CISA, Fortinet FortiMail 취약점을 알려진 악용 취약점 목록에 추가
CISA가 CVSS 9.8점인 FortiMail 취약점 CVE-2026-104286을 실제 공격에 악용된 취약점 목록에 추가했습니다. 인증 없이 임의 파일을 쓸 수 있으며, Fortinet은 영향을 받는 버전의 업그레이드와 임시 완화 조치를 안내했습니다.
보안·인프라 · 최신기사
취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.
RISC-V 에뮬레이터 PasRISCV
게임 SEEDS는 자체 제작한 Object Pascal 기반 RISC-V 에뮬레이터 PasRISCV로 Alpine Linux를 실행하고, 게임 안에서 Linux 프로그램을 구동합니다. 글은 CPU·저장장치·그래픽·오디오·네트워크 에뮬레이션과 게임 연동 구조를 소개합니다.
Iroh의 전 세계 콘텐츠 검색
Iroh가 BitTorrent Mainline DHT와 별도의 UDP 주소 인덱스 서비스를 조합해 BLAKE3 콘텐츠 제공자를 찾는 실험적 시스템을 소개합니다. 브라우저 플러그인, 로컬 게이트웨이, Pkarr 이름을 연결해 콘텐츠 게시와 탐색까지 구현했지만, 확장성·차단 가능성·프라이버시 문제는 남아 있습니다.
Caddy — 자동 HTTPS를 지원하는 확장형 멀티플랫폼 웹 서버
Caddy는 HTTP/1.1·2·3를 지원하고 TLS 인증서 발급과 갱신을 자동화하는 Go 기반 서버 플랫폼입니다. Caddyfile과 JSON API로 설정하며, 모듈 구조를 활용해 플러그인과 Go 애플리케이션을 통합합니다.
Claude를 일기장처럼 쓴 플로리다 여성, Anthropic이 대화 내용을 경찰에 신고했습니다
플로리다의 한 여성이 Claude에 보안관 사무실을 공격하겠다는 내용을 적었다가 Anthropic의 검토를 거쳐 경찰에 신고됐습니다. AI 서비스가 위협을 감지해 신고하는 절차와 이용자 개인정보 보호, 신고 책임을 둘러싼 논쟁이 이어집니다.
금주 앱의 위기 대응 기능에 결제를 붙였다가 철회했습니다
금주 앱 SoberShift 창업자는 갈망 대처 도구 앞에 연간 구독 결제를 배치했다가 사용자의 비판을 듣고 무료 안전 기능을 먼저 제공하도록 흐름을 바꿨습니다. 로그인이나 결제 정보 없이 기기에서 쓸 수 있는 무료 기능과 유료 분석 기능을 분리하고, 익명 이벤트로 재방문과 도구 사용을 측정합니다.
maxUnavailable: 0인 Kubernetes 롤링 업데이트에서도 요청이 실패합니다
Kubernetes Deployment에 maxUnavailable: 0을 설정하고 graceful shutdown과 preStop 훅을 적용해도 keep-alive 연결 때문에 요청이 실패할 수 있습니다. 실험에서는 종료 전 애플리케이션이 연결을 닫도록 바꾼 뒤 실패가 0건이 됐지만, 댓글은 유휴 연결과 HTTP/2의 경우 추가 검증이 필요하다고 지적합니다.
안드로이드 시스템 수준 광고 차단
안드로이드에서 모든 앱의 광고를 줄이는 DNS 기반 차단 방법 네 가지를 비교합니다. 비루팅 기기는 DNS 서비스·VPN·로컬 VPN 앱을, 루팅 기기는 hosts 파일 수정을 쓸 수 있으며, 각 방법의 보안 위험과 앱 호환성 한계도 설명합니다.
FBI 자료 탈취 혐의 ShinyHunters 해커, 요르단서 구금
ShinyHunters 소속으로 의심받는 사이프 알딘 카더가 요르단 당국에 구금됐으며, FBI와 다른 조직원 추적에 협조하고 있다고 복수의 소식통이 전했습니다. 로이터가 확인한 유출 자료 표본에는 FBI 직원의 신원·직무 정보와 의료·정신건강 정보가 포함됐습니다.
Linux 7.4, Apple M4와 MacBook Neo용 A18 Pro 초기 디바이스 트리 추가
Linux 7.4에 Apple M4 Mac과 A18 Pro 탑재 MacBook Neo의 초기 디바이스 트리(Device Tree)가 추가됩니다. 부팅에 필요한 일부 하드웨어만 지원하므로 실사용 수준은 아니며, GPU 등 나머지 기능은 후속 커널 개발 과제로 남습니다.
Cloudflare OHTTP 게이트웨이 공개
Cloudflare가 OHTTP Gateway 비공개 베타를 시작합니다. 별도 운영자가 맡는 릴레이와 게이트웨이가 사용자 식별 정보와 요청 내용을 나눠 처리하며, Cloudflare는 게이트웨이를 글로벌 엣지에 배치해 지연과 운영 부담을 줄이는 방식입니다.
C2PA로 시간을 해킹하는 법
C2PA 메타데이터의 서명 제외 범위를 악용하면 파일 전체를 서명 대상에서 빼고도 유효한 서명과 타임스탬프를 만들 수 있습니다. 작성자는 이 허점을 이용해 당첨 번호가 발표되기 전에 찍은 사진처럼 보이는 이미지를 만들었으며, 파일 형식별 허용 제외 범위를 검증기가 강제해야 한다고 제안합니다.
ICE, 시위 참관자 사진을 Palantir 감시 데이터베이스에 입력했다는 소송 제기
미국 메인주에서 이민 단속을 지켜보던 사람들의 사진과 개인정보가 연방 수사 시스템에 입력됐다는 소송 내용이 공개됐습니다. Palantir Gotham 기반 시스템의 기록이 국경 심사 시스템과 자동 공유되는 구조도 드러나면서, 수사 목적 제한과 접근 통제 문제가 제기됩니다.
FTL: 클라우드를 위한 새로운 운영체제
FTL은 컨테이너마다 Linux 프로세스·파일 시스템·TCP/IP를 구현하는 사용자 공간 OS 라이브러리를 실행합니다. Linux 바이너리 호환성과 가벼운 하드웨어 격리를 함께 내세우며, 컨테이너 보안과 OS 기능 확장을 목표로 합니다.
소프트웨어 품질의 시대인가, 타조의 시대인가?
GNOME 보안 담당자 마이클 카탄자로는 AI 취약점 스캔이 소프트웨어 품질을 높이는 데 필요하며, AI가 작성한 취약점 보고서도 허용해야 한다고 주장합니다. GNOME과 WebKitGTK의 CVE 증가, 버그 바운티 운영 결과를 근거로 들면서도 AI 보고서의 부담과 Rust 의존성 위험, 인간 보안 감사의 필요성을 함께 다룹니다.
네덜란드, 마이크로소프트 의존 줄이려 NixOS 기반 정부 IT 환경 구축
네덜란드 정부가 디지털 자립을 목표로 NixOS 기반 정부 IT 환경 DAWO를 추진합니다. 새 배포판을 처음부터 만드는 사업이라기보다, 기존 NixOS를 정부 업무에 맞게 구성하고 관련 도구와 서비스를 마련하는 계획입니다.
미 연방법원, Flock 차량번호 검색은 ‘무차별 대량 감시’이자 위헌이라고 판단
오클라호마 연방법원은 경찰이 캘리포니아 번호판을 단 차량의 Flock 자동 번호판 인식 기록을 영장 없이 조회한 행위가 수정헌법 제4조를 위반했다고 판단했습니다. 법원은 차량의 전국 이동 기록을 모으는 감시망의 규모와 자동화에 주목해 관련 증거를 배제했지만, 판결은 구속력 있는 선례가 아닙니다.
macOS 전체 디스크 접근 권한 변경
Apple이 macOS의 Full Disk Access에 추가 제어 기능을 도입하겠다고 밝혔습니다. 앱이 파일뿐 아니라 메일, 메시지, 인터넷 사용 기록까지 읽을 수 있는 권한인 만큼, AI 에이전트가 늘어나는 상황에서 사용자가 위험을 이해하고 명시적으로 허용하도록 하겠다는 방침입니다.
Docker 레이어에 숨은 설계상의 타협
Docker 이미지 레이어는 전체 파일시스템이 아니라 순서대로 적용하는 변경 집합입니다. OCI는 파일 삭제를 `.wh.*`라는 특수 이름으로 표현하는데, 이 때문에 같은 이름의 일반 파일은 이미지에 온전히 담기지 않으며 빌드 직후와 이미지 내보내기·가져오기 뒤의 결과가 달라질 수 있습니다.
죽은 Kubernetes 노드는 3초 만에 감지되지만 13초 동안 트래픽을 받습니다
DigitalOcean Kubernetes에서 워커 노드를 강제 종료하는 실험을 열 차례 반복했습니다. 노드 감지는 2.9초로 빨랐지만 Service 엔드포인트에서 해당 노드의 Pod를 빼기까지 중앙값 13.2초가 걸렸으며, 계획된 작업에서는 drain이 이 시간을 0.5초로 줄였습니다.