보안 뉴스

The Hacker News·2026. 08. 30.

TerminalFix, 가짜 Cloudflare CAPTCHA를 악용해 역방향 터널 백도어 배포

마이크로소프트가 'TerminalFix'라는 새로운 사이버 공격 기법을 공개했습니다. 이 공격은 해킹된 웹사이트에서 Cloudflare 본인확인(CAPTCHA) 화면을 가짜로 띄워 사용자가 악성 명령어를 직접 실행하도록 속이는 방식입니다. 피해자가 명령어를 실행하면 악성 프로그램이 설치되어 공격자가 회사 내부 네트워크에 몰래 접근할 수 있는 '역방향 터널(reverse tunnel, 피해자 PC를 통해 내부망에 원격 접속하는 통로)'이 만들어집니다. 이 통로를 통해 공격자는 내부 시스템 정보를 수집하고, 추가 권한을 탈취하거나 랜섬웨어를 배포할 수 있습니다. PowerShell 실행 제한, 직원 보안 교육, 로그 모니터링 등의 대응이 권고됩니다.

#Windows #권한 상승 #데이터유출

중요공공

베를린 시, 시 행정 네트워크 데이터 탈취 해커의 협박 요구 거부

독일 베를린 시 정부 네트워크가 2026년 8월 Rhysida 랜섬웨어 그룹에 의해 침해돼 최대 5.79TB의 데이터와 약 12,076명의 개인정보가 유출된 것으로 주장되고 있습니다. 베를린 시는 협박에 굴복하지 않겠다고 공식 선언하고 경찰·검찰·연방 보안기관과 함께 수사를 진행 중입니다. Rhysida 그룹은 MFA(다중 인증)가 적용되지 않은 VPN 계정 탈취, Zerologon(CVE-2020-1472, 윈도우 도메인 컨트롤러 권한을 원격에서 빼앗을 수 있는 취약점), 피싱 등의 방법으로 초기 침투를 시도하는 것으로 알려졌습니다. 같은 날, 영국 Manchester Airports Group에서도 약 870만 명의 고객 이메일·전화번호·차량 번호판 등이 유출되는 별도의 침해 사고가 발생했습니다. 기업 보안 담당자는 MFA 전면 적용, Zerologon 패치 적용 여부 재확인, 네트워크 분리(세그멘테이션) 적용을 즉시 점검해야 합니다.

#MFA #가이드라인 #개인정보

중요금융

Cosmos Labs가 모든 블록체인이 취약하다는 사실을 알고도 방치한 Cosmos EVM 결함, 실제 공격에 악용

Cosmos Labs가 공유 모듈인 Cosmos EVM에서 발견된 심각한 취약점(GHSA-7g4w-cg88-2cq2)이 2026년 8월 20일부터 25일 사이에 실제로 악용되어 6개 블록체인에서 자금이 탈취됐다고 발표했습니다. 공격자는 베스팅(잠금) 계정이 스펜더블 잔액보다 더 많은 금액을 위임할 때 발생하는 정수 언더플로 버그를 이용해 약 2^256에 달하는 비정상적으로 큰 잔액을 만들어냈으며, 탈중앙화 거래소와 중앙화 거래소에서 총 약 572만 달러(약 78억 원) 상당의 자산이 처분된 것으로 추산됩니다. Cosmos Labs는 4월에 해당 취약점을 최초 보고받았으나 일부 네트워크에만 영향을 준다고 잘못 판단해 공개 패치(자동 공시) 절차를 밟았고, 8월 13일에 모든 체인이 영향받는다는 사실을 확인한 뒤에도 사설 배포 대신 동일한 공개 절차를 유지해 공격의 빌미를 제공했다는 비판을 받고 있습니다. 운영자는 즉시 v0.6.2 또는 v0.7.2 이상으로 업그레이드하거나, 업그레이드가 불가능한 경우 체인 운영을 중단(halt)해야 합니다.

#CVSS #가상머신 #거래소

공격자들, PaperCut 취약점 두 개를 연결해 인증 없이 코드 실행

인쇄 관리 소프트웨어인 PaperCut NG와 MF에서 심각한 보안 취약점 두 개가 발견되어 실제 공격에 악용되고 있습니다. 공격자는 로그인 없이도 서버 설정을 바꾸고 임의의 코드를 원격으로 실행할 수 있으며, 두 취약점을 연결해 사용하면 인증 우회와 시스템 장악이 동시에 가능합니다. 실제 피해 사례에서 공격자들은 원격 접속 도구(AnyDesk, SimpleHelp)를 설치하고 시스템 정보를 수집하는 등 추가 침투를 준비하는 것으로 확인됐습니다. PaperCut은 세 번째 긴급 패치(Emergency Patch Release 3)를 배포했으며, 미국 CISA도 두 취약점을 실제 악용 목록(KEV)에 등재하고 9월 14일까지 패치를 적용하도록 의무화했습니다. PaperCut을 사용 중인 조직은 즉시 인터넷 노출을 차단하고 패치를 적용해야 합니다.

#CVSS #RCE #Windows

기업

Android 17, 통신사로부터 웹사이트 방문 정보를 숨기는 OS 전체 수준의 ECH 도입

Google이 Android 17에 네트워크 도청을 막는 ECH(암호화된 클라이언트 헬로) 기술을 운영체제 전체에 기본 적용했습니다. ECH는 사용자가 어떤 웹사이트에 접속하는지를 통신사나 네트워크 감청자가 알 수 없도록 목적지 도메인 이름 자체를 암호화하는 기술입니다. 아울러 앱이 로컬 네트워크의 다른 기기를 스캔하거나 연결하려면 사용자 허락을 받도록 강제하는 '로컬 네트워크 보호' 기능도 추가됐습니다. 기업 환경에서는 통신사가 가입자 기기의 2G를 기본으로 비활성화할 수 있는 제로클릭 옵션이 제공되어, 가짜 기지국(rogue base station)이나 SMS 블래스터를 이용한 다운그레이드 공격을 사전 차단할 수 있습니다. 기업 IT 관리자는 관리 기기의 보안 정책 검토 및 Android 17 도입 계획을 준비할 필요가 있습니다.

#DNS #MDM #TLS

중요공공

ownCloud 취약점 악용으로 필리핀 핵 연구기관 핵물질 기록 탈취

중국어 사용자로 추정되는 해킹 그룹이 파일 공유 소프트웨어 ownCloud의 심각한 보안 결함(CVE-2023-49105)을 악용해 필리핀 핵 연구기관에서 핵물질 기록, 전략 계획, 직원 개인정보 등 민감한 파일 176개(약 372MB)를 탈취했습니다. 이 취약점은 로그인 없이도 파일에 마음대로 접근할 수 있는 인증 우회(Authentication Bypass) 결함으로, 이미 2023년 11월에 패치가 나왔으나 해당 기관에는 적용되지 않았습니다. 미국 CISA(사이버보안 및 인프라 보안국)는 실제 악용이 확인됨에 따라 이 취약점을 KEV(실제 악용 확인 목록)에 등재하고 연방기관에 2026년 8월 30일까지 패치 적용을 의무화했습니다. 동시에, Linux 커널(CVE-2026-53362)과 JFrog Artifactory(CVE-2026-66384) 취약점도 OpenAI 내부 인프라 공격에 실제로 사용된 사실이 드러나 KEV에 추가되었습니다. ownCloud를 사용하는 조직은 즉시 버전 10.13.1로 업그레이드해야 하며, 기본 설정 상태에서 취약함을 인지하고 서명 키 설정 여부를 반드시 점검해야 합니다.

#AI #AI 에이전트 #CVSS

암호화폐 지갑 탈취·크립토 드레이닝 코드가 숨겨진 Chrome·Edge 확장 프로그램 19개 발견

구글 크롬과 마이크로소프트 엣지용 악성 확장 프로그램 19개가 발견됐습니다. 이 확장 프로그램들은 암호화폐 지갑의 비밀 키와 로그인 정보를 훔치는 코드를 숨기고 있었으며, 일부는 정상 작동하는 척하면서 뒤에서는 공격자 서버로 데이터를 몰래 전송했습니다. 공격자는 이미 이용자가 많은 합법적인 확장 프로그램을 구입하거나, 처음에는 깨끗한 버전을 올려두고 설치 수가 늘어나면 악성 코드를 추가한 업데이트를 배포하는 방식을 사용했습니다. 크롬은 기본적으로 확장 프로그램을 자동 업데이트하기 때문에 이용자가 알아채기 어렵고, 피해 규모가 커지기 쉽습니다. 적어도 2024년 2월부터 2년 이상 활동이 이어지고 있어 매우 정교한 위협으로 평가됩니다.

#거래소 #계정 탈취 #공급망

기타

Unitree G1 EDU 휴머노이드 로봇에서 루트 RCE 가능한 두 가지 취약점 발견, 하나는 블루투스로 시작

보안 연구자 Olivier Laflamme이 유니트리(Unitree)의 G1 EDU 휴머노이드 로봇에서 루트 권한 원격코드실행(RCE, 공격자가 원격으로 시스템을 마음대로 제어할 수 있는 공격)이 가능한 두 가지 독립적인 취약점을 공개했습니다. 첫 번째(CVE-2026-76639)는 네트워크를 통해 로봇 내부 서비스에 접근하는 방식이고, 두 번째(CVE-2026-76640)는 블루투스 페어링 없이도 시작되어 버퍼 오버플로(메모리 경계를 넘는 공격)로 이어져 결국 루트 실행 권한을 획득합니다. 유니트리는 클라우드 계정 소유권 확인 버그를 2026년 7월에 수정했지만, 취약점의 근본 원인인 BLE·버퍼 오버플로 문제에 대해 확정된 펌웨어 수정 버전은 아직 없습니다. G1 EDU 운영자는 공식 패치가 확인될 때까지 네트워크 격리와 블루투스 접근 제한을 적용하는 것이 권고됩니다.

#IoT #OT보안 #PoC

인증 없는 공격자가 코드·SQL 실행 가능한 CVSS 10.0 ServiceNow 취약점 3종 발견

ServiceNow의 AI 플랫폼에서 최고 심각도(CVSS 10.0)를 받은 취약점 3개를 포함해 총 4개의 보안 결함이 발견됐습니다. 이 취약점들은 로그인하지 않은 외부 공격자도 코드 실행(RCE), SQL 삽입(데이터베이스를 마음대로 조작하는 공격), 권한 상승 등을 일으킬 수 있어 매우 위험합니다. ServiceNow가 직접 호스팅하는 고객 인스턴스에는 이미 패치가 적용됐지만, 자체 서버에서 ServiceNow를 운영하는 조직은 반드시 패치를 직접 적용해야 합니다. 앞서 공개된 유사 취약점(CVE-2026-6875)은 실제 공격에 악용된 정황이 포착된 바 있어 즉각적인 조치가 요구됩니다.

#AI #CVSS #PoC

중국산 ZBT 라우터, 비인증 공격자에게 루트 접근권 부여하는 임플란트 2개 탑재된 채 출하

중국 선전 소재 ZBT(Zhibotong Electronics)가 제조한 라우터 펌웨어에서 공장 출하 단계부터 심어진 악성 임플란트 두 개(SPEAKINGSTONE, DARKLANTERN)가 발견됐습니다. 두 임플란트 모두 비밀번호 같은 인증 절차 없이 인터넷을 통해 라우터에 루트(최고 관리자) 권한으로 명령을 실행할 수 있게 해줍니다. SPEAKINGSTONE은 외부 C&C(명령제어) 서버에 주기적으로 신호를 보내며 DNS 탈취, 자격증명 탈취, 역방향 SSH 터널 개설 등을 지원하고, DARKLANTERN은 인터넷 어디서든 직접 접속 가능한 포트를 열어두고 있습니다. 22개국에서 203대의 노출된 장치가 확인됐으며, 392대가 실제로 C&C 서버에 신호를 보낸 것으로 파악됐습니다. 현재까지 수정된 펌웨어는 공개되지 않았으며, ZBT 측은 두 임플란트에 대해 아무런 공식 입장을 내놓지 않은 상태입니다.

#CVSS #DNS #공급망

중요통신/IT

cPanel 심각한 취약점 — 호스팅 고객 한 명이 서버 전체의 루트 권한 탈취 가능

웹호스팅 관리 도구인 cPanel과 WHM에서 심각한 보안 취약점(CVE-2026-65643)이 발견됐습니다. 이 취약점을 악용하면 서버에 일반 계정을 가진 사용자가 서버 최고 관리자(root) 권한으로 코드를 실행해 서버 전체를 장악할 수 있어 공유 호스팅 환경에서 특히 위험합니다. cPanel은 즉시 패치 버전을 배포했으며, 자동 업데이트가 설정된 서버는 자동으로 반영되고 수동 적용은 `/scripts/upcp --force` 명령으로 가능합니다. 같은 cPanel 생태계에서 이미 실제 악용이 확인된 취약점(CVE-2026-54420 등)도 존재하므로 빠른 패치 적용이 필수입니다. 패치가 적용돼도 이미 발생한 침해를 되돌리지는 못하기 때문에, 사전 침해 여부 확인도 함께 권고됩니다.

#CVSS #권한 상승 #랜섬웨어