취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
기업기업들이 사용하는 TLS 인증서(웹사이트·서버 간 암호화 통신에 쓰이는 디지털 신분증)의 유효 기간이 2029년까지 현재보다 훨씬 짧은 47일로 단축됩니다. 이렇게 되면 기업은 지금보다 8배 이상 자주 인증서를 갱신해야 합니다. 실제로 조사 응답 기업의 34%는 인증서 만료로 서비스 장애를 겪었고, 장애 한 번에 25만 달러(약 3억 5천만 원) 이상의 손실을 본 기업도 4곳 중 1곳에 달합니다. 수작업 관리 방식으로는 늘어나는 인증서 물량을 감당하기 어렵기 때문에, 전문가들은 자동화된 인증서 생애주기 관리 도입을 서두를 것을 권고합니다.
자세히 보기
기업KAIST 김용대 교수가 한국의 사이버 침해사고 예방 체계의 구조적 문제를 짚은 칼럼입니다. 올해도 AnySign4PC 취약점 악용, 소스코드에 노출된 접속키, 모의해킹에서 이미 지적된 취약점 방치 등 "이미 알고 있었지만 고치지 않은" 사고들이 반복되고 있습니다. 현행 제도는 사고 후 과징금·제재 중심이라, 기업이 취약점을 먼저 찾아 고칠 유인이 오히려 줄어드는 역설이 발생합니다. 반면 예방 활동에 실질적인 보상·면책을 부여하는 장치는 접속기록 보관 의무 외에는 거의 없습니다. 저자는 자산 현황·패치 이력·침입 탐지 속도 등 예방 지표를 공시에 포함하고, 스스로 취약점을 찾아 조치한 기업에 법적 면책을 부여해야 한다고 주장합니다.
자세히 보기
중요기업네덜란드 국가사이버보안센터(NCSC)가 Check Point VPN 제품에서 발견된 두 가지 치명적 취약점(CVE-2026-85102, CVE-2026-85103)에 대해 악용 시도가 곧 발생할 것이라고 경고했습니다. 두 취약점 모두 원격 코드 실행(RCE, 원격에서 공격자가 시스템을 마음대로 조작할 수 있는 공격)이 가능해, 공격자가 시스템을 완전히 장악하거나 기밀 데이터를 탈취·변조하고 서비스를 중단시킬 수 있습니다. Check Point는 9월 9일 보안 패치를 배포했으며, Check Point Live Patch(CPLP) 사용자는 서버 재부팅 없이도 자동으로 보호를 받을 수 있습니다. 영향을 받는 버전을 사용하는 조직은 즉시 업데이트를 적용해야 하고, 'Site-to-Site VPN' 사용자는 신뢰할 수 있는 IP 주소로만 접근을 제한하는 추가 조치도 권고됩니다.
자세히 보기
공공한국 정부(과학기술정보통신부)가 발주한 '사이버보안 특화 AI 파운데이션 모델 개발' 사업의 수행기관으로 네이버클라우드가 선정되어, 약 2000억원 상당의 자체 GPU 4000장을 투입해 보안 전용 AI 모델을 개발한다고 밝혔습니다. 네이버클라우드(방어)와 LG AI연구원(공격) 이 투 트랙으로 역할을 나눠, 공격 AI가 취약점을 찾으면 방어 AI가 이를 탐지·차단하는 방식으로 서로 성능을 높이는 구조입니다. 악성코드 프로파일링·공격 IP·전문가 대응 이력 등 830TB에 달하는 실전 보안 데이터를 학습에 활용하며, 내년 2월까지 약 300억 개 파라미터(300B) 규모의 모델을 완성하는 것이 중간 목표입니다. 완성된 모델은 금융·통신·전력 등 국가 기반시설에 우선 실증되고, 공공·국방처럼 망분리 규제가 강한 분야에는 직접 설치하는 구축형으로 제공될 예정입니다. 공격에 직접 악용될 수 있는 익스플로잇 하네스 등 일부 구성 요소는 공개 범위를 제한해 오남용을 막을 방침입니다.
자세히 보기
중요기업Check Point가 자사 방화벽 및 VPN 관리 제품에서 심각도 최고 수준(CVSS 9.8)의 취약점 두 건을 발견하고 2026년 9월 9일 패치를 배포하기 시작했습니다. 두 취약점(CVE-2026-85102, CVE-2026-85103) 모두 인증 없이 원격에서 악성 코드를 실행할 수 있는(RCE, Remote Code Execution) 위험이 있습니다. 영향을 받는 제품은 Quantum Security Gateway, Security Management Server, 소기업용 Spark Firewall이며, R82.10·R82·R81.20 버전이 포함됩니다. Check Point는 자동 패치(Live Patch)를 배포 중이나 일부 고객에게는 아직 전달되지 않았고, R81.10 등 일부 구버전은 패치 경로 자체가 없어 임시 완화 조치만 가능한 상황입니다. 올해 이미 유사 Check Point 제품에서 실제 공격에 악용된 취약점이 두 건 발생한 선례가 있어, 빠른 패치 적용이 강력히 권고됩니다.
자세히 보기
기업보안 기업 OPAQUE가 AI 모델의 가중치(모델 파일)를 허가된 하드웨어에서만 복호화할 수 있도록 제어하는 오픈 표준 'Weight Custody Manifest(WCM)'를 공개했습니다. AI 모델을 기업 고객에게 전달할 때, 모델 파일이 일단 빌더의 서버를 떠나면 계약상 약속을 기술적으로 강제할 방법이 없다는 문제를 해결하기 위한 것입니다. WCM은 수신 환경이 빌더가 지정한 조건과 일치함을 암호학적으로 증명해야만 복호화 키를 내어주는 방식으로 작동합니다. 다만 공개 테스트 도구는 실제 하드웨어가 아닌 모의 환경에서 돌아가며, GPU 암호화 검증은 포함되지 않아 실제 배포 전 별도 하드웨어 검증이 필요합니다. 물리적 공격에 의한 키 탈취 등 한계도 남아 있어, 만능 해결책으로 보기는 어렵습니다.
자세히 보기
기타양자컴퓨터 기업 아이온큐(IonQ)가 비트코인에 쓰이는 암호(타원곡선 암호 secp256k1)를 양자컴퓨터로 풀어내는 데 약 25.7일이 걸린다는 계산 결과를 발표했습니다. 필요한 조건은 1만 9,397개의 물리적 큐비트(양자컴퓨터의 기본 연산 단위)를 갖춘 내결함성 시스템인데, 아이온큐는 2027~2028년경 이 수준에 근접할 것으로 보고 있습니다. 다만 현재 기술로는 아직 이런 규모의 양자컴퓨터가 존재하지 않아 당장 비트코인이나 기존 암호 체계가 위협받는 것은 아닙니다. 이번 연구는 단순 이론이 아니라 실제 구현을 위한 공학적 청사진이라는 점에서, 보안 담당자들이 양자 내성 암호(포스트 퀀텀 암호)로의 전환 시기를 가늠하는 구체적인 지표가 될 수 있습니다. 타원곡선 암호(ECC)는 비트코인 외에도 TLS, 전자서명 등 기업 인프라 곳곳에 쓰이므로 장기적인 대비가 필요합니다.
자세히 보기
중요기업SAP가 자사 핵심 제품들에서 발견된 다수의 심각한 보안 취약점에 대한 패치를 배포했습니다. 그 중 가장 위험한 CVE-2026-44756은 CVSS 최고점인 10.0을 기록한 취약점으로, SAP 커널의 Extended Passport(EPP) 처리 과정에서 발생하는 메모리 손상 문제입니다. 이 취약점은 로그인 없이 인터넷을 통해 악용할 수 있으며, 공격 성공 시 데이터베이스 비밀번호·세션 데이터·전체 비즈니스 데이터 탈취와 함께 연결된 모든 SAP 시스템으로의 침투가 가능합니다. 특히 SAP의 계정 잠금·권한 통제 같은 기존 보안 설정은 이 공격 경로를 막을 수 없어 즉각적인 패치 적용이 필수입니다. 현재까지 실제 악용 사례는 보고되지 않았으나, 취약점의 심각성으로 인해 인터넷에 노출된 시스템부터 우선 패치할 것이 권고됩니다.
자세히 보기
중요기업Microsoft가 2026년 9월 패치 화요일(Patch Tuesday)을 맞아 Windows 10용 보안 업데이트 KB5122878을 배포했습니다. 이번 업데이트에는 Microsoft 제품 전반에 걸쳐 무려 966개의 취약점을 수정한 내용이 포함되어 있으며, 그 중 두 건은 실제로 해커들이 이미 악용하고 있는 제로데이(zero-day, 아직 공식 패치가 없는 상태에서 공격에 쓰이는 취약점) 결함입니다. Windows 10 Enterprise LTSC를 사용하거나 ESU(Extended Security Update, 연장 보안 업데이트) 프로그램에 등록된 기업은 Windows 업데이트를 통해 즉시 설치할 수 있습니다. Secure Boot 인증서 교체, BitLocker 그룹 정책 오류, Remote Desktop 오디오 문제 등 다양한 버그 수정도 함께 포함되어 있습니다.
자세히 보기
중요기업SAP가 2026년 9월 보안 업데이트를 통해 총 20개의 취약점을 수정했으며, 그 중 SAP 커널의 'OVERPASS'(CVE-2026-44756)는 버퍼 오버플로(메모리를 넘쳐 흐르게 해 공격자가 시스템을 제어하는 기법)로 권한 없는 공격자도 관리자 권한으로 임의 명령을 실행할 수 있는 최고 심각도 취약점입니다. 인터넷에 노출된 SAP 시스템이 1만 개 이상으로 추산되어 피해 범위가 매우 넓습니다. 함께 패치된 S4GET(CVE-2026-58240)은 인증 없이도 SAP NetWeaver 클러스터 전체를 원격 장악할 수 있어 마찬가지로 심각합니다. 지난달 수정된 CVE-2026-58231은 패치 직후 실제 공격에 악용된 것이 확인되었습니다. SAP 시스템을 운영하는 기업은 이번 패치를 즉시 적용해야 합니다.
자세히 보기
중요기업FreeIPA(리눅스 도메인 전체의 로그인 권한과 사용자 정보를 관리하는 시스템)에서 로그인한 적도 없는 익명 사용자가 관리자 권한을 스스로 만들어낼 수 있는 취약점 체인이 발견됐습니다. CVE-2026-76578(CVSS 9.8, 위험도 최상)과 389 Directory Server의 CVE-2026-76560이 결합되면, 아무 계정도 없는 외부인이 Kerberos(네트워크 인증 프로토콜) 관리자 자격증명을 직접 생성해 관리자 그룹에 진입할 수 있습니다. Red Hat은 기본 설치 상태에서 이 공격을 직접 재현했습니다. FreeIPA 4.13.4에서 수정됐으나 Red Hat Enterprise Linux용 ipa 패키지는 확인 시점 기준 아직 패치가 없어, 즉시 LDAP 포트(389, 636)를 방화벽으로 제한하거나 익명 LDAP 바인드를 비활성화하는 임시 조치가 필요합니다.
자세히 보기
중요기업"BigBear 2.0"라는 서비스형 피싱(PhaaS) 플랫폼이 258개 조직의 다중 인증(MFA)을 우회해 Microsoft 365 계정 5,000여 개의 자격증명을 탈취했습니다. 이 플랫폼은 공격자가 피해자와 Microsoft 서버 사이에 몰래 끼어들어 MFA 완료 후 발급되는 세션 쿠키까지 가로채는 방식(중간자 공격)을 사용합니다. 특히 FIDO2/WebAuthn 같은 강력한 인증 수단을 교란하는 자바스크립트를 써서 피해자를 더 취약한 인증 방식으로 유도하고, 지역별 일반 가정용 IP를 사용해 Microsoft의 이상 탐지를 회피합니다. 현재 피싱 인프라 일부는 오프라인이지만 관리 패널은 여전히 온라인 상태이며, 최소 5개 제휴 운영자가 텔레그램으로 실시간 탈취 정보를 받고 있어 위협이 지속 중입니다. 피해 가능성이 있는 조직은 즉시 비밀번호 초기화, 세션 무효화, 고권한 계정 재인증을 실시해야 합니다.
자세히 보기