싱가포르 정부 데이팅 앱, Gale–Shapley 안정 매칭 알고리즘 사용
싱가포르 정부의 시범 데이팅 앱 FirstDate는 Gale–Shapley 알고리즘으로 이용자를 매칭한다고 소개합니다. 한 주기마다 한 명을 제안하고 72시간 안에 결정하며, 상호 동의해야 연락처를 공개합니다.
보안·인프라 · 최신기사
취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.
에이전트를 작업 중 멈췄다가 4분 뒤 메모리 그대로 재개했습니다
DigitalOcean Managed Agents의 일시 중지가 프로세스와 메모리까지 보존하는지 직접 시험했습니다. 셸 변수 카운터와 에이전트 대화 기록이 재개 후에도 유지됐고, 실행 중인 세션을 포크하면 동일한 시점의 프로세스가 여러 샌드박스에서 따로 진행됐습니다.
부팅 때 ARM64 커널 스택 크기를 설정해 메모리 사용량 줄이는 제안
Google의 Mostafa Saleh가 ARM64 커널 스택 크기를 부팅 매개변수로 조정하는 패치 15개를 RFC로 제안했습니다. 기본 16KB 대신 12KB나 8KB를 선택하면 Android에서 커널 메모리 사용량을 줄일 수 있으며, 패치 제안은 최대 약 50MB 절감을 추산합니다.
뻐꾸기 알
Clifford Stoll은 1986년 75센트의 회계 오류를 추적하다 Lawrence Berkeley National Laboratory 시스템에 침입한 해커 Markus Hess를 발견합니다. 전화 회선과 기록을 추적하고 가짜 SDI 계정을 미끼로 써 침입자를 찾아낸 과정은 초기 컴퓨터 침입 수사와 허니팟 사례를 보여줍니다.
미 국방부 인사 데이터센터 침해로 300만 명 이상 정보 노출
미 국방부 인사 데이터센터(DMDC)의 파일 공유 시스템 취약점으로 300만 명이 넘는 개인정보가 노출됐습니다. 암호화되지 않은 파일에 수개월간 접근이 이어졌으며, 당국은 정보 오용 징후가 없다고 밝혔습니다.
OpenBSD ports 트리, GPL coreutils 유지하고 uutils 제안 거부
OpenBSD ports에 Rust로 다시 만든 uutils coreutils를 추가하려는 제안이 패키징 방식과 동작 차이 우려에 부딪혔습니다. 논의에서는 기존 GNU coreutils를 대체하거나 같은 이름으로 충돌하는 대신 선택 설치가 가능하도록 구성하는 방안이 거론됩니다.
Citrix NetScaler DTLS 사전 인증 메모리 오버플로 분석
watchTowr Labs가 Citrix NetScaler의 DTLS 메모리 오버플로 취약점 CVE-2026-88772를 분석합니다. DTLS 재조립 과정에서 길이 검증을 우회해 고정 크기 버퍼를 넘치는 원리와 패치 변경을 설명하고, 취약점이 실제 공격에 악용됐다고 전합니다.
IoT DVR 펌웨어를 80일간 역공학한 기록: 하드코딩된 AES 키와 ARM32 명령 주입
작성자는 여러 세대의 ARM32 DVR 펌웨어를 분석해 하드코딩된 AES 키를 이용한 인증 우회와 펌웨어 업그레이드 경로의 명령 주입을 보고합니다. 다만 실제 장비는 취약 코드가 빠진 최신 버전이었고, 인터넷에 노출된 구형 기기에는 시험하지 않아 원격 악용은 확인하지 못했습니다.
구글 “ShinyHunters, Oracle PeopleSoft 공격 확대”
구글 보안 조직 Mandiant는 해커 집단 ShinyHunters가 Oracle PeopleSoft의 취약점을 다시 대규모로 악용했다고 밝혔습니다. 공격은 보안 업데이트를 적용하지 않고 웹 애플리케이션 방화벽 규칙만 설정한 조직도 노렸으며, 전 세계 여러 산업의 수십 개 시스템이 영향을 받았습니다.
스태프 엔지니어를 위한 일감 발굴 안내서
플랫폼 팀은 정해진 제품 로드맵이 없는 경우가 많아, 엔지니어가 다음에 할 일을 찾아야 합니다. 글은 시스템·사용자·조직·업계에서 얻는 신호 11가지를 소개하고, 신호의 선행성 및 근거가 얼마나 갖춰졌는지에 따라 우선순위를 판단하라고 제안합니다.
HashiCorp Vault·OpenBao에서 인증 없이 원격 코드 실행 — OpenBao는 패치, Vault는 여전히 취약
ControlPlane은 OpenBao에서 인증 없이 시작해 원격 코드 실행까지 이어지는 취약점 조합을 공개했습니다. OpenBao는 v2.6.3과 v2.7.0에서 수정했지만, 글 게시 시점에 HashiCorp Vault는 아직 패치되지 않았다고 밝혔습니다.
Nura(postmarketOS): 메인라인 리눅스폰을 일상적으로 쓰기까지
Nura가 메인라인 리눅스 기기를 일상적으로 쓸 수 있게 만드는 새 ‘main’ 기기 범주와 편입 기준을 정했습니다. 업스트림 커널, 하드웨어 CI, 최소 5명의 유지보수팀을 요구하며, 첫 후보 기기 세 대를 중심으로 팀을 꾸립니다.
PS5 Relapse 익스플로잇 — 펌웨어 7.00~13.60 지원
PS5 펌웨어 7.00~13.60에서 동작하는 웹 브라우저·커널 익스플로잇입니다. JavaScriptCore 메모리 손상과 커널 use-after-free 경쟁 상태를 결합해 커널 읽기·쓰기를 확보합니다. 다만 PS5에서 Linux를 구동하려면 별도의 하이퍼바이저 익스플로잇이 필요하다는 지적이 나왔습니다.
Anthropic이 GLM을 위한 최고의 광고를 내놨습니다
Anthropic은 Zhipu AI의 오픈 웨이트 모델 GLM-5.3이 취약점 탐색과 익스플로잇 개발에서 자사 Mythos Preview에 가까운 성능을 보였으며, 안전장치도 쉽게 우회할 수 있다고 주장합니다. Reddit에서는 보안 위험보다 Anthropic의 경쟁 모델 홍보에 가깝다는 반응과, 방어에도 쓸 수 있는 모델을 제한해선 안 된다는 의견이 맞섰습니다.
자동차 데이터 프라이버시, 생각보다 심각합니다 — 21대 모두 제3자 도메인에 접속했고 절반 이상은 광고 회사와 통신했습니다
노스이스턴대학교와 컨슈머리포트 연구진이 미국에서 판매되는 차량 21대와 연동 앱 30개를 조사했습니다. 차량 모두 제3자 도메인에 데이터를 보냈고, 앱 다수는 VIN·전화번호·정확한 위치를 광고 네트워크에 전송했습니다.
ChatGPT에 코드베이스 전체를 맡겼습니다. 결과가 무서웠던 진짜 이유
작성자는 저장소 전체를 분석시킨 결과 유용한 결함을 찾았지만, 존재하지 않는 취약점도 그럴듯하게 지어내고 실제 결제 데이터 유실 버그는 놓쳤습니다. AI를 검토자가 아니라 문제 후보를 찾는 도구로 쓰고, 실제 코드 확인과 독립적인 테스트로 판단해야 한다고 설명합니다.
1993년에 켜진 서버, 아직 가동 중이지만 곧 은퇴합니다
미국 철강업체에서 1993년부터 가동한 Stratus 내결함성 서버가 시스템의 약 80%를 원래 부품으로 유지한 채 운영되고 있습니다. 계획되지 않은 중단은 없었지만, 회사가 4월 업그레이드를 추진하면서 서버는 은퇴할 예정입니다.
SSH로 퍼지는 웜을 숨긴 npm 패키지 9개
Express와 React를 사칭한 npm 패키지 9개가 Linux 웜을 설치하고, SSH 키와 npm 토큰을 이용해 원격 호스트·AUR·npm 패키지로 확산합니다. 웜은 Tor를 거치는 원격 제어 백도어도 설치하므로, 감염된 시스템의 자격 증명까지 침해된 것으로 취급해야 합니다.
영국 역에서 얼굴 50만 건 스캔했지만 체포는 없고 오탐 1건
영국 교통경찰(BTP)이 런던 철도역에서 6개월간 진행한 실시간 얼굴인식(LFR) 시험에 32만 파운드가 넘게 들었지만, 감시 대상자 명단과 일치한 결과는 오탐 1건뿐이었고 체포로 이어진 사례는 없었습니다. 경찰은 시험을 연장해 지하철역으로 확대했고, 이후 법원 명령을 준수 중인 사람을 확인한 사례 3건을 보고했습니다.
Poper Blocker: 사용자를 감시하는 광고 차단 확장 프로그램
보안 연구진은 Poper Blocker가 방문 URL과 AI 대화 내용을 수집하고, 서버에서 받은 프로그램으로 수집 대상을 바꾼다고 보고합니다. 200만 명 넘게 쓰는 확장 프로그램이 원격 명령과 탐지 회피 기능을 갖췄다는 분석입니다.