수 있어, 이를 직접 빌드해 쓰는 기업은 신버전으로 업그레이드하거나 유료 지원 계약이 필요합니다. 아직 실제 악용 사례는 보고되지 않았습니다.

깃허브 시큐리티랩, AI 에이전트로 안드로이드 앱 취약점 24건 찾아

깃허브 시큐리티랩이 자체 개발한 AI 보안 에이전트 '태스크플로 에이전트'로 안드로이드 앱을 점검해 취약점 24건을 찾아냈습니다. 대표적으로 내비게이션 앱 오스맨드에서는 외부 앱이 몰래 설정을 바꿔 지도 서버 주소를 조작함으로써 사용자 위치를 추적할 수 있는 결함이 발견됐고, 위키백과 앱에서는 딥링크 검증 오류와 쿠키 처리 결함이 겹쳐 악성 링크 클릭 한 번만으로 계정이 탈취될 수 있는 문제가 확인됐습니다. 깃허브는 AI가 찾아낸 결과라도 전문가 검토 없이 그대로 신뢰해서는 안 된다고 강조했습니다. 이는 AI 자동화 보안 점검 도구가 실무에서 효과를 낼 수 있지만 여전히 사람의 검증이 필요하다는 점을 보여주는 사례입니다.

#AI #AI 보안 #AI 에이전트

통신/IT

Help Net Security·2026. 09. 30.

컨테이너와 Kubernetes에 대한 EU 사이버복원력법(Cyber Resilience Act) 요구사항

EU 사이버복원력법(Cyber Resilience Act, CRA)은 디지털 요소가 포함된 제품을 EU 시장에 판매할 때 지켜야 할 보안 의무를 규정한 법으로, 컨테이너와 Kubernetes를 다루는 팀에도 직접 영향을 줍니다. 2026년 9월부터 보고 의무가 시작되고 2027년 12월부터 전면 시행되는데, 기업들은 기본적으로 안전한 설정을 적용하고, 소프트웨어 구성 요소 목록(SBOM)을 관리하며, 취약점이 실제로 악용되면 24시간 안에 신고해야 합니다. 또 제품 출시 후 최소 5년간 보안 업데이트를 지원해야 해서, 오래된 컨테이너 이미지도 계속 재빌드하고 관리할 파이프라인이 필요합니다. 전문가들은 최소한의 구성요소만 담은 컨테이너 이미지 사용, 런타임까지 포함한 소프트웨어 구성요소 추적, 이미지 배포 전략 점검, 공급망 가시성 확보 등을 미리 준비할 것을 권고합니다.

#공격표면 #공급망 #규제

통신/IT

ZDNet Korea·2026. 09. 30.

EU, 고위험 통신장비 '36개월 퇴출' 없앤다

유럽연합(EU)이 화웨이 같은 '고위험' 통신장비 업체의 제품을 통신망에서 퇴출시키는 규제를 손질했습니다. 원래는 36개월 안에 장비를 무조건 교체하도록 할 계획이었지만, 유럽 통신사들이 교체 비용이 최대 400억 유로(약 59조원)에 달해 5G·6G 투자에 쓸 돈이 부족해진다고 반발하자 EU 회원국들이 일률적인 시한을 없애기로 했습니다. 앞으로는 보안 위험 수준, 장비 수명, 대체 장비 확보 가능성 등을 따져 퇴출 기간을 나라별·상황별로 다르게 정하게 됩니다. 다만 위험 장비를 없앤다는 원칙 자체는 그대로 유지됩니다. 이 방안은 앞으로 유럽의회와 협상을 거쳐 최종 확정될 예정입니다.

#규제 #통신사

중요통신/IT

The Hacker News·2026. 09. 30.

새로운 스펙터-v2 'BTR' 공격, 기존 방어책에도 불구하고 리눅스 메모리 유출

VUSec와 Scuola Superiore Sant'Anna 소속 연구진이 새로운 CPU 취약점 공격 기법 "Branch Target Reuse(BTR)"를 공개했습니다. 이 공격은 스펙터(Spectre) v2 계열의 변종으로, 웹브라우저·언어 런타임·리눅스 커널에 쓰이는 JIT(코드를 실행 직전에 즉석 컴파일하는 기술) 엔진을 노립니다. 연구진은 최신 방어 기법이 적용된 완전 패치 상태의 인텔 시스템에서도 이 공격으로 몇 분 만에 루트 비밀번호 해시를 빼낼 수 있음을 실제로 증명했습니다. 리눅스 커널은 이미 CVE-2026-64507, CVE-2026-64508로 취약점을 등록하고 패치를 병합했으며, Firefox와 GraalVM 개발사도 각자 대응책을 검토·적용 중입니다. 아직 실제 악용 사례는 확인되지 않았지만, 널리 쓰이는 브라우저와 커널에 영향을 미치는 만큼 기업 보안 담당자는 관련 패치 현황을 파악해둘 필요가 있습니다.

#PoC #데이터유출 #리눅스

중요통신/IT

BleepingComputer·2026. 09. 30.

새로운 Spectre v2 공격 변종, 단 몇 분 만에 리눅스 root 비밀번호 해시 유출

Spectre v2 계열의 새로운 CPU 하드웨어 취약점 'BTR(Branch Target Reuse)'가 공개됐습니다. 인텔, AMD, ARM 등 대부분의 최신 CPU에서 발생하며, 이를 악용하면 리눅스 시스템에서 단 3~5분 만에 root 비밀번호의 해시값을 빼낼 수 있습니다. CPU가 분기 예측(다음에 실행할 명령을 미리 추측하는 기능)에 쓰는 낡은 정보를 이용해, 공격자가 원래는 실행되지 않아야 할 명령을 잠깐 몰래 실행시켜 메모리 속 민감한 데이터를 캐시를 통해 훔쳐보는 방식입니다. 이 문제는 CVE-2026-64507, CVE-2026-64508로 등록됐고 리눅스 커널에는 이미 패치가 반영됐습니다. 다만 아직 실제 공격에 악용된 사례는 확인되지 않았습니다.

#AI #리눅스 #무차별 대입

중요통신/IT

BleepingComputer·2026. 09. 29.

일본 게이오, 랜섬웨어 공격으로 업무 시스템 마비 확인

일본의 대형 사철(민영 철도) 운영사 게이오(Keio Corporation)가 랜섬웨어 공격을 받아 일부 업무 시스템이 마비됐습니다. 9월 26일 새벽 시스템 장애가 발생했고, 회사는 피해 확산을 막기 위해 네트워크를 차단한 뒤 경찰에 신고하고 외부 전문가와 함께 침입 경로와 피해 규모를 조사 중입니다. 이번 공격은 열차 운행에는 영향이 없고 호텔 등 숙박 사업 부문에 영향을 준 것으로 보이며, 계열 호텔의 결제 시스템 장애도 보도됐습니다. 아직 공격을 자처한 랜섬웨어 조직은 확인되지 않았습니다. 같은 주말 도쿄메트로도 별도의 침해 사고로 회원 이메일 주소 5만 9000건이 유출됐다고 밝혔는데, 두 사건이 같은 공격자에 의한 것인지는 불명확합니다.

#AI #결제 #공급망

중요통신/IT

The Hacker News·2026. 09. 29.

해커들, NeedyMantis 악성코드로 침해된 네트워크에 장기간 접속 유지

마이크로소프트가 'NeedyMantis'라는 악성코드를 분석한 결과를 공개했습니다. 이 악성코드는 공격자가 이미 침입한 네트워크에 장기간 몰래 머무르기 위해 사용하는 것으로, 통신사, 대학교, 의료 비영리단체, 정부 관련 기관 등을 노렸습니다. 정상 프로그램(Poedit, curl, Vim, TightVNC 등)을 이용해 악성 DLL 파일을 몰래 실행시키는 'DLL 사이드로딩' 기법을 사용하며, 감염되면 공격자가 원격으로 추가 기능을 심고 데이터를 주고받을 수 있습니다. 앞서 디스크 이미지 프로그램 DAEMON Tools의 공식 설치파일이 변조된 공급망 공격 사건을 조사하다가 발견됐으며, 중국과 연관된 것으로 추정되지만 확실한 배후는 아직 밝혀지지 않았습니다. 마이크로소프트는 탐지에 필요한 파일 해시, 접속 도메인, 파일 경로 등을 공개했습니다.

#EDR #ICS #Windows

중요통신/IT

BleepingComputer·2026. 09. 29.

JadePuffer의 AI 에이전트 공격, Azure 클라우드 리소스 파괴 노려

JadePuffer(스톰-3168)라는 랜섬웨어 공격 조직이 AI 에이전트를 이용해 Microsoft Azure 클라우드 환경을 자동으로 공격하고 있습니다. 정찰, 자격증명 탈취, 내부 이동, 데이터 암호화까지 전체 공격 과정을 AI가 자동화해서 처리합니다. Microsoft가 6월에 관측한 공격에서는 탈취한 서비스 계정으로 100개 이상의 스토리지 계정과 Key Vault, 가상머신 등을 겨냥해 단 7분 만에 파괴 작업을 진행했습니다. 백업 복구를 막기 위해 복구 보호 장치까지 제거하려 했으며, 일부 자격증명은 공개된 깃허브(GitHub) 이슈에 노출되어 있던 것으로 확인됐습니다.

#AI #AI 에이전트 #Azure

중요통신/IT

Help Net Security·2026. 09. 28.

16세 연구자, 17조 행 데이터에 접근 가능한 마이크로소프트 분석 서비스 침투

16세 보안 연구자 Faav가 마이크로소프트의 내부 분석 서비스인 Titan에서 심각한 인증 취약점을 발견했습니다. 이 서비스는 로그인 토큰의 서명을 제대로 검증하지 않아, 공격자가 토큰 내용을 마음대로 바꿔 관리자 권한을 획득할 수 있었습니다. 그는 자신이 만든 자동화 도구 Antares의 도움으로 이 문제를 찾아냈고, 연결된 17개 데이터베이스에서 SQL 쿼리를 실행해 직원 정보 약 1만 8천 건과 Bing 검색 분석 데이터 일부에 접근할 수 있었습니다. 마이크로소프트는 신고를 받은 지 나흘 만에 해당 접점을 차단했고, 연구자에게 5,000달러의 포상금을 지급했습니다. 다행히 고객 데이터나 개인식별정보는 실제로 열람·악용되지 않았습니다.

#브라우저 #사회공학 #엔드포인트

중요통신/IT

The Hacker News·2026. 09. 28.

Carbonato 봇넷, Docker 서버 장악해 텔레그램으로 조종하는 Hermes AI 에이전트 배포

연구진이 "Carbonato"라는 새로운 봇넷 악성코드를 발견했습니다. 이 악성코드는 인증 없이 외부에 노출된 Docker 서버(2375번 포트)를 찾아 침투한 뒤, 오픈소스 AI 에이전트 프레임워크인 Hermes Agent를 설치합니다. 공격자는 이 AI 에이전트의 "인격 설정 파일"을 조작해 텔레그램으로 명령을 내리면 AI가 스스로 서버를 장악하고 자격증명을 훔치도록 만들었습니다. 이 봇넷은 벌레(웜)처럼 주변 네트워크의 다른 취약한 Docker 서버로 계속 퍼져나가며, 코스타리카에 있는 것으로 추정되는 배후 조직이 운영 중입니다. 이 사건은 최근 AI 도구를 활용해 정찰부터 침투, 정보 탈취까지 공격 전 과정을 자동화하는 사례가 늘고 있는 흐름의 일부로, 실제로 온라인 쇼핑몰 27곳에서 60만 건 이상의 신용카드 정보가 유출된 사례도 함께 보고됐습니다.

#AI #AI 에이전트 #API 키

이전2 / 6다음