취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.
1980년대 BBS 시절 플로피 디스크에 비밀번호를 평문으로 저장했던 경험에서 출발해, 성숙한 프레임워크가 '타이핑 절약'이 아니라 다른 사람이 이미 겪은 결정·엣지 케이스·취약점의 기록이라는 논지를 펴는 에세이입니다. 통제(control)에는 항상 책임(responsibility)이 따라붙고, 팀의 주의력은 유한한 '복잡성 예산'이라는 것이 핵심입니다. 최근 코딩 에이전트가 비밀번호 재설정 기능을 5분 만에 만들었지만 재설정 토큰이 재사용 가능했다는 일화로, AI가 해피 패스는 재현해도 불변조건(invariant)은 잃어버릴 수 있다는 문제를 제기합니다.
미국 차량번호판 인식 카메라 업체 Flock은 장치 내 암호화로 데이터가 안전하다고 주장해 왔지만, 해킹 그룹 stegan0gram이 도로 위 카메라를 떼어 내 분석한 결과 암호화 키가 기기 내부 파티션에 저장돼 있었습니다. 21일 동안 촬영된 약 160만 장의 이미지와 2만 7,321개의 영상 클립이 그대로 추출됐습니다.
테네시주에 사는 50대 여성 Angela Lipps가 안면 인식(facial recognition) 소프트웨어의 오식별로 노스다코타 은행 사기 사건 용의자로 지목돼 약 6개월간 수감됐습니다. 은행 기록으로 알리바이가 확인돼 크리스마스 이브에 석방됐지만, 그동안 집과 차, 반려견을 모두 잃었습니다. 그녀는 Fargo 시와 담당 형사를 상대로 1,000만 달러 손해배상 소송을 제기했으며, 안면 인식 결과를 검증 없이 기소 근거로 사용한 경찰 관행이 핵심 쟁점입니다.
백엔드 개발자가 반드시 알아야 하지만 대부분 흐릿하게 기억하는 두 보안 흐름 — TLS 핸드셰이크와 OAuth 인가 코드 플로우 — 를 정적 다이어그램 대신 단계별로 직접 진행하며 배우는 무료 브라우저 시뮬레이터 두 개를 소개한다. 인증서 만료·호스트명 불일치·잘못된 redirect URI 같은 실패 시나리오까지 실행해볼 수 있어, 프로덕션 장애 대응에 필요한 재구성 능력을 기르는 데 초점을 둔다.
watchTowr가 GNU inetutils telnetd의 LINEMODE SLC 협상 처리 코드에서 1994년부터 존재해 온 pre-authentication BSS 버퍼 오버플로우(CVE-2026-32746)를 심층 분석했습니다. 인증 없이 인접 전역 변수 약 400바이트를 덮을 수 있고 Debian, FreeBSD, NetBSD, Citrix NetScaler, macOS 등 다수 구현이 같은 코드에서 파생됐지만, 트리플릿 바이트 제약과 0xFF 이스케이핑 때문에 실제 RCE는 상당히 까다롭습니다.
매일 반복 입력하는 답변·SQL·템플릿을 관리하는 로컬 스니펫 매니저 PhraseVault가 3.0을 출시했습니다. 전체 볼트가 아니라 은행 정보 같은 민감한 구문만 PIN으로 개별 잠금할 수 있게 된 것이 핵심이며, Windows와 macOS를 지원하고 코드를 직접 검증할 수 있는 source-available 방식으로 배포됩니다.
Cilium은 eBPF 기반 데이터플레인으로 Kubernetes 클러스터의 네트워킹, 로드밸런싱, 네트워크 정책, 서비스 메시, 가시성을 통합 제공하는 오픈소스 CNI입니다. IP가 아닌 아이덴티티 기반 보안 모델로 L3~L7 정책을 적용하고, kube-proxy를 완전히 대체할 수 있는 것이 특징입니다. 현재 v1.18~v1.20 세 개 마이너 버전이 유지보수 중이며 v1.21.0-pre.2 프리릴리스가 공개되어 있습니다.
PeakHour 6는 macOS용 실시간 네트워크 모니터링 앱으로, 온디바이스 AI Advisor가 연결 상태를 A+부터 F까지 등급으로 매기고 이를 일상 언어로 설명해줍니다. Wi-Fi Intelligence, ISP·라우터 정보, 속도 테스트, 장애 알림 기능을 갖추고 있으며 계정 없이 완전히 로컬에서 동작한다는 점이 특징입니다.
CreatorHat은 Safari에서 YouTube SEO 작업을 수행할 수 있는 확장 도구입니다. 영상 업로드 중 Mac에서 로컬로 전사를 수행하고, Apple Intelligence로 제목과 설명을 제안하며, 전사 데이터와 AI 생성 결과물이 기기 밖으로 나가지 않는 것이 특징입니다.
Erik Bernhardsson이 창업한 Modal은 Kubernetes나 Docker 없이 Python 코드 몇 줄로 GPU 워크로드를 클라우드에서 실행하게 해주는 서버리스 AI 인프라 플랫폼입니다. 2026년 5월 Series C에서 3억 5,500만 달러를 유치하며 기업가치 46억 5,000만 달러를 기록했고, 초 단위 GPU 프로비저닝과 샌드박스 환경이 핵심 차별점입니다.
개발자가 실제 채용 과제를 받는 과정에서 위장 기업이 심어둔 악성 npm 패키지를 발견한 사례입니다. 의존성 트리에 숨어든 transitive dependency가 C2 서버와 통신하며 임의 JavaScript를 실행할 수 있는 구조였고, package.json만으로는 감지할 수 없었습니다. npm install 전에 저장소 자체를 신뢰할 수 없는 소프트웨어로 취급해야 한다는 경고를 담고 있습니다.
Azure Container Apps는 AKS보다 운영 부담이 적으면서 KEDA·Dapr 같은 Kubernetes 기반 프리미티브를 그대로 활용할 수 있는 서비스입니다. 이 글은 관리 ID 기반 ACR 인증, 실제 수요 신호에 반응하는 스케일 규칙, Azure Pipelines 지속적 배포, 리비전 기반 무중단 롤아웃까지 프로덕션 수준 배포 절차를 단계별로 다룹니다.
트럼프 행정부가 420억 달러 규모의 연방 브로드밴드 보조금 프로그램(BEAD)에 '망중립성 규제 집행 금지' 조건을 달면서, 캘리포니아가 18억 6,000만 달러를 받는 대가로 자체 망중립성법을 사실상 무력화할 위기에 처했습니다. 면제는 보조금 지급 지역이 아닌 주 전역에 최대 14년간 적용되며, 캘리포니아 공공사업위원회(CPUC)가 최종 계획 비준 표결을 앞두고 있습니다.
미국 사이버보안·인프라보안청(CISA)이 2026 회계연도 말인 2026년 9월 28일부로 주간 취약점 공지(Weekly Vulnerability Bulletin)를 중단한다고 발표했습니다. 심각도(severity) 기반 취약점 관리에서 위험(risk) 기반 우선순위 지정으로의 전환이라는 큰 흐름의 일환이며, 앞으로는 KEV Catalog와 CISA Alerts, 벤더 보안 공지를 참조하라고 안내했습니다.
백업을 직접 구현하려 할 때 단계적으로 마주치는 복잡성을 따라가는 에세이입니다. 단순 복사에서 시작해 스냅샷, RPO, GFS 로테이션, 중복 제거, 3-2-1 규칙, 오브젝트 스토리지의 제약까지 요구사항이 계속 쌓이며, 결국 Borg나 Restic 같은 검증된 도구를 쓰는 것이 낫다는 결론에 도달합니다. 복원 테스트를 정기적으로 해야 한다는 당부로 마무리됩니다.
해킹 그룹 ShinyHunters가 플로리다주의 차량·운전자 정보 데이터베이스 DAVID를 침해해 수십만 건의 파일을 유출 사이트에 공개했습니다. 경찰관의 자격 증명이 개인 기기에 저장되어 있던 것이 침해 경로로 지목됐으며, 차량 소유주의 이름·주소·차대번호(VIN)와 일부 Social Security Number까지 유출됐습니다. 몸값을 지불하지 않았다는 이유로 데이터가 공개된 사례라는 점에서 랜섬웨어·협박 기반 공격의 현실을 보여줍니다.
GNOME 프로젝트가 6개월의 개발 끝에 데스크톱 환경 최신 버전 GNOME 51 'A Coruña'를 발표했습니다. Mutter의 프레임 스케줄링 개선으로 애니메이션이 더 부드러워졌고, Maps에 오프라인 지도가 도입되었으며, 접근성·보안·앱 전반에 걸친 다양한 개선이 포함되었습니다. 향후 몇 주 내 주요 리눅스 배포판을 통해 배포될 예정입니다.
PS5 Linux 프로젝트를 이끌던 개발자 Andy Nguyen이 PS5 Pro 지원 출시를 앞두고 모딩 씬에서 완전히 손을 떼겠다고 선언했습니다. 그는 LLM 코딩 어시스턴트에 의존하는 "slop kiddies"들이 자신이 비밀로 보존해 두던 마지막 하이퍼바이저 버그를 발견해 Sony 버그 바운티에 신고하면서 수개월의 작업이 물거품이 됐다고 밝혔습니다. LLM 시대의 오픈소스·해킹 커뮤니티 문화와 버그 바운티 윤리를 둘러싼 논쟁을 촉발한 사건입니다.
Denuvo가 자사 Anti-Tamper DRM을 우회하는 크랙을 배포해온 익명 크래커 'voices38'를 미국 캘리포니아 북부 연방지방법원에 고소했습니다. 게임 저작권자가 아닌 Denuvo가 직접 DMCA의 우회금지 조항을 근거로 크래커를 제소한 첫 사례로, Discord·Reddit·Steam 계정 정보를 통해 신원을 특정하려는 시도가 주목됩니다.
Hacker Factor의 Neal Krawetz가 연구자 retr0id와 함께 Pixel 10의 C2PA 콘텐츠 자격증명 서명을 위조하는 방법을 공개했습니다. 루트 권한을 얻은 뒤 StrongBox/TEE의 서명 프로그램에 임의 데이터를 넘기는 Confused Deputy 공격으로, AI 생성 이미지도 'Pixel 카메라 촬영본'이라는 Google의 유효한 서명을 받을 수 있습니다. Google은 이를 'Won't Fix (Infeasible)'로 종결했습니다.