보안 뉴스

새로운 Linux 커널 취약점, ARM64 KVM 게스트에 호스트 메모리 읽기·쓰기 접근 허용

Linux 커널의 ARM64용 KVM(커널 기반 가상화 기술) 코드에서 게스트 가상 머신이 호스트의 커널 메모리를 무단으로 읽고 쓸 수 있는 취약점(CVE-2026-89775)이 발견되었습니다. 이 취약점을 악용하면 가상 머신 안에 갇혀 있어야 할 공격자가 호스트 시스템으로 탈출해 코드를 실행(RCE, 원격·로컬 코드 실행)하거나 root 권한을 획득할 수 있습니다. 단, 공격이 성립하려면 ARM64 KVM 호스트에서 '중첩 가상화(Nested Virtualization)'가 활성화되어 있어야 하며, 이는 기본값이 아닌 실험적 기능입니다. 현재까지 실제 악용 사례나 공개된 익스플로잇 코드는 없으나, RHEL 10·Ubuntu 26.04·Amazon Linux AL2023(kernel6.18)·Debian sid/forky 등 주요 배포판이 영향을 받습니다. Linux 6.18.51, 7.2.5, 7.3-rc1에 패치가 포함되어 있으므로 해당 환경 운영자는 즉시 패치 적용 여부를 확인해야 합니다.

#AWS #Azure #CVSS

Microsoft가 스푸핑으로 분류한 SharePoint 취약점, 실제로는 인증된 RCE 가능

Microsoft SharePoint Server에서 인증된 원격 코드 실행(RCE, 원격에서 서버를 마음대로 조종할 수 있는 공격)이 가능한 취약점(CVE-2026-65660)의 상세 공격 코드가 공개됐습니다. Microsoft는 처음에 이 취약점을 심각도가 낮은 '스푸핑(spoofing, 신원 위장 공격)'으로 잘못 분류해 보안 담당자들이 실제 위험성을 과소평가했을 가능성이 있습니다. 공격자는 별도의 이미 패치된 인증 우회 취약점과 연결하면 로그인 없이도 서버를 완전히 장악할 수 있습니다. 패치는 8월 11일에 배포됐으며, SharePoint 2016·2019·Subscription Edition 사용자는 즉시 적용이 필요합니다. 지원이 종료된 SharePoint 2013도 영향을 받지만 패치가 제공되지 않으므로 별도 대책이 요구됩니다.

#CVSS #RCE #원격 코드 실행

공격자, 8월부터 Zyxel 스위치 약 1,000대 침해 (CVE-2026-7273)

중국어권 위협 행위자가 Zyxel GS1900 시리즈 스위치(네트워크 장비)의 취약점(CVE-2026-7273)을 악용해 48개국 996대의 기기에서 설정 정보·네트워크 정보·암호화된 관리자 비밀번호를 빼냈습니다. 이 공격자는 올해 초 WordPress와 Gitea(코드 저장소 서비스)도 같은 방식으로 침해한 것으로 추정되며, 소스코드·자격증명 탈취와 내부망 이동까지 이어진 전력이 있습니다. Zyxel은 2026년 6월에 패치를 배포했고, CISA(미국 사이버보안 기관)는 9월 24일까지 미국 연방기관에 즉시 조치를 명령했습니다. 같은 기사에서 Veeam Agent for Windows의 권한 상승 취약점(CVE-2026-32996)도 실제 공격에 사용 중이라는 보고가 있어 함께 주의가 필요합니다. 해당 펌웨어 미패치 장비를 운영 중이라면 즉시 업데이트하고 침해 지표를 확인해야 합니다.

#Windows #권한 상승 #네트워크 장비

기업

트래픽 로그 어딘가에서, 한 봇이 단순 조회 이상의 행동을 하고 있다

보안기업 Akamai가 30일간 전 세계 고객 트래픽을 분석한 결과, ChatGPT 등 AI 크롤러들이 단순히 웹페이지를 읽는 것을 넘어 로그인·장바구니·결제 같은 실제 거래 동작을 유발하는 'POST 요청'을 대량으로 보내고 있음이 확인됐습니다. 이커머스가 해당 AI 봇 POST 요청의 44.8%, 여행 업종이 30%를 차지했습니다. 또한 AI 모델과 외부 서비스를 연결하는 표준 규약인 MCP(Model Context Protocol)가 새로운 공격 표면으로 부상하고 있으며, 인증 없이 접근 가능한 서비스와 개인정보 노출 위험이 지적됐습니다. 기업 보안 담당자는 자사 로그에서 AI 봇의 행동 유형을 직접 확인하고, 봇 탐지 및 트랜잭션 모니터링 체계를 갖춰야 할 시점입니다.

#AI #AI 에이전트 #DDoS

BleepingComputer·2026. 09. 22.

새로운 Windows Defender 제로데이, Microsoft 안티바이러스 업데이트 차단

보안 연구자 Abdelhamid Naceri가 Windows Defender의 바이러스 정의(백신 데이터베이스) 업데이트를 완전히 차단하는 새로운 제로데이(패치가 없는 보안 취약점) 익스플로잇 'BigDiskBuster'를 공개했습니다. 이 도구가 백그라운드에서 실행되면 모든 지원되는 Windows 버전에서 Defender가 업데이트를 받지 못하게 됩니다. Naceri는 2025년 3월 Microsoft에서 부당 해고됐다고 주장하며 올해 4월부터 무려 10여 개의 제로데이 취약점을 연달아 공개하고 있으며, SYSTEM 권한을 탈취할 수 있는 'ShieldCrash' 등 일부는 아직 공식 패치가 없습니다. 기업 보안 담당자는 Defender 정의 업데이트가 정상적으로 이루어지고 있는지 즉시 확인하고, 비정상적인 백그라운드 프로세스를 점검해야 합니다.

#AI #EDR #PoC

악성 npm 패키지 indexed-btree, 제거 전 런타임 코드 안에 로더를 숨겼다

"indexed-btree"라는 악성 npm 패키지가 기존의 설치 스크립트 방식 대신 라이브러리 내부 실행 코드에 악성 코드를 숨기는 새로운 수법을 사용해 발견되었습니다. 이는 npm 버전 12에서 설치 시 자동 실행 스크립트를 제한한 보안 강화 조치에 공격자들이 빠르게 적응한 것으로, 수백만 건의 다운로드와 약 2억 3천만 원(109 ETH) 상당의 암호화폐 수익이 발생한 것으로 추정됩니다. 악성코드는 감염된 시스템 정보를 Slack과 텔레그램으로 전송하고, 블록체인을 통해 추가 공격 도구를 내려받는 방식으로 동작합니다. 연관 패키지 10개도 함께 발견되어 모두 삭제되었으며, 북한 연계로 알려진 PolinRider 캠페인도 PHP 패키지 저장소 Packagist에서 70만 다운로드 패키지를 침해한 것으로 확인되었습니다. 개발자들은 설치 시점 검사만으로는 이런 위협을 막을 수 없으므로 런타임(실행 중) 행동 분석까지 병행해야 합니다.

#GitHub #npm #계정 탈취

기업

사기꾼들, 진짜 Google 로그인을 이용해 고가의 미검증 AI 구독 서비스 판매

사기꾼들이 단돈 249달러짜리 웹사이트 제작 툴킷을 이용해 연간 최대 2,000달러짜리 가짜 AI 구독 서비스를 판매하는 사기 네트워크가 발견됐습니다. 이 사이트들은 GPT-6 Astra, PixAI 등 실존하는 AI 서비스 이름을 도용하고, 진짜 Google 로그인 화면을 연결해 이용자들이 정식 서비스로 착각하게 만듭니다. Malwarebytes는 이런 방식으로 구축된 사이트 100개 이상을 확인했으며, 모두 동일한 개발자 정보와 파일 구조를 공유해 단일 운영자나 연계 집단의 소행으로 추정됩니다. Google 로그인이 성공했다고 해서 그 서비스가 신뢰할 수 있다는 뜻은 아니며, 실제로 구독 비용을 지불한 후 환불이나 분쟁 해결이 매우 어렵습니다. 사이트 URL이 원하는 제품의 공식 주소와 일치하는지 반드시 직접 확인하는 것이 중요합니다.

#AI #OAuth #결제

BleepingComputer·2026. 09. 22.

CISA, 데이터 탈취에 악용된 Zyxel 취약점 패치 연방기관에 명령

미국 사이버보안 인프라 보안국(CISA)이 Zyxel GS1900 시리즈 스위치에서 발견된 심각한 취약점(CVE-2026-7273)이 실제로 악용되고 있다고 밝혔습니다. 이 취약점은 네트워크 장비의 소프트웨어 오류(스택 기반 버퍼 오버플로)로 인해, 공격자가 특별한 권한 없이도 악성 HTTP 요청만으로 시스템 명령을 실행할 수 있게 합니다. 위협 정보 기업 GreyNoise에 따르면 중국어권으로 추정되는 공격자가 이미 48개국에서 약 1,000대의 Zyxel 스위치를 침해해 민감한 데이터를 탈취했습니다. CISA는 미국 연방 민간 행정부(FCEB) 기관에 이번 주 목요일까지 패치를 완료하도록 명령했으며, 모든 조직에도 즉시 펌웨어 업그레이드를 권고하고 있습니다. Zyxel은 6월 16일에 이미 보안 업데이트를 배포한 상태이므로, GS1900 시리즈 장비를 사용 중인 기업은 즉각 패치를 적용해야 합니다.

#AI #규제 #네트워크 장비

중요교육/연구

SideCopy, 인도 학술 기관으로 표적 확대 — ReverseRAT 스피어피싱 캠페인 포착

파키스탄 연계 APT(지능형 지속 위협) 그룹 SideCopy가 기존의 인도 정부·국방 기관을 넘어 학술 기관까지 공격 대상을 확대했습니다. 악성 ZIP 파일이 첨부된 스피어피싱(특정 대상을 노린 정교한 사기 이메일) 이메일로 침투하며, 이메일을 열면 결국 ReverseRAT이라는 원격 제어 악성코드가 설치됩니다. 이 악성코드는 시스템 정보 수집, 비밀번호 탈취, 파일 업로드, 원격 명령 실행 등 다양한 스파이 기능을 갖추고 있습니다. 탐지를 피하기 위해 메모리 내에서만 작동하는 다단계 난독화 기법을 사용하며, 수집한 정보는 암호화된 채 외부 서버로 유출됩니다. 인도 내 연구기관 및 대학 보안 담당자는 mshta.exe 실행 이벤트와 출처 불명의 LNK 파일에 각별한 주의가 필요합니다.

#APT #DNS #Windows

Meta Muse의 숨겨진 설정 하나로 AI 어시스턴트를 백도어로 만들 수 있다

보안 연구자 Patrick Wardle이 Meta의 AI 에이전트 앱 'Muse'의 Mac 버전에서 심각한 보안 취약점을 발견했습니다. 공격자가 이미 피해자의 Mac에서 코드를 실행할 수 있는 상태라면, 앱의 숨겨진 설정 하나를 바꾸는 것만으로 사용자의 음성 입력(받아쓰기)을 가로채 Muse를 완전한 백도어로 만들 수 있습니다. Muse는 파일·이메일·캘린더·스마트홈 등 사용자가 허용한 모든 앱에 접근할 수 있기 때문에, 이 취약점이 악용되면 공격자는 해당 권한을 그대로 이용해 위치 추적, 블루투스 스캔, 스마트홈 명령 실행 등 광범위한 행동을 지시할 수 있습니다. 현재 패치가 없으므로 위험을 줄이려면 Meta가 수정하기 전까지 Muse 앱을 삭제하거나 종료하는 것이 권장됩니다.

#AI #AI 에이전트 #PoC

통신/IT

저렴한 가짜 기지국으로 5G 가입자를 여전히 추적할 수 있다

연구팀이 '5G-Shark'라는 저렴한 가짜 기지국 도구를 만들어 5G 스마트폰을 몰래 유인한 뒤, 실제 상용 5G 망에서 가입자를 추적할 수 있는지 실험했습니다. 5G는 원래 영구 가입자 식별번호(IMSI)를 외부에 노출하지 않도록 설계됐지만, 일부 통신사가 임시 ID(GUTI)를 예측 가능한 순서로 부여해 연속 접속의 84~96%를 연결·추적하는 것이 가능했습니다. 가짜 기지국은 특수 장비 없이 오픈소스 소프트웨어와 저가 하드웨어만으로 구축 가능하고, 사용자 화면에 아무런 경고도 뜨지 않습니다. 또한 조작된 '연결 거부' 메시지를 보내면 Galaxy S23이 3G로 강제 다운그레이드되거나 모뎀이 먹통이 되는 문제도 확인됐습니다. 연구팀은 이 중 일부는 표준 설계 자체의 문제이고, 임시 ID 예측 가능성 문제는 통신사와 장비사가 개선할 수 있다고 지적합니다.

#오픈소스 #취약점 #통신사