TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

BleepingComputer · 오픈소스 뉴스

필터총 13건초기화
매체전체
국내 매체329ZDNet Korea108데일리시큐81보안뉴스79전자신문 보안61
해외 매체560The Hacker News244BleepingComputer171Help Net Security145
분야
전체기업553공공127금융78통신/IT69의료13제조8기타29교육/연구11
키워드
위협 행위자69자격증명62악성코드57해킹48제로데이44이메일42암호화41비밀번호38원격 코드 실행37랜섬웨어36RCE36Windows35

주요 뉴스

이 범위에서 지금 주목할 이슈

중요BleepingComputer

구글, 실제 공격에 악용 중인 Chrome 신규 제로데이 취약점 경고

구글이 Chrome 브라우저에서 실제 공격에 악용되고 있는 제로데이(패치 전에 이미 공격에 쓰이는) 취약점을 포함해 총 12개의 보안 결함을 수정한 업데이트를 배포했습니다. 문제의 취약점(CVE-2026-85046)은 Chrome의 JavaScript 실행 엔진인 V8에서 발생하는 '타입 혼동(type confusion)' 오류로, 공격자가 악성 웹페이지를 통해 피해자 PC에서 원격으로 코드를 실행(RCE, 원격에서 시스템을 마음대로 조작할 수 있는 공격)할 수 있습니다. 이번이 올해만 여섯 번째로 실제 악용이 확인된 Chrome 취약점 수정으로, 위협이 지속적·반복적으로 발생하고 있음을 보여줍니다. Chrome 사용자는 즉시 설정 > Chrome 정보에서 버전을 152.0.7977.82/.83으로 업데이트하고 브라우저를 재시작해야 하며, Microsoft Edge·Brave·Opera·Vivaldi 등 Chrome 기반 브라우저 사용자도 해당 앱의 업데이트를 확인해야 합니다.

2026. 09. 04.
BleepingComputer

해커들, 심각한 Roundcube 취약점 악용한 코드 인젝션 공격 개시

BleepingComputer

Langflow 치명적 취약점 악용으로 OpenAI·AWS 키 탈취

BleepingComputer

DIVD, Zammad 제로데이 취약점이 AI 주도 네트워크 침해를 가능케 했다고 밝혀

BleepingComputer

Magento 제로데이 'StyleSmuggler', Linux 백도어 배포에 악용 중

전체 목록

기업
BleepingComputer·2026. 09. 29.

잘못 설정된 Supabase 앱, 16,000개 이상 데이터베이스에서 데이터 노출

보안 업체 UpGuard가 조사한 결과, 백엔드 개발 플랫폼 Supabase로 만든 데이터베이스 중 1만 6천 개 이상이 잘못 설정되어 개인정보, 비밀번호, 인증 토큰 같은 민감한 정보를 누구나 볼 수 있게 노출되어 있었습니다. 미국 발렛 서비스 업체가 10만 건이 넘는 고객 정보를 노출한 사례, 캐나다 이민 서비스에서 평문 비밀번호 884건이 유출된 사례 등이 확인됐습니다. 원인은 로우 레벨 보안(row-level security) 정책이 없거나 제대로 작동하지 않고, 공개 키(public key)를 잘못 사용하는 등의 애플리케이션 보안 설정 미흡 때문입니다. 특히 AI 코딩 도구로 만들어진 사이트가 많은데, 개발자가 자신이 만든 데이터베이스의 보안 설정을 제대로 이해하지 못한 채 서비스를 운영하는 경우가 많았습니다. UpGuard는 심각한 노출이 확인된 서비스 운영자들에게 통보했으며, Supabase 사용자들에게 보안 문서와 API 보안 가이드를 참고해 노출 위험을 점검하라고 권고했습니다.

자세히 보기
#AI#개인정보#결제
중요기업
BleepingComputer·2026. 09. 25.

노출된 GitLab 프로젝트 이메일 주소, 공격자의 코드 푸시에 악용 가능

GitLab에는 이메일로 이슈나 작업을 프로젝트에 등록할 수 있는 "Email work item to this project" 기능이 있는데, 이 기능이 생성하는 개인 이메일 주소에는 계정 자격증명 역할을 하는 토큰이 포함되어 있습니다. 일부 개발자들이 버그 신고를 받기 위해 이 주소를 README나 공개 문서에 올려놓았고, 보안업체 Aikido가 이를 악용하면 공격자가 해당 사용자 권한으로 병합 요청(Merge Request)을 생성하거나 보호된 브랜치에 코드를 밀어 넣을 수 있다고 경고했습니다. GitLab은 이메일 발신자 주소를 검증하지 않아 인터넷 상의 누구나 토큰 소유자 명의로 요청을 보낼 수 있으며, IP 주소 제한도 우회됩니다. 인기 오픈소스 프로젝트도 영향을 받아 공급망(소프트웨어 공급망 보안) 위험이 제기된 상태이며, 노출된 토큰은 즉시 재설정해야 합니다.

자세히 보기
#AI#공급망#무차별 대입
중요기업
BleepingComputer·2026. 09. 24.

악성 AI 에이전트, 신용카드 60만 건 탈취하고 100개 이상 사이트에 스키머 삽입

AI 에이전트 도구 3종을 이용한 자동화 공격 캠페인이 온라인 소매업체들을 대규모로 노려 신용카드 정보 60만 건 이상을 훔쳤습니다. 공격자는 짧은 지시만 내리고 나머지는 AI가 알아서 처리하도록 해, 하루에 수십 개 기업을 자동으로 공격했습니다. 119개 이상의 웹사이트에 결제 정보를 빼내는 악성 코드(스키머)가 심어졌으며, Fortune 500 대기업·미국 주요 항공사 등 대형 조직도 피해를 입었습니다. 표적 하나당 공격 비용이 평균 25달러에 불과해, 기술 수준이 낮은 공격자도 쉽게 따라 할 수 있다는 점이 특히 우려됩니다. 공격자가 데이터 탈취 후 원본을 자동으로 삭제하는 은폐 루틴을 사용해, 피해 기업들은 카드 정보 유출과 함께 데이터 손실 피해까지 겪었습니다.

자세히 보기
#AI#AI 에이전트#결제
기업
BleepingComputer·2026. 09. 23.

AI로 공격 결정을 내리는 새로운 Windows 악성코드 ClosedQuorum 등장

ClosedQuorum는 Google Gemini, DeepSeek, Qwen, Mistral 등 여러 AI 모델을 동시에 활용해 공격 단계별 행동을 스스로 결정하는 새로운 Windows 악성코드입니다. 사람 운영자의 명령 없이도 감염 시스템에서 자격 증명 탈취·셸코드 주입·지속성 확보 등을 자율적으로 수행하며, 훔친 정보는 Discord 웹훅으로 자동 전송됩니다. Cisco Talos 연구진은 이를 AI 모델에 전술적 명령·제어(C2) 결정을 위임한 최초의 공개 문서화 Windows 임플란트로 평가했습니다. 현재 실제 배포 확인은 없고 테스트·실험 단계로 추정되지만, 공격 체인 전체를 자동화하는 새로운 구조적 방향을 보여준다는 점에서 보안 담당자의 주의가 요구됩니다.

자세히 보기
#AI#API 키#Windows
중요기업
BleepingComputer·2026. 09. 20.

악성 npm 패키지, 런타임 악용으로 설치 스크립트 차단 우회

npm 패키지 저장소에서 'indexed-btree'라는 악성 패키지가 발견됐습니다. 이 패키지는 정상적인 오픈소스 라이브러리처럼 위장해 주간 200만 건 이상 다운로드됐습니다. 공격자는 설치 시점이 아닌 프로그램 실행 중에 악성 코드가 동작하도록 숨겨, npm이 올해 도입한 최신 보안 조치를 완전히 우회했습니다. 악성 코드는 감염된 시스템 정보를 수집해 Slack·Telegram으로 유출하고, 이더리움 스마트 계약을 통해 추가 명령을 받습니다. 해당 패키지 또는 연관된 9개 패키지를 설치한 개발자는 즉시 모든 비밀 키를 교체하고 개발 환경을 안전한 백업으로 복원해야 합니다.

자세히 보기
#AI#API 키#GitHub
중요기업
BleepingComputer·2026. 09. 20.

연구자들, OpenAI Codex 샌드박스 탈출해 호스트 명령 실행 성공

보안 연구팀이 OpenAI의 AI 코딩 도우미 Codex에서 샌드박스(격리 실행 환경)를 탈출하는 취약점 두 가지를 발견했습니다. 그중 'Heapjack'는 가장 엄격한 읽기 전용 모드에서도 공격자가 심어 둔 저장소를 개발자가 열기만 해도 그 개발자의 컴퓨터에서 임의 명령을 몰래 실행할 수 있는 RCE(원격 코드 실행) 취약점입니다. 두 취약점 모두 "격리를 담당하는 장치가 격리 대상과 같은 공간에 있었다"는 구조적 설계 실수에서 비롯됐습니다. OpenAI는 신고를 받은 지 8일 만에 두 취약점을 모두 수정했으며, 사용자는 Codex Desktop 26.818.21641 또는 Codex CLI 0.149.0 이상으로 업데이트해야 합니다.

자세히 보기
#AI#AI 에이전트#PoC
중요공공
BleepingComputer·2026. 09. 17.

중국 해커, 정부 사이버 첩보 공격에 SparroWocky 악성코드 사용

중국과 연관된 해킹 그룹 FamousSparrow가 'SparroWocky'라는 새로운 백도어(해커가 몰래 시스템에 침입하기 위한 악성 프로그램) 악성코드를 이용해 라틴아메리카 정부 기관들을 1년 이상 공격해 왔습니다. 아르헨티나, 에콰도르, 과테말라 등 8개국이 표적이 됐으며, 목적은 미국의 중국 경제 압박에 대한 라틴아메리카 각국 정부의 동향을 파악하는 것으로 추정됩니다. SparroWocky는 파일 탈취, 화면 캡처, 원격 명령 실행 등 광범위한 첩보 수집 기능을 갖추고 있으며, 보안 솔루션을 피하기 위한 다양한 탐지 회피 기술도 내장되어 있습니다. 악성코드는 DLL 사이드로딩(정상 프로그램에 악성 DLL 파일을 끼워 넣는 기법)으로 설치되며, 정상 Windows 구성 요소로 위장해 보안 제품의 탐지를 피합니다. 보안 담당자는 공개된 침해지표(IoC)를 참고해 관련 C2(명령·제어 서버) 주소를 즉시 차단하고 의심스러운 DLL 로딩 행위를 모니터링해야 합니다.

자세히 보기
#AI#APT#EDR
기업
BleepingComputer·2026. 09. 15.

Homebrew 7.0.0, 내장 GUI와 강화된 보안 기능 탑재

오픈소스 패키지 관리자 Homebrew의 버전 7.0.0이 출시되며 내장 취약점 스캐너와 강화된 보안 기능을 선보였습니다. 새로운 `brew vulns` 명령어를 사용하면 설치된 패키지의 취약점을 OSV.dev(오픈소스 취약점 데이터베이스)와 연동해 자동으로 조회할 수 있습니다. 또한 사용자 홈 디렉터리 접근이 기본적으로 차단되는 등 샌드박싱(프로그램 격리 기술)이 강화되었습니다. Homebrew는 그간 위협 행위자들이 복제 사이트나 ClickFix 방식의 사기 수법을 통해 정보 탈취 악성코드를 유포하는 통로로 악용되어 왔습니다. macOS 개발·운영 환경에서 Homebrew를 사용하고 있다면 이번 버전으로 업그레이드하고 취약점 점검 명령어를 활용하는 것이 권장됩니다.

자세히 보기
#AI#GitHub#리눅스
이전1 / 2다음