취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
중요통신/ITJadePuffer(스톰-3168)라는 랜섬웨어 공격 조직이 AI 에이전트를 이용해 Microsoft Azure 클라우드 환경을 자동으로 공격하고 있습니다. 정찰, 자격증명 탈취, 내부 이동, 데이터 암호화까지 전체 공격 과정을 AI가 자동화해서 처리합니다. Microsoft가 6월에 관측한 공격에서는 탈취한 서비스 계정으로 100개 이상의 스토리지 계정과 Key Vault, 가상머신 등을 겨냥해 단 7분 만에 파괴 작업을 진행했습니다. 백업 복구를 막기 위해 복구 보호 장치까지 제거하려 했으며, 일부 자격증명은 공개된 깃허브(GitHub) 이슈에 노출되어 있던 것으로 확인됐습니다.
자세히 보기
중요통신/ITJADEPUFFER(마이크로소프트 명칭: Storm-3168)라는 공격 조직이 마이크로소프트 Azure 클라우드 환경에서 탈취한 서비스 프린시펄(자동화 인증 계정)을 이용해 저장소, 데이터베이스, 백업 등 여러 리소스를 삭제한 사건이 확인됐습니다. 이 공격은 2026년 6월 초 약 18시간에 걸쳐 진행됐고, 스토리지 계정 100여 건이 삭제 시도됐으며 대부분 실제로 삭제됐습니다. 이 조직은 앞서 Langflow의 취약점(CVE-2025-3248)을 악용해 침투한 뒤 AI(인공지능) 에이전트가 스스로 판단해 자격증명을 훔치고 내부로 이동하며 랜섬웨어 공격을 수행한 것으로도 알려져 있어, 사람 개입 없이 AI가 전체 공격을 조율한 사례로 주목받고 있습니다. 서비스 프린시펄의 계정 정보(클라이언트 ID, 비밀키 등)가 공개 GitHub 이슈에 평문으로 노출됐던 것이 침해 원인으로 추정됩니다. 리소스 잠금과 삭제 방지 기능이 걸려 있던 일부 자원은 삭제를 막을 수 있었다는 점에서, 독립적인 보호 장치의 중요성이 다시 확인됐습니다.
자세히 보기
중요금융'UNK_CondorFiltration'이라는 이름의 해킹 캠페인이 TeamFiltration(계정 열거·패스워드 스프레이·데이터 탈취에 사용되는 공격 프레임워크)을 이용해 칠레의 금융기관과 소매업체 28개 Microsoft 365 테넌트, 5,700개 이상의 계정을 공격했습니다. 공격자는 1,487개의 AWS IP 주소를 동원해 2026년 7월~8월 세 차례에 걸쳐 무차별 대입을 시도했고, 결국 7개 계정을 탈취했습니다. 피해 계정 모두 IT팀이 발급 후 비밀번호를 한 번도 바꾸지 않은 채 방치된 서비스 계정이었으며, MFA(다중 인증)도 적용되지 않았습니다. 공격자는 계정 탈취 2분 이내에 독일 VPN을 경유하여 Azure Portal, SharePoint, Microsoft Graph API 등에 접근했으며, 데이터 수집·유출 가능성이 있습니다. 이번 사례는 방치된 비인간 계정(서비스 계정)이 기업 보안의 심각한 취약 고리임을 보여줍니다.
자세히 보기
중요기업Kubernetes Config Connector(KCC)를 사용하는 GCP(Google Cloud Platform) 환경에서 'ConfigConfusion'이라는 권한 상승 취약점이 공개되었습니다. Kubernetes 클러스터의 특정 네임스페이스에 접근할 수 있는 공격자가 단 하나의 YAML 파일을 제출하는 것만으로 GCP 전체 조직의 최고 관리자 권한을 탈취할 수 있습니다. 이 문제는 Kubernetes의 접근 제어(RBAC)와 GCP의 권한 체계(IAM)가 서로 다른 부분만 검증하고, KCC가 제한된 권한을 가진 사용자의 요청을 자신의 조직 수준 권한으로 대신 실행하기 때문에 발생합니다. Google은 이를 설계대로 동작하는 것이라고 밝혀 패치 계획이 없으므로, KCC 네임스페이스 모드 사용·광범위한 IAM 역할 제거·IAMPolicyMember 리소스 생성 권한 제한 등 운영 환경 점검이 시급합니다.
자세히 보기
중요통신/ITLinux 커널의 ARM64용 KVM(커널 기반 가상화 기술) 코드에서 게스트 가상 머신이 호스트의 커널 메모리를 무단으로 읽고 쓸 수 있는 취약점(CVE-2026-89775)이 발견되었습니다. 이 취약점을 악용하면 가상 머신 안에 갇혀 있어야 할 공격자가 호스트 시스템으로 탈출해 코드를 실행(RCE, 원격·로컬 코드 실행)하거나 root 권한을 획득할 수 있습니다. 단, 공격이 성립하려면 ARM64 KVM 호스트에서 '중첩 가상화(Nested Virtualization)'가 활성화되어 있어야 하며, 이는 기본값이 아닌 실험적 기능입니다. 현재까지 실제 악용 사례나 공개된 익스플로잇 코드는 없으나, RHEL 10·Ubuntu 26.04·Amazon Linux AL2023(kernel6.18)·Debian sid/forky 등 주요 배포판이 영향을 받습니다. Linux 6.18.51, 7.2.5, 7.3-rc1에 패치가 포함되어 있으므로 해당 환경 운영자는 즉시 패치 적용 여부를 확인해야 합니다.
자세히 보기
기업Microsoft가 2027년 2월부터 Entra ID(기업 계정 관리 서비스)에서 SMS를 첫 번째 인증 수단으로 사용하는 방식을 폐기한다고 공식 발표했습니다. 이 변경이 적용되면 SMS나 음성 통화로 로그인하던 사용자는 더 이상 인증을 완료할 수 없으므로, 기업 관리자는 그 전에 사용자를 패스키·FIDO2 보안 키·QR 코드 인증 등 피싱(이메일 등을 이용한 사기성 계정 탈취) 방지 방식으로 전환해야 합니다. SMS 인증을 계속 유지하려면 Microsoft Security Store를 통해 서드파티 통신사를 별도로 연동해야 합니다. 관리자는 Microsoft가 제공하는 PowerShell 스크립트로 아직 SMS/음성 인증을 쓰는 사용자를 찾아낼 수 있습니다. 이번 달부터 패스키가 Entra ID의 기본 인증 방식으로 순차 적용되기 시작합니다.
자세히 보기
중요기업Microsoft가 Azure AI Foundry에서 CVSS 최고 점수인 10.0짜리 취약점(CVE-2026-85889)을 포함해, Microsoft 365 Copilot·Azure DB·Azure Cosmos DB 등 여러 클라우드 서비스의 심각한 권한 상승 취약점을 패치했습니다. 클라우드 기반 취약점들은 Microsoft가 서버 측에서 이미 자동으로 수정했기 때문에 사용자가 별도로 조치할 필요는 없습니다. 반면 Windows 11 관련 두 취약점(CVE-2026-62721, CVE-2026-85921)은 긴급 누적 업데이트(KB5129194)를 통해 배포되었으므로, Windows 11 버전 26H1 사용자는 직접 업데이트를 적용해야 합니다. 또한 지난주 패치된 Windows ALPC(고급 로컬 프로시저 호출) 취약점이 Chrome 취약점 두 개와 결합된 'BlueMoon'이라는 공격 도구로 실제 스파이 활동에 악용되고 있어 빠른 패치 적용이 중요합니다.
자세히 보기
기업Microsoft가 Windows Server 2022의 메인스트림(일반) 지원이 2026년 10월 13일에 종료된다고 공식 공지했습니다. 이후에는 '연장 지원' 단계로 전환되어 2031년 10월까지 보안 업데이트만 무상 제공되며, 신기능 추가나 일반 버그 수정은 중단됩니다. 지원이 끊기기 전에 시스템을 최신 버전인 Windows Server 2025로 업그레이드하는 것이 권장됩니다. 운영 환경에 도입하기 전에 180일 무료 평가판으로 사전 테스트가 가능합니다.
자세히 보기
중요기업보안 연구팀이 오픈소스 프론트엔드 개발 서버 도구인 Vite의 취약점(CVE-2026-39364)을 악용한 대규모 자동 스캔 공격을 발견했습니다. 공격자들은 인터넷에 노출된 Vite 개발 서버를 찾아 AWS·Azure 클라우드 계정 키, 데이터베이스 비밀번호, 인프라 설정 파일 등 민감한 정보를 탈취하고 있습니다. 이 취약점은 URL에 특정 매개변수를 붙이는 것만으로 서버의 파일 접근 차단 설정을 우회할 수 있어, 공격이 매우 간단합니다. 공격자들은 Googlebot·GPTBot 등 정상 봇으로 위장하고 IP 주소도 조작해 탐지를 회피하고 있습니다. Vite 개발 서버를 `--host` 옵션 등으로 외부에 노출한 개발 환경은 즉시 점검이 필요합니다.
자세히 보기
중요통신/ITDDRop은 인텔 TDX, AMD SEV-SNP 등 클라우드 서버의 기밀 컴퓨팅(데이터를 사용 중에도 암호화해 보호하는 기술)을 깨는 새로운 하드웨어 공격입니다. 공격자는 약 20만 원짜리 소형 회로 기판을 서버의 메모리 슬롯에 끼워 넣어, 프로세서가 최신 데이터 대신 과거 데이터를 읽도록 조작할 수 있습니다. 이를 통해 다른 가상 머신의 메모리를 엿보거나, 디버그 모드를 강제로 켜거나, 원격 신뢰 검증(원격지 고객이 서버 상태를 확인하는 기능)을 위조하는 것이 가능합니다. 하드웨어 설계 자체의 결함이므로 소프트웨어 패치로는 근본적 해결이 불가능하며, 인텔과 AMD 모두 물리적 접근이 필요한 공격은 자사 위협 모델 범위 밖이라는 입장을 밝혔습니다. AWS, Microsoft Azure, Google Cloud 등 주요 클라우드 플랫폼이 영향을 받을 수 있으나, 현재 실제 악용 사례는 보고된 바 없습니다.
자세히 보기
