TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

통신/IT 분야 뉴스

중요통신/IT

The Hacker News·2026. 09. 24.

'MikroTrick' 체인 공격, 비밀번호·SSH 키 없이 MikroTik 라우터 완전 장악 가능

CERT Polska가 'MikroTrick'이라 명명한 두 가지 보안 취약점을 연결(체이닝)하면, 공격자가 비밀번호나 SSH 키 없이 인터넷에 연결된 MikroTik 라우터를 완전히 장악할 수 있습니다. 첫 번째 취약점(CVE-2026-67279)은 SSH 인증 절차를 건너뛰게 하고, 두 번째 취약점(CVE-2026-86060)은 사용자 이름 대신 '-2'라는 특수 값을 보내 최고 관리자 권한을 얻게 합니다. 실제 공격은 패치 배포(9월 3일) 하루 전인 9월 2일부터 이미 시작됐으며, CISA도 9월 10일 CVE-2026-86060을 '실제 악용 확인 목록(KEV)'에 등재해 심각성을 공식 인정했습니다. RouterOS 6.49.21, 7.23.4, 7.24.2로 즉시 업데이트하고, 패치 이전 공격 흔적(계정 'ops', IP 82.192.72.4 등)을 반드시 확인해야 합니다.

#AI #라우터 #방화벽

중요통신/IT

The Hacker News·2026. 09. 23.

새로운 cPanel 취약점, 호스팅 계정 하나로 root 코드 실행 및 서버 완전 장악 가능

웹 호스팅 관리 소프트웨어인 cPanel에서 세 가지 보안 취약점이 발견되었습니다. 이 중 가장 위험한 CVE-2026-87899는 일반 호스팅 계정 하나만 있으면 서버 전체를 root(최고 관리자) 권한으로 장악할 수 있어, 공유 호스팅 환경에서 한 고객이 다른 모든 고객의 데이터에 접근할 수 있습니다. 두 번째 취약점(CVE-2026-87900)은 WordPress 관리 플러그인인 WP Toolkit에 존재하며, 다른 계정의 데이터베이스를 무단으로 변경하는 것이 가능합니다. cPanel은 세 취약점 모두에 대한 패치를 배포했으며, 임시 대응 방법이 없기 때문에 즉시 업데이트하는 것이 유일한 해결책입니다.

#RCE #백업 #웹 보안

중요통신/IT

BleepingComputer·2026. 09. 22.

D-Link, DIR-822A 공유기의 최고 심각도 제로데이 취약점 경고

D-Link의 DIR-822A 듀얼밴드 Wi-Fi 공유기에서 최고 심각도의 보안 취약점(CVE-2026-86296)이 발견됐습니다. 이 취약점은 로그인 없이도 같은 네트워크에 있는 공격자가 악성 DHCP 패킷을 보내 기기를 원격에서 제어(RCE, 원격 코드 실행)할 수 있어 매우 위험합니다. 보안 연구자가 실제 공격에 활용 가능한 개념 증명(PoC) 코드를 이미 공개했으나, D-Link는 아직 패치를 제공하지 못하고 있습니다. 추가로 L2TP 파서 관련 심각한 취약점(CVE-2026-86510)도 조사 중입니다. D-Link는 임시 조치로 인터넷 직접 노출 차단, 원격 관리 비활성화, 방화벽을 통한 접근 제한을 권고했습니다.

#AI #DDoS #PoC

중요통신/IT

The Hacker News·2026. 09. 22.

새로운 Linux 커널 취약점, ARM64 KVM 게스트에 호스트 메모리 읽기·쓰기 접근 허용

Linux 커널의 ARM64용 KVM(커널 기반 가상화 기술) 코드에서 게스트 가상 머신이 호스트의 커널 메모리를 무단으로 읽고 쓸 수 있는 취약점(CVE-2026-89775)이 발견되었습니다. 이 취약점을 악용하면 가상 머신 안에 갇혀 있어야 할 공격자가 호스트 시스템으로 탈출해 코드를 실행(RCE, 원격·로컬 코드 실행)하거나 root 권한을 획득할 수 있습니다. 단, 공격이 성립하려면 ARM64 KVM 호스트에서 '중첩 가상화(Nested Virtualization)'가 활성화되어 있어야 하며, 이는 기본값이 아닌 실험적 기능입니다. 현재까지 실제 악용 사례나 공개된 익스플로잇 코드는 없으나, RHEL 10·Ubuntu 26.04·Amazon Linux AL2023(kernel6.18)·Debian sid/forky 등 주요 배포판이 영향을 받습니다. Linux 6.18.51, 7.2.5, 7.3-rc1에 패치가 포함되어 있으므로 해당 환경 운영자는 즉시 패치 적용 여부를 확인해야 합니다.

#AWS #Azure #CVSS

통신/IT

ZDNet Korea·2026. 09. 22.

KISTI-SKT, 국제표준 기반 양자암호통신 연동 기술 세계 첫 개발

한국과학기술정보연구원(KISTI)과 SK텔레콤(SKT)이 세계 최초로 양자암호통신 연동 기술을 개발했습니다. 양자키분배(QKD)란 도청이 물리적으로 불가능한 양자역학 원리를 이용해 암호 키를 나눠 갖는 차세대 보안 기술입니다. 이번 기술은 실제 장비를 구축하기 전에 시뮬레이터(가상 환경)와 키관리 시스템을 국제 표준 방식으로 실시간 연결해, 다양한 통신 환경에서 성능을 미리 검증할 수 있게 해줍니다. 향후 국가연구망과 상용 통신망 간 연동에 활용되어 국가 수준의 양자암호통신 인프라 확장에 기여할 것으로 기대됩니다. 이 기술은 2026년 9월 스페인 말라가에서 열린 국제 광통신 행사 ECOC 2026에서 공개됐습니다.

#AI #암호키 #오픈소스

통신/IT

ZDNet Korea·2026. 09. 22.

네이버클라우드 "공격·방어형 AI 키운다…보안 데이터 830TB 확보"

네이버클라우드 컨소시엄이 보안 전용 인공지능(AI) 모델 2종을 개발하는 국가 프로젝트에 착수했습니다. GPU(그래픽처리장치) 4,512장과 보안 데이터 830TB를 활용해 공격형·방어형 AI 모델을 각각 만들고, 두 모델이 서로의 학습을 강화하는 방식으로 운영됩니다. 방어형 모델은 HyperCLOVA X 기반으로 위협 탐지·대응을, 공격형 모델은 EXAONE 기반으로 소스코드 취약점 분석을 담당합니다. 완성된 모델은 오픈소스로 공개되고 금융·전력·통신 등 국가 핵심 인프라에 실증 적용될 예정입니다. 중소기업 대상 취약점 점검 서비스 지원도 계획되어 있어, 국내 보안 생태계 전반에 영향을 줄 수 있는 사업입니다.

#AI #보안 솔루션 #사이버 공격

통신/IT

전자신문 보안·2026. 09. 22.

개인정보위·통신3사, 28일 개인정보 보호 공동선언

개인정보보호위원회(개인정보위)가 침해사고를 겪은 SK텔레콤·KT·LG유플러스 통신 3사와 함께 개인정보 보호 공동선언을 발표할 예정입니다. 오는 28일 서울 프레스센터에서 열리는 간담회에서는 AI 시대 사전예방 보호 체계 구축 방안을 논의합니다. 지난 11일부터 시행된 개정 개인정보 보호법에 따르면, 고의·중과실로 1,000만 명 이상의 개인정보를 유출한 기업은 전체 매출액의 최대 10%까지 과징금을 물 수 있습니다. 반면 개인정보 보호에 사전 투자한 기업은 과징금을 최대 40%까지 감경받을 수 있어, 기업들의 보안 투자 유인이 커졌습니다.

#AI #개인정보 #개인정보 유출

통신/IT

Help Net Security·2026. 09. 22.

저렴한 가짜 기지국으로 5G 가입자를 여전히 추적할 수 있다

연구팀이 '5G-Shark'라는 저렴한 가짜 기지국 도구를 만들어 5G 스마트폰을 몰래 유인한 뒤, 실제 상용 5G 망에서 가입자를 추적할 수 있는지 실험했습니다. 5G는 원래 영구 가입자 식별번호(IMSI)를 외부에 노출하지 않도록 설계됐지만, 일부 통신사가 임시 ID(GUTI)를 예측 가능한 순서로 부여해 연속 접속의 84~96%를 연결·추적하는 것이 가능했습니다. 가짜 기지국은 특수 장비 없이 오픈소스 소프트웨어와 저가 하드웨어만으로 구축 가능하고, 사용자 화면에 아무런 경고도 뜨지 않습니다. 또한 조작된 '연결 거부' 메시지를 보내면 Galaxy S23이 3G로 강제 다운그레이드되거나 모뎀이 먹통이 되는 문제도 확인됐습니다. 연구팀은 이 중 일부는 표준 설계 자체의 문제이고, 임시 ID 예측 가능성 문제는 통신사와 장비사가 개선할 수 있다고 지적합니다.

SKT·KISTI, 양자암호망 디지털 트윈 기술 개발... 국제 표준 상호운용성 검증

SK텔레콤(SKT)과 한국과학기술정보연구원(KISTI)이 양자암호통신망을 실제로 구축하기 전에 가상 환경에서 미리 성능을 검증할 수 있는 '디지털 트윈' 기술을 개발했습니다. 양자암호통신은 도청이 원천적으로 불가능한 암호키를 주고받는 기술로, 미래 통신 보안의 핵심으로 꼽힙니다. 이번 기술은 서로 다른 기관이 각각 개발한 시스템을 국제 표준(ETSI) 인터페이스로 연결해 상호운용성을 공개적으로 검증한 첫 사례입니다. 특정 장비에 종속되지 않아 향후 다른 기관·기업의 양자암호 장비와도 쉽게 연동할 수 있습니다. 2026년 스페인 말라가에서 열린 유럽광통신국제회의(ECOC 2026)에서 최초로 공개됐습니다.

#가상머신 #가상화 #과기정통부

통신/IT

Help Net Security·2026. 09. 21.

구글, 위치 추적 관련 GDPR 위반으로 4억 300만 유로 과징금 부과

아일랜드 개인정보보호위원회(DPC)가 구글에 4억 300만 유로(약 6,360억 원)의 과징금을 부과했습니다. 구글이 사용자의 위치 데이터를 처리하는 방식이 유럽 개인정보보호법(GDPR)을 위반했다는 이유입니다. 문제가 된 기능은 '웹 및 앱 활동', '위치 기록', '위치 정확도' 세 가지로, 구글이 사용자 동의나 투명한 안내 없이 위치 정보를 광고 등에 활용한 것이 핵심입니다. 구글은 위치 데이터를 필요 이상으로 오래 보관한 것도 지적받았으며, 6개월 안에 처리 방식을 규정에 맞게 고쳐야 합니다. 기업 담당자라면 자사 서비스의 위치·개인정보 처리 방식도 GDPR 기준에 맞는지 점검할 필요가 있습니다.

#개인정보 #개인정보보호법 #규제

중요통신/IT

The Hacker News·2026. 09. 21.

Jade Sleet, 인도 IT 서비스 업체 침해 사건에서 FLATROOF·ROOFDECK 백도어 사용 확인

북한 정부와 연계된 해킹 그룹 Jade Sleet이 인도의 IT 서비스 업체 개발자 PC를 침해해 FLATROOF·ROOFDECK이라는 두 가지 백도어(몰래 숨어 명령을 받는 악성 프로그램)를 심었습니다. 공격자들은 채용 면접을 가장한 함정 방식으로 접근해, 개발자가 깃허브 저장소에 있는 코딩 과제를 실행하면 인프라 관리 도구인 Terraform이 악성 서버에서 모듈을 자동으로 내려받도록 조작했습니다. FLATROOF는 텔레그램을 통해 명령을 받고 브라우저 저장 데이터·비밀번호 등을 훔치며, ROOFDECK은 탈중앙화 통신 프로토콜인 Nostr를 써서 원격 제어·내부망 이동까지 수행합니다. 이 그룹은 2025년 초 Bybit 거래소에서 약 15억 달러를 탈취한 것과도 연결되어 있어 위협 수위가 매우 높습니다. 개발자 PC가 클라우드·소스코드·CI/CD 파이프라인에 연결되어 있어 공급망 전체가 위험해질 수 있으므로 즉각적인 대응이 필요합니다.

#APT #AWS #EDR

통신/IT

Help Net Security·2026. 09. 21.

인텐트 주입 공격, AI 네이티브 6G 네트워크의 새로운 위협으로 부상

인텐트 기반 네트워킹(IBN)은 운영자가 원하는 결과만 지정하면 소프트웨어가 알아서 네트워크 정책으로 바꿔주는 기술로, AI 기반 6G 설계의 핵심으로 떠오르고 있습니다. 오타와 대학교와 Nokia Bell Labs 연구진은 이 구조에서 공격자가 정상 요청 사이에 악성 명령을 숨겨 시스템을 침해하는 '악의적 인텐트 주입' 공격이 가능하다고 경고했습니다. 연구팀은 1,100개의 인텐트 데이터셋을 만들어 두 가지 머신러닝(ML) 탐지기를 시험했으며, 연속된 요청의 패턴을 분석하는 방식으로 최대 96%의 악성 요청을 잡아낼 수 있음을 확인했습니다. 단건 요청만 분석하는 기존 방식(탐지율 50~60%)보다 연속 흐름을 함께 보는 접근이 훨씬 효과적이었습니다. 아직 연구 단계이지만, 6G 상용화를 앞두고 IBN 보안 아키텍처 설계 시 이 위협을 미리 반영할 필요가 있습니다.

#AI #API 키 #LLM

이전4 / 6다음