TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

취약점 키워드 뉴스

공공
보안뉴스·2026. 09. 27.

2026 국정감사, AI와 사이버보안, 국방·안보, 재난 안전까지 주목해야 할 질문들

2026년 국정감사를 앞두고, 기업과 정부 기관에서 반복되는 사이버보안·개인정보 침해 문제가 핵심 점검 과제로 떠올랐습니다. 쿠팡·롯데카드·SKT·KT 등 대규모 유출 사고가 이어졌지만, 피해자는 과징금이 아닌 별도 민사소송으로만 보상을 받아야 하는 구조적 공백이 지적됩니다. 한 번 유출되면 변경이 불가능한 '연계정보(CI, 온라인 주민번호 역할을 하는 암호화 식별자)'의 제도 개선이 시급하고, 제로트러스트(Zero Trust, 내부 사용자도 신뢰하지 않고 매번 검증하는 보안 방식) 예산은 3년 연속 삭감되는 반면 중소기업 지원은 사실상 외면받고 있습니다. IoT(사물인터넷) 기기에 대한 최소 보안기준이 없어 IP 카메라 12만여 대가 해킹되는 등 피해가 반복되고 있으며, 2025년 대전 국가정보자원관리원 화재로 공공 데이터 858TB가 영구 소실되면서 정부 정보시스템의 재해복구 체계 허점이 드러났습니다.

자세히 보기
기업
전자신문 보안·2026. 09. 27.

AI 공격 빨라지는데…기업 보안은 '확산 차단' 취약

글로벌 IT·보안 리더 700명을 대상으로 한 조사에서, 95%는 공격자의 내부 이동(측면이동)을 탐지할 수 있다고 답했지만 46%는 이를 실제로 차단하지 못한다고 답해 '탐지'와 '차단' 사이에 큰 격차가 드러났습니다. 측면이동이란 해커가 시스템 하나를 뚫은 뒤 내부 네트워크를 타고 다른 시스템으로 퍼져나가는 방식입니다. 특히 AI가 취약점 발견부터 악용까지의 시간을 기존 몇 달에서 몇 시간으로 단축시키고 있어, 침입을 막는 것만으로는 부족하고 침해가 퍼지는 경로 자체를 끊는 대책이 필요합니다. 국내외 주요 보안 기관들은 네트워크를 잘게 쪼개 격리하는 '마이크로세그멘테이션(microsegmentation)'과 '제로트러스트(Zero Trust)'를 핵심 대응책으로 제시하고 있습니다.

자세히 보기
통신/IT
전자신문 보안·2026. 09. 27.

가비아, 외부 해킹으로 고객정보 2998명 유출…"사고 인지 직후 경로 차단"

국내 도메인·웹호스팅 서비스 기업 가비아가 외부 해커의 공격으로 고객 2,998명의 개인정보가 유출되는 사고를 겪었습니다. 공격자는 가비아 웹 서비스의 외부 요청 검증(입력값을 제대로 확인하지 않는 취약점)이 부족한 부분을 노려 내부 시스템에 무단 접근했습니다. 유출된 정보는 성명, 아이디, 이메일, 휴대전화번호이며, 비밀번호는 유출되지 않았습니다. 가비아는 사고 인지 후 약 80분 내에 접근 경로를 차단하고 취약점을 조치했으며, KISA(한국인터넷진흥원)와 개인정보보호위원회에 신고해 합동 조사 중입니다. 유출된 아이디를 이용한 다른 사이트 계정 도용(크리덴셜 스터핑) 피해가 우려되므로 가비아 이용자는 즉시 비밀번호를 변경할 것을 권장합니다.

자세히 보기
중요기업
The Hacker News·2026. 09. 27.

Lunex Stealer, AMD 드라이버 악용해 보안 모니터링 무력화 후 브라우저 자격증명 탈취

Lunex Stealer(루넥스 스틸러)는 우크라이나 웹사이트에 심어진 가짜 CAPTCHA 페이지로 사용자를 속여 악성 파일을 설치하게 만드는 정교한 악성코드입니다. 특히 AMD 그래픽 드라이버의 취약점(CVE-2023-20598)을 악용해 보안 프로그램을 몰래 무력화한 뒤 Chrome·Edge 등 7개 브라우저의 비밀번호, 쿠키, 암호화폐 지갑 데이터를 탈취합니다. 브라우저 안에 PowerShell 스크립트와 악성 확장 프로그램을 심어 악성코드 파일을 삭제하거나 재부팅해도 살아남는 강력한 지속성을 갖췄습니다. 현재 13개국 28개 서버로 빠르게 확산 중인 악성코드 서비스(MaaS) 플랫폼이며, HVCI(하이퍼바이저 기반 커널 보호)나 마이크로소프트 취약 드라이버 차단 목록으로도 막히지 않아 즉각적인 대응이 필요합니다.

자세히 보기
중요기업
The Hacker News·2026. 09. 26.

공격자들, WAF 우회로 Oracle PeopleSoft 취약점 악용 및 웹셸 배포

Oracle PeopleSoft(기업용 인사·재무 관리 소프트웨어)에서 인증 없이 원격으로 시스템을 장악할 수 있는 심각한 취약점(CVE-2026-35273, CVSS 9.8)이 실제 공격에 광범위하게 악용되고 있습니다. 공격자들은 WAF(웹 방화벽)를 우회하기 위해 URL 인코딩 기법을 사용하고, 시스템 침입 후 웹셸·백도어를 심어 데이터를 훔친 뒤 몸값을 요구하는 방식으로 활동하고 있습니다. 피해 대상은 고등교육, 의료, 정부, IT 서비스 등 여러 분야에 걸쳐 있으며, 미국 FBI 채용 사이트도 PeopleSoft 취약점을 통해 침해당한 것으로 알려졌습니다. 즉시 패치를 적용하고, EMHub 서비스를 비활성화하며, 웹셸 감염 여부와 자격증명 탈취 여부를 점검해야 합니다.

자세히 보기
중요기업
The Hacker News·2026. 09. 26.

Elementor CSRF 취약점, 관리자가 조작된 링크 클릭 시 사이트 장악 허용

전 세계 1,000만 개 이상의 WordPress 사이트에서 사용되는 웹사이트 제작 플러그인 Elementor의 버전 4.3.0~4.3.1에서 CSRF(사이트 간 요청 위조: 로그인된 사용자가 자신도 모르게 악성 행동을 수행하게 만드는 공격) 취약점이 발견되었습니다. 공격자가 관리자에게 조작된 링크 하나만 클릭하게 만들면, 그 권한으로 악성 관리자 계정이 자동 생성되어 사이트 전체를 빼앗길 수 있습니다. 공격에 JavaScript나 별도의 악성 웹 페이지가 필요 없으며, 이메일·채팅 메시지·댓글에 링크만 심어도 공격이 성립하는 것이 특히 위험합니다. 취약점은 이번 주 출시된 버전 4.3.2에서 수정되었으므로, 해당 버전을 사용 중인 사이트 관리자는 즉시 업데이트해야 합니다.

자세히 보기
중요기업
The Hacker News·2026. 09. 26.

SharePoint RCE 및 MikroTik RouterOS 취약점, 실제 공격에 적극 악용 중

미국 사이버보안 기관 CISA가 Microsoft SharePoint와 MikroTik RouterOS에서 발견된 심각한 보안 취약점들을 실제 공격에 악용되고 있다며 KEV(실제 악용 확인 목록)에 등재했습니다. SharePoint 취약점(CVE-2026-65660)은 인증된 공격자가 네트워크를 통해 원격으로 코드를 실행할 수 있게 하며, Microsoft도 실제 공격 사례를 확인했습니다. MikroTik RouterOS에서는 두 가지 취약점을 결합한 'MikroTrick'이라는 공격 기법이 등장해, 비밀번호 없이도 인터넷에 노출된 라우터의 관리자 권한을 완전히 탈취할 수 있습니다. 해당 제품을 사용하는 조직은 즉시 패치를 적용해야 하며, 미국 연방 기관은 2026년 9월 28일까지 조치를 완료해야 합니다.

자세히 보기
공공
ZDNet Korea·2026. 09. 26.

국정원, 국가·공공기관 사이버보안 평가 강화

국가정보원(국정원)이 공공기관을 대상으로 하는 사이버보안 실태평가를 대폭 강화합니다. 공공기관 경영평가에서 사이버보안 배점이 0.25점에서 0.6점으로 두 배 이상 올랐고, 평가 대상 기관도 2028년까지 기초자치단체(220여 곳 포함)까지 확대됩니다. 기관별 보안 등급 공개도 기존 3단계에서 5단계로 세분화되며, 정보보호 인력과 예산 확보가 기존 권고에서 의무로 강화됩니다. 또한 PC 공동인증서 사용 시 해킹 악용 사례가 많았던 플러그인 소프트웨어 강제 설치를 최소화하는 규정도 마련됩니다.

자세히 보기
공공
ZDNet Korea·2026. 09. 26.

국정원 추진 9대 사이버보안 정책 살펴보니...AI방어팀 세계 첫 구축

한국 국가정보원(NIS)이 2026년 9월 '사이버 서밋 코리아(CSK 2026)' 행사에서 AI보안, 클라우드 보안, 소프트웨어 공급망 보안, 양자내성암호(현재의 암호체계를 깰 수 있는 양자컴퓨터에도 견디는 새로운 암호 기술) 전환 등 9대 사이버보안 정책을 발표했습니다. 특히 국정원은 사람 개입 없이 AI 스스로 실시간 사이버공격을 탐지·분석·대응하는 'AI 방어팀'을 세계 최초로 국제 사이버 훈련에 투입해 주목받았습니다. 공공기관은 내년부터 AI 레드티밍(시스템을 해커처럼 직접 공격해 약점을 찾는 보안 검증 활동) 테스트베드를 활용할 수 있게 되고, 2028년까지 국가 취약점 데이터베이스와 소프트웨어 공급망 통합 관리 시스템이 구축될 예정입니다. 기업과 공공기관 담당자는 SBOM(소프트웨어 구성요소 명세서) 제출 의무화, 양자내성암호 전환 일정, 클라우드 보안 등급 체계 개편 등 향후 의무 변화를 미리 파악하고 준비할 필요가 있습니다.

자세히 보기
중요기업
BleepingComputer·2026. 09. 26.

Kiteworks, 잠재적 제로데이 공격 대비 6시간 서버 셧다운 권고

보안 파일 공유 솔루션 업체 Kiteworks가 법 집행 기관으로부터 "이번 주말 공격이 임박할 수 있다"는 신뢰할 만한 위협 정보를 입수하고, 전 세계 고객들에게 토요일(9월 26일) 6시간 동안 서버를 셧다운(일시 중단)하도록 긴급 권고했습니다. Kiteworks 측은 현재까지 실제 침해가 확인된 것은 아니며 이번 조치는 예방 차원이라고 밝혔고, 알려진 취약점은 최신 버전 9.5.1에서 모두 패치됐다고 설명했습니다. 다만 고객 지원팀은 이번 셧다운 권고가 잠재적인 제로데이(Zero-day, 아직 알려지지 않은 취약점을 노린) 공격에 대비하기 위한 것이라고 언급했습니다. 과거 GoAnywhere MFT, MOVEit Transfer 등 유사한 파일 전송 플랫폼을 집중 공격해 온 Clop 랜섬웨어(데이터를 인질로 삼아 금전을 요구하는 악성 소프트웨어) 그룹과의 연관 가능성도 거론되고 있습니다. Kiteworks를 사용하는 조직은 즉시 최신 버전으로 업데이트하고, 유사 상황 발생 시 신속히 시스템을 오프라인으로 전환할 수 있는 절차를 갖춰야 합니다.

자세히 보기
중요기업
BleepingComputer·2026. 09. 26.

ShinyHunters, Grav CMS 경로 탐색 취약점으로 Clop 리크 사이트 해킹

랜섬웨어 그룹 Clop의 다크웹 데이터 유출 사이트가 ShinyHunters라는 해킹 그룹에 의해 침해·변조됐습니다. ShinyHunters는 Grav CMS의 인증 없이 악용 가능한 경로 탐색(path traversal, 허용된 폴더 밖에 파일을 쓸 수 있는 취약점) 취약점(CVE-2026-42608)을 이용해 Clop 서버에 임의 파일을 업로드했습니다. 이 취약점은 Grav CMS 1.7 버전에 패치가 적용되지 않은 상태였으며, 이번 사건 공개 이후 Grav가 1.7.53.4 버전에 백포트 패치를 배포했습니다. Grav 2.x 사용자는 이미 수개월 전부터 보호된 상태이므로, 현재 1.7.x를 사용 중인 조직은 즉시 1.7.53.4로 업그레이드해야 합니다.

자세히 보기
중요기업
BleepingComputer·2026. 09. 26.

Elementor WordPress 취약점, 공격자가 관리자 계정 생성 가능

워드프레스(WordPress)에서 1,000만 개 사이트에 설치된 인기 플러그인 Elementor의 4.3.0~4.3.1 버전에서 CSRF(사이트 간 요청 위조) 취약점이 발견됐습니다. 이 취약점을 악용하면 공격자가 로그인된 관리자에게 악성 링크 하나를 클릭하게 만드는 것만으로도 자신이 통제하는 관리자 계정을 새로 만들 수 있습니다. 현재 해당 취약점이 있는 두 버전을 사용하는 사이트는 최대 200만 개에 달합니다. 공격에 자바스크립트나 별도 웹페이지가 필요 없고, 이메일·채팅·댓글로 링크만 전달해도 공격이 성립합니다. 현재 패치 버전(4.3.2)이 출시되어 있으므로 즉시 업그레이드해야 합니다.

자세히 보기