취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 15일 목요일 기준
중요기업개발자용 클라우드 환경 플랫폼 Coder의 레지스트리 서버가 공격자에 의해 침해되어, 2025년 8월 31일 약 14시간 동안 악성 Terraform 모듈이 일부 사용자에게 배포됐습니다. 공격자는 Coder의 Cloudflare 인프라에 무단 서버를 추가해 정상 요청 일부를 가로채는 방식으로 공격을 실행했습니다. 배포된 악성 모듈은 클라우드 API 키, CI/CD 자격증명, SSH 키, 데이터베이스 비밀번호 등 민감한 정보를 수집해 외부 도메인으로 유출하는 정보 탈취형 악성코드를 포함하고 있었습니다. Dropbox, Palantir, 미국 정부 등 주요 조직이 Coder를 사용하고 있어 잠재적 피해 범위가 넓으며, 노출 가능성이 있는 사용자는 즉시 모든 자격증명을 교체하고 로그를 점검해야 합니다.
자세히 보기
중요통신/ITHPE(Hewlett Packard Enterprise)가 자사의 네트워크 스위치 운영체제인 ArubaOS-CX에서 발견된 심각한 취약점 24개를 패치했습니다. 그 중 CVE-2026-73749는 인증 없이도 원격에서 공격자가 악성 패킷을 보내 시스템을 마음대로 제어할 수 있는 RCE(원격 코드 실행) 취약점으로, 위험도가 가장 높습니다. ArubaOS-CX는 대기업, 정부기관, 병원, 데이터센터 등에서 널리 사용하는 엔터프라이즈 네트워크 스위치에 탑재된 운영체제라 영향 범위가 넓습니다. HPE는 현재까지 실제 악용 사례나 공개된 공격 코드는 확인되지 않았다고 밝혔으나, 즉시 최신 버전으로 업그레이드할 것을 강력히 권고하고 있습니다.
자세히 보기
중요기업워드프레스(WordPress)용 인기 플러그인 Elementor Pro에서 심각한 보안 취약점(CVE-2026-32475)이 발견되어 실제 공격에 악용되고 있습니다. 공격자는 파일 업로드 기능의 검증 오류를 이용해 악성 PHP 파일(웹셸)을 서버에 몰래 올린 뒤 원격에서 마음대로 명령을 실행할 수 있습니다. Elementor Pro는 전 세계 600만 개 이상의 사이트에서 사용 중이며, 패치 당일인 8월 19일부터 이미 공격이 시작되어 현재까지 약 19만 건의 공격 시도가 차단되었습니다. 취약한 버전(4.2.1 이하)을 사용 중인 관리자는 즉시 4.2.2 이상으로 업그레이드해야 하며, 서버 내 특정 디렉터리에 PHP 파일이 있는지 확인해 침해 여부를 점검해야 합니다.
자세히 보기
기업Plex가 자사 미디어 서버(Plex Media Server)와 데스크톱 클라이언트에서 여러 보안 취약점이 발견되었다며 사용자들에게 즉시 업데이트를 촉구했습니다. 아직 CVE(취약점 공식 번호)가 부여되지 않은 새로운 취약점들은 Plex Media Server 1.43.2 이하 버전에 영향을 미치며, Plex는 이를 해결한 1.43.3 버전과 Plex Desktop 1.115.0을 이미 배포한 상태입니다. 과거에도 Plex 관련 취약점이 실제 공격에 악용된 사례가 있는데, 2022년 LastPass 대규모 개인정보 유출 사고가 Plex의 원격코드실행(RCE) 취약점을 통해 시작되었다는 점에서 이번 경고의 심각성을 알 수 있습니다. Plex가 특정 취약점 해결을 이유로 사용자에게 직접 이메일을 보내는 것은 매우 드문 일로, 그만큼 중요한 보안 문제임을 시사합니다. 현재 패치가 공개되어 있으므로 영향을 받는 버전 사용자는 즉시 업데이트해야 합니다.
자세히 보기
중요기업기업용 인터넷 전화(VoIP) 관리 플랫폼인 Sangoma Switchvox에서 심각한 보안 취약점(CVE-2026-9586)이 발견되어 해커들이 이를 실제로 악용하고 있습니다. 이 취약점은 로그인 없이도 SQL 인젝션(데이터베이스에 악성 명령을 몰래 끼워 넣는 공격)을 통해 원격에서 시스템을 마음대로 조작할 수 있게 해줍니다. 공격자는 이미 여러 시스템에 리버스 셸(공격자가 피해 서버를 원격 조종하는 통로)을 심으려는 시도를 했으며, 인터넷에 노출된 약 4,000대의 Switchvox 장비 대부분이 이미 표적이 됐거나 곧 표적이 될 것으로 우려됩니다. 담당자는 즉시 Switchvox 8.4.0.2 버전으로 업그레이드하고 침해 흔적을 확인해야 합니다.
자세히 보기
중요기업WordPress에서 널리 쓰이는 백업 플러그인 'All-in-One WP Migration and Backup'에서 인증 없이도 악용 가능한 SQL 인젝션(데이터베이스 명령어를 몰래 끼워 넣는 공격) 취약점(CVE-2026-19949)이 발견됐습니다. 공격자는 WordPress 트랙백 기능을 통해 악성 데이터를 심어 두고, 관리자가 백업을 복원하는 순간 해당 코드가 실행되어 사이트 전체를 탈취할 수 있습니다. 이 플러그인은 전 세계에서 500만 개 이상의 사이트에서 사용 중이며, 현재 약 325만 개 사이트가 여전히 취약한 버전을 사용하고 있습니다. 개발사 ServMask는 8월 20일 버전 7.110으로 패치를 배포했으므로, 해당 플러그인을 사용 중인 경우 즉시 업데이트가 필요합니다.
자세히 보기
중요기업클라우드 저장소 서비스 Dropbox의 일부 사용자 계정이 Lenovo의 이메일 인증 취약점을 통해 무단 접근당하는 사건이 발생했습니다. 공격자는 Lenovo의 이메일 인증 절차의 결함을 악용해 피해자의 이메일 주소로 가짜 Lenovo 계정(ID)을 만들었고, 이를 이용해 비밀번호 없이 동일 이메일로 등록된 Dropbox 계정에 로그인했습니다. Dropbox가 Lenovo의 인증 결과를 그대로 신뢰하는 구조적 문제가 원인이었으며, 약 5,000개 계정이 피해를 입고 일부 파일이 열람·다운로드된 것으로 알려졌습니다. 공격은 8월 4일부터 21일 사이에 이루어졌으며, Dropbox는 Lenovo ID로 인증된 모든 세션을 강제 만료하고 추가 비밀번호 입력을 의무화하는 조치를 취했습니다. 현재 두 회사가 협력해 추가 조사를 진행 중입니다.
자세히 보기
기업Microsoft Defender for Office 365의 'Safe Links' 기능이 정상적인 Google 검색 URL을 악성 링크로 잘못 판단해 차단하는 오류가 발생했습니다. 이 문제로 인해 사용자들은 이메일이나 Teams에서 Google 검색 링크를 클릭할 때 "이 웹사이트를 여는 것은 안전하지 않을 수 있습니다"라는 경고 메시지를 보게 되었습니다. IT 관리자에게는 Microsoft Sentinel과 Defender 포털에서 관련 경보가 발생해 혼란을 야기했습니다. Microsoft는 잘못된 보안 분류가 원인임을 확인하고 수정 작업을 진행했으며, 2026년 9월 3일 기준으로 문제가 해결되었다고 밝혔습니다. 다만 일부 사용자는 수정 사항이 전체 인프라에 적용되는 동안 잠시 더 영향을 받을 수 있습니다.
자세히 보기
기업미국 캘리포니아 연방 대배심이 러시아 국적자 세아르주딘 아크툴라예프(40세)를 악성코드 유포 혐의로 기소했습니다. 그는 2016년부터 2017년까지 프리랜서 고용 플랫폼을 악용해 가짜 계정 255개로 악성 매크로가 삽입된 Microsoft Excel 파일을 8만 명에게 발송했습니다. 이를 통해 피해자 PC에 TVRAT와 DarkVNC라는 원격 제어 악성코드(RAT, 감염된 컴퓨터를 인터넷을 통해 몰래 조종하는 프로그램)를 심어 개인정보와 전자상거래 로그인 정보를 탈취했습니다. 피해자의 절반이 미국 내에 있었으며, 피고인은 2025년 5월 키프로스에서 체포돼 미국으로 송환됐습니다. 미국 법무부는 같은 날 러시아 연계 Sality 봇넷 인프라 해체 작업도 병행 중임을 발표했습니다.
자세히 보기
기업국제 법 집행 기관과 민간 보안 기업들이 20년 넘게 활동해 온 Sality 봇넷(악성코드에 감염된 컴퓨터들이 서로 연결된 네트워크)의 인프라를 합동 작전으로 해체했습니다. 이번 작전에는 미국 법무부(DOJ), FBI, 유럽의 Europol·Eurojust, 불가리아·헝가리·루마니아 당국, 그리고 민간 보안기업 CrowdStrike가 참여했습니다. Sality는 최소 2003년부터 활동해 왔으며, 최근 8년간 주로 암호화폐 지갑 주소를 몰래 바꿔치기하는 'EggJagger' 악성코드를 유포하는 데 사용됐습니다. CrowdStrike는 봇넷의 통신 핵심 노드를 싱크홀링(sinkholing, 악성 트래픽을 무력화하는 기술) 처리해 감염 기기를 고립시켰습니다. 이번 작전으로 Sality 봇넷은 운영자의 통제권을 완전히 잃었습니다.
자세히 보기
중요기업SonicWall의 원격 접속 장비인 SMA1000에서 두 개의 제로데이(아직 패치가 없는 상태에서 발견된) 취약점(CVE-2026-83548, CVE-2026-83549)이 발견되었으며, 공격자들이 이를 묶어서 원격 코드 실행(RCE, 피해 장비를 외부에서 마음대로 조종할 수 있는 공격)에 악용하고 있습니다. 이 장비는 대기업·정부·핵심 인프라 기관에서 원격 근무용 VPN으로 널리 쓰이고 있어 피해 파급력이 큽니다. 현재 인터넷에 노출된 SMA1000 장비가 400대 이상으로 파악되며, SonicWall은 즉시 최신 핫픽스 버전으로 업그레이드할 것을 강력히 권고했습니다. 올해 7월에도 같은 장비의 다른 취약점(CVE-2026-15409, CVE-2026-15410)이 제로데이 공격과 랜섬웨어에 악용된 전례가 있어 신속한 대응이 필요합니다.
자세히 보기
중요기업공격자들이 정상적인 IT 관리 도구인 Faronics Deploy를 악용해 피해자 컴퓨터를 몰래 장악하는 피싱 캠페인이 확인되었습니다. 공격자는 청구서나 세금 문서로 위장한 이메일을 보내 피해자가 'Adobe.exe'라는 이름의 Faronics 설치 파일을 실행하도록 유도합니다. 피해자가 파일을 실행하면 컴퓨터가 공격자가 통제하는 Faronics 배포 환경에 등록되고, 이후 PowerShell 스크립트를 통해 추가 원격 접속 도구인 ConnectWise ScreenConnect까지 자동 설치됩니다. 2025년 7월 21일부터 8월 20일 사이에 457개 이상의 엔드포인트(단말 기기)가 피해를 입었으며, Faronics 측의 조치 이후 공격이 크게 줄었습니다. 관리자는 Faronics 로그 파일과 비정상적인 ScreenConnect 설치 여부를 즉시 점검해야 합니다.
자세히 보기