TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

웹셸 키워드 뉴스

중요기업

The Hacker News·2026. 09. 11.

ThreatsDay: 안드로이드 취약점 200건, 브라우저 내 피싱 페이지 생성, 가짜 쇼핑몰 11만9천 개 외 23건

이번 주 보안 뉴스 모음집에는 기업 보안 담당자가 즉시 확인해야 할 사안들이 여럿 포함되어 있습니다. 가장 주목할 항목은 안드로이드 9월 보안 패치로, 200개의 취약점 중 CVE-2026-28662(Wi-Fi를 통해 아무런 사용자 조작 없이 원격으로 코드를 실행할 수 있는 심각한 결함)가 포함되어 있어 기업 내 안드로이드 기기 전체에 즉시 업데이트를 배포해야 합니다. 중국어 사용자로 추정되는 공격자가 Claude Code·Qwen·DeepSeek 같은 AI 도구를 활용해 정부·금융 시스템 침투를 자동화한 캠페인도 공개됐으며, 이는 AI 기반 사이버 공격이 실전에 사용되고 있음을 보여줍니다. 또한 BigBear 2.0이라는 서비스형 피싱(PhaaS) 플랫폼이 40개국 이상의 461개 조직을 표적으로 삼아 MFA(다중 인증)를 우회하고 세션 쿠키를 탈취했으며, Google의 합법적 서비스 6종을 경유한 다단계 피싱 캠페인도 발견됐습니다. 랜섬웨어 연계 공격(EtherRAT→TukTuk→The Gentlemen 랜섬웨어), 가짜 쇼핑몰 119,000개 운영, npm 악성 패키지 13종 등 다양한 위협이 동시에 진행 중입니다.

#AI #AI 에이전트 #DNS

중요기업

Help Net Security·2026. 09. 10.

Cisco FMC 취약점, 국가 지원 해킹 그룹·랜섬웨어 조직에 의해 실제 악용 중 (CVE-2026-20079, CVE-2026-20316)

Cisco의 방화벽 중앙 관리 솔루션인 FMC(Firewall Management Center)에서 발견된 두 가지 심각한 취약점(CVE-2026-20079, CVE-2026-20316)이 국가 지원 해킹 그룹과 랜섬웨어 조직에 의해 실제로 악용되고 있습니다. CVE-2026-20079는 로그인 없이도 시스템 최고 권한(root)을 원격으로 탈취할 수 있는 인증 우회 취약점이며, CVE-2026-20316은 소프트웨어에 고정 삽입된 비밀번호를 이용해 무단 로그인이 가능한 취약점입니다. 러시아 국가 지원 그룹 Sandworm은 방화벽 설정 파일 탈취와 백도어 설치에 이 취약점들을 활용하고 있으며, Qilin 랜섬웨어 조직은 침투 후 보안 솔루션을 무력화하고 랜섬웨어를 배포하는 데 사용하고 있습니다. Cisco는 즉시 핫픽스를 적용할 것을 강력히 권고하고 있으며, 9월 16일 주에 종합 보안 강화 업데이트를 배포할 예정입니다.

#AI #Tomcat #랜섬웨어

중요기업

The Hacker News·2026. 09. 09.

F5 BIG-IP APM 악성코드, PHP 웹 셸을 메모리에 주입해 디스크 스캔 우회

F5 BIG-IP APM(기업 네트워크 접근을 통제하는 장비)을 침해한 악성코드가 PHP 웹 셸을 디스크가 아닌 메모리에 삽입해 일반적인 파일 검사를 우회하는 사실이 Sophos의 분석을 통해 확인됐습니다. 이 악성코드는 CVE-2025-53521(CVSS 9.8점, 인증 없이 원격 코드 실행 가능)을 악용하며, F5는 2026년 3월 이 취약점이 실제 공격에 사용됐다고 공식 확인했습니다. 공격자는 Apache 웹 서버 프로그램 자체를 변조해, PHP가 특정 스크립트를 메모리에 불러올 때 웹 셸을 끼워 넣기 때문에 디스크 파일을 검사해도 이상이 없어 보입니다. 패치는 2025년 10월에 이미 공개됐으나, 패치 이전에 침해된 장비는 업그레이드 후에도 악성코드가 남아 있을 수 있어 반드시 별도의 무결성 점검이 필요합니다. 공격 주체는 아직 특정되지 않았으며, 장비 업그레이드 이미지까지 감염시켜 다른 시스템으로 전파되도록 설계된 것으로 분석됐습니다.

#CVSS #RCE #악성코드

중요기업

BleepingComputer·2026. 09. 09.

해커들, F5 BIG-IP APM 장치 침해 후 Linux 루트킷 배포

F5 BIG-IP APM(애플리케이션 접근 관리) 장치를 겨냥한 Linux 루트킷이 발견되었습니다. 이 악성코드는 CVE-2025-53521이라는 심각한 원격 코드 실행(RCE, 공격자가 원격에서 시스템 명령을 마음대로 실행하는 공격) 취약점을 악용한 뒤 배포되며, 디스크에 파일을 남기지 않고 메모리 안에서 직접 웹 셸(해킹 도구)을 주입하는 '파일리스' 방식을 사용합니다. Sophos와 ESET이 동일한 악성코드를 분석했으며, ESET은 이를 'PoisonedRefresh'로 명명했습니다. BIG-IP 시스템 업그레이드 이후에도 감염이 유지되고, 실제로 795개의 취약 엔드포인트가 인터넷에 노출된 것으로 확인되어 즉각적인 패치와 침해 여부 점검이 필요합니다.

#RCE #백도어 #악성코드

중요기업

The Hacker News·2026. 09. 08.

Adobe, Rust 백도어 및 PHP 웹셸 배포에 악용된 Magento 제로데이 긴급 패치

Adobe가 온라인 쇼핑몰 구축 플랫폼인 Adobe Commerce와 Magento Open Source에서 발견된 최고 심각도(CVSS 10.0) 취약점 CVE-2026-75650을 긴급 패치했습니다. 'StyleSmuggler'라는 이름이 붙은 이 취약점은 인증 없이 서버에서 원하는 코드를 실행할 수 있게 해 주며, 2026년 9월 4일부터 실제 공격에 활용된 것이 확인됐습니다. 공격자들은 이 취약점을 이용해 Rust 기반 백도어(원격에서 서버를 제어하는 악성 프로그램)와 PHP 웹셸(웹을 통해 서버 명령을 실행하는 도구)을 피해 서버에 심었습니다. 첫 공격이 보고된 지 불과 50분 만에 추가 서버가 침해된 사례도 있어 매우 빠른 공격 확산이 우려됩니다. Adobe는 긴급 핫픽스(VULN-39341)를 배포했으며, 영향받는 버전 사용자는 즉시 패치 적용과 암호화 키 교체를 해야 합니다.

#CVSS #RCE #결제

중요금융

ZDNet Korea·2026. 09. 07.

"'인다이렉트 인젝션' 해커 공격, 듀얼 LLM으로 방어 가능"

서울대 이병영 교수는 AI 에이전트를 노린 '인다이렉트 프롬프트 인젝션(외부 데이터에 악의적 명령을 심어 AI가 사용자 모르게 엉뚱한 행동을 하게 만드는 공격)' 공격을 막기 위해 두 개의 LLM(대형 언어 모델)을 격리해 운영하는 '듀얼 LLM' 기술을 제안했으며, 실험에서 공격 성공률 0%를 기록했습니다. 한편 금융보안원은 딥시크 기반 AI 에이전트가 실제 금융권 서버에서 RCE(원격 코드 실행) 취약점을 악용해 웹셸을 설치하려 한 정황을 포착했다고 밝혔으며, 이를 AI 에이전트를 활용한 최초의 실제 공격 사례로 지목했습니다. 금융보안원은 이번 공격이 기존의 표적형·스캔형을 결합한 새로운 형태라고 분석하며, 경영진 책임 강화·취약점 관리·AI 기반 방어 자동화 등 6대 보안 수칙 준수를 금융기관에 권고했습니다. AI 기반 사이버 위협이 현실화된 만큼, CISO 혼자가 아닌 이사회 중심의 전사적 보안 체계 구축이 시급하다고 강조했습니다.

#AI #AI 보안 #AI 에이전트

중요기업

The Hacker News·2026. 09. 07.

⚡ 주간 요약: Chrome 제로데이, 라우터 하이재킹, Coder 공급망 공격 등

이번 주 보안 뉴스에서 가장 주목할 사항은 Google Chrome 브라우저의 제로데이 취약점(CVE-2026-85046)으로, 악성 웹페이지를 여는 것만으로도 공격자가 사용자 시스템에서 임의 코드를 실행할 수 있으며 실제 공격이 확인되어 CISA 실제 악용 목록(KEV)에도 등재되었습니다. MikroTik 라우터에서는 인증 없이 장치를 완전히 장악할 수 있는 취약점 체인('MikroTrick')이 9월 2일부터 실제 공격에 활용되고 있습니다. Magento·Adobe Commerce 기반 온라인 쇼핑몰에는 아직 패치가 없는 제로데이(StyleSmuggler)를 통해 백도어가 심어지고 있으며, 개발 플랫폼 Coder는 Cloudflare 인프라가 침해되어 악성 모듈이 배포되는 공급망 공격을 받았습니다. N-able N-central에도 CVSS 10.0 만점의 사전 인증 원격 코드 실행 취약점이 확인되어 즉각적인 핫픽스 적용이 필요합니다.

#AI #AI 에이전트 #API 키

중요기업

The Hacker News·2026. 09. 07.

Telerik UI 패딩 오라클 취약점, 비인증 원격 코드 실행으로 연결되는 체인 — 공개 익스플로잇 공개

보안 기업 TantoSec이 ASP.NET 웹 개발에 널리 쓰이는 컴포넌트인 Telerik UI for ASP.NET AJAX의 취약점을 악용해 로그인 없이도 서버를 완전히 장악할 수 있는 공격 도구를 공개했습니다. 핵심 원리는 암호화 방식의 결함(패딩 오라클)을 이용해 서버의 암호화 키를 알지 못해도 악성 코드가 담긴 DLL 파일을 서버에 강제로 실행시키는 것입니다. Progress Software는 이미 2026년 7월에 패치를 배포했으나, 공격 도구가 공개된 만큼 패치되지 않은 서버는 즉각적인 위험에 노출됩니다. 다만 공격이 성립하려면 기본 설정이 아닌 특정 조건이 갖춰져야 하며, 현재까지 실제 악용 사례는 확인되지 않았습니다. 동일 컴포넌트의 구버전 취약점(CVE-2019-18935)은 과거 랜섬웨어 조직과 국가 배후 해킹 그룹이 실제로 악용한 전례가 있어 각별한 주의가 필요합니다.

#CVSS #PoC #RCE

중요기업

The Hacker News·2026. 09. 04.

WordPress 플러그인 Super Forms·Elementor Pro의 RCE 취약점을 겨냥한 익스플로잇 시도 44만 건 돌파

워드프레스(WordPress) 플러그인인 Super Forms와 Elementor Pro에서 치명적인 보안 취약점이 발견돼 현재 대규모로 악용되고 있습니다. 두 취약점 모두 로그인하지 않은 공격자가 PHP 파일을 서버에 올릴 수 있어, 사이트 전체를 장악하거나 관리자 계정을 임의로 만들고 데이터를 빼낼 수 있습니다. 보안 업체 Wordfence에 따르면 두 취약점을 겨냥한 공격 시도가 이미 44만 건을 넘었습니다. 해당 플러그인을 사용 중인 사이트 운영자는 즉시 최신 버전으로 업데이트하고, 서버에서 의심스러운 PHP 파일이 새로 생겼는지 확인해야 합니다.

#CVSS #RCE #데이터 탈취

중요기업

BleepingComputer·2026. 09. 03.

Elementor Pro 심각한 취약점, 워드프레스 사이트 탈취에 실제 악용 중

워드프레스(WordPress)용 인기 플러그인 Elementor Pro에서 심각한 보안 취약점(CVE-2026-32475)이 발견되어 실제 공격에 악용되고 있습니다. 공격자는 파일 업로드 기능의 검증 오류를 이용해 악성 PHP 파일(웹셸)을 서버에 몰래 올린 뒤 원격에서 마음대로 명령을 실행할 수 있습니다. Elementor Pro는 전 세계 600만 개 이상의 사이트에서 사용 중이며, 패치 당일인 8월 19일부터 이미 공격이 시작되어 현재까지 약 19만 건의 공격 시도가 차단되었습니다. 취약한 버전(4.2.1 이하)을 사용 중인 관리자는 즉시 4.2.2 이상으로 업그레이드해야 하며, 서버 내 특정 디렉터리에 PHP 파일이 있는지 확인해 침해 여부를 점검해야 합니다.

#RCE #방화벽 #워드프레스

중요금융

The Hacker News·2026. 09. 02.

Breeze Comet, 브라질 결제 시스템 통해 수백 건의 부정 거래 실행

**Breeze Comet**(구 UNC5669)는 2024년부터 브라질 금융기관과 유통·전자상거래 기업을 노리는 금전 목적의 해킹 조직입니다. 이 그룹은 Pix, STR, Boleto 같은 브라질 즉시결제 시스템에 직접 침투해 수백 건의 부정 이체를 실행했으며, 단 한 번의 공격으로 수만 달러 상당의 자산을 탈취했습니다. 초기 침투 방식은 비밀번호 무차별 대입(패스워드 스프레이)이나 IT 지원팀을 사칭한 전화·WhatsApp 메시지로 피해자에게 원격 관리 도구를 설치하게 하는 방식입니다. 이후 COBALTSPIN, LIGHTPAINT, KICKPLATE 등 맞춤형 악성코드로 내부 시스템에 지속적으로 발판을 마련하고, Windows Defender를 비활성화해 탐지를 피합니다. Google과 Mandiant는 이 그룹이 LLM(대규모 언어모델)을 활용해 악성코드 개발 속도를 높이고 있으며, 라틴아메리카와 아프리카로 공격 범위를 넓힐 의도가 있다고 경고했습니다.

#DNS #LLM #RDP

중요통신/IT

The Hacker News·2026. 08. 28.

cPanel 심각한 취약점 — 호스팅 고객 한 명이 서버 전체의 루트 권한 탈취 가능

웹호스팅 관리 도구인 cPanel과 WHM에서 심각한 보안 취약점(CVE-2026-65643)이 발견됐습니다. 이 취약점을 악용하면 서버에 일반 계정을 가진 사용자가 서버 최고 관리자(root) 권한으로 코드를 실행해 서버 전체를 장악할 수 있어 공유 호스팅 환경에서 특히 위험합니다. cPanel은 즉시 패치 버전을 배포했으며, 자동 업데이트가 설정된 서버는 자동으로 반영되고 수동 적용은 `/scripts/upcp --force` 명령으로 가능합니다. 같은 cPanel 생태계에서 이미 실제 악용이 확인된 취약점(CVE-2026-54420 등)도 존재하므로 빠른 패치 적용이 필수입니다. 패치가 적용돼도 이미 발생한 침해를 되돌리지는 못하기 때문에, 사전 침해 여부 확인도 함께 권고됩니다.

#CVSS #권한 상승 #랜섬웨어

이전3 / 3다음