취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.
AI 해킹 벤치마크를 운영하는 Enclave가 DeepSeek V4.1 Flash를 평가한 결과, 11개 취약 타깃 전부에서 코드 실행에 성공하고 4개의 패치된 대조군은 모두 안전하게 유지됐습니다. 승인된 실행 비용은 4.65달러에 불과했으며, 정밀 감사 결과 6건은 설계된 공격 경로를, 5건은 벤치마크 환경의 예상 밖 우회 경로를 사용한 것으로 확인됐습니다.
Ubuntu 26.10이 cp, mv, rm을 포함한 GNU Coreutils 전체를 Rust 기반 uutils로 교체하며 Rust Coreutils 전환을 100% 완료했습니다. 호환성 문제로 보류됐던 핵심 유틸리티까지 넘어오면서 수년간 진행된 재작성 프로젝트가 마무리 단계에 접어들었습니다. 베타는 이달, 정식 릴리스는 10월 15일로 예정되어 있습니다.
미국 국가안보국(NSA) 연구국이 개발하고 유지보수하는 소프트웨어 리버스 엔지니어링(SRE) 프레임워크 Ghidra가 GitHub에 올랐습니다. 디스어셈블리, 디컴파일, 그래프 시각화, 스크립팅 등을 지원하며 Java나 Python으로 확장할 수 있는 오픈소스 프로젝트입니다. 악성코드 분석과 취약점 연구에 활용되는 대표적인 무료 SRE 도구입니다.
Cloudflare가 코딩 에이전트를 보안 감사자로 바꿔주는 오픈소스 스킬 security-audit-skill을 공개했습니다. 정찰, 커버리지 기반 탐색, 후보 검증, 구조화된 출력, 독립 기록 검증, 보고서 생성의 6단계 파이프라인을 통해 취약점을 찾아내며, 발견한 에이전트와 검증하는 에이전트를 분리하는 적대적 검증 방식이 특징입니다. Cloudflare의 사내 취약점 발견 하니스를 만든 원조 스킬로, MIT 라이선스로 배포됩니다.
해커 그룹 stegan0gram이 도로 위에 설치된 Flock Safety의 자동 번호판 인식(ALPR) 카메라를 물리적으로 탈취해 내부 데이터를 거의 통째로 복제하고, 404 Media와 WIRED에 제공했습니다. 디바이스 내부에 저장된 암호화 키를 복구해 수천 건의 차량 감지 영상을 복호화했으며, 분석 결과 카메라가 차량뿐 아니라 사람도 명시적으로 감지하는 컴퓨터 비전 소프트웨어를 실행 중인 것으로 확인됐습니다.
Access Now 등 디지털 권리 단체들이 캐나다의 'Lawful Access Act'로 불리는 Bill C-22에 대응해 EU의 개입을 촉구하는 공개 서한을 발표했습니다. 이 법안은 기술 기업에 감시 기능과 데이터 보존 의무를 강제할 수 있으며, 역외 적용으로 인해 유럽 기업까지 암호화 약화를 강요받을 수 있다는 우려가 나옵니다. Signal, Apple, 주요 VPN 업체들은 법안 통과 시 캐나다 철수까지 언급하며 반대하고 있습니다.
LM-Kit One은 기업 자체 인프라 위에서 완전히 동작하는 프라이빗 AI 애플리케이션 서버입니다. 단일 REST API를 통해 AI 에이전트 구축, 문서 데이터 추출, 내부 지식 검색, 워크플로 자동화를 제공하며, 클라우드 AI 의존성과 데이터 수집이 없다는 점이 핵심입니다. Windows, Linux, macOS에 배포할 수 있고 기간 제한 없는 무료 평가를 제공합니다.
EFF가 공개 기록 요청으로 확보한 로그에 따르면, 미국 경찰관들이 Flock의 번호판 인식(ALPR) 데이터베이스를 조회하면서 필수 입력인 '검색 사유'란에 "LMAO", "idk" 같은 답변을 상습적으로 기재해 온 것으로 드러났습니다. 영장 없이 시민의 이동 경로를 재구성할 수 있는 시스템에서 사실상 유일한 견제 장치인 감사 기록이 무력화된 사례로, 감사 필드 설계와 감시 기술 통제에 관심 있는 개발자에게 시사하는 바가 큽니다.
Raspberry Pi Desktop에 아이콘 독(Dock), 그래픽 애플리케이션 런처, 통합 작업 목록 등 현대적인 데스크톱 기능이 추가되었습니다. 모든 기능은 선택 사항이며 기본 외관은 유지되고, Control Centre의 Defaults 페이지에서 프리셋 스타일로 쉽게 전환할 수 있습니다. swaybg 기반 경량 배경화면 렌더링, 단축키 편집기, 스크린샷 후속 동작 다이얼로그 등 부가 개선도 함께 제공됩니다.
위협 행위자가 트위치 스트리머 약 4만 명의 개인정보가 담긴 데이터베이스를 다크웹 마켓플레이스에 판매하고 있습니다. 다만 Cybernews 연구진은 샘플 분석 결과 직접 침투가 아닌 스크래핑 데이터일 가능성이 높다고 보고 있으며, 이메일처럼 공개되지 않은 정보가 포함된 점은 API 악용 가능성을 시사합니다. 한 곳에 집계된 데이터는 스트리머를 겨냥한 소셜 엔지니어링 피싱 공격에 악용될 수 있습니다.
이탈리아의 비영리 기술 콜렉티브 Autistici/Inventati(A/I)가 미국 정부로부터 '글로벌 테러 조직(Specially Designated Global Terrorist)'으로 지정되면서 25년간 운영해 온 메일·블로그·웹호스팅 등 모든 서비스를 종료한다고 발표했습니다. 무료·비상업적·프라이버시 중심 인프라가 법적·금융적 압박으로 사라지는 대표 사례로, 독립 인프라와 디지털 공익 서비스의 지속 가능성 문제를 드러냅니다.
The Drive가 iOS 27 정식 출시와 함께 Release Candidate 버전에서 직접 사용해 본 CarPlay 신기능을 정리했습니다. iPhone 홈 화면 위젯 전체를 CarPlay에 추가할 수 있게 되었고, Apple Maps 경로를 차량 내장 내비게이션과 공유할 수 있으며, 음악·팟캐스트에서 재생 위치를 드래그로 이동하는 스크러빙이 드디어 지원됩니다.
Apple이 iPhone 18 Pro와 Pro Max의 메인 카메라에 처음 도입하는 'Apple Reference Image'는 센서가 캡처한 픽셀을 하드웨어 수준에서 즉시 서명하고, Private Cloud Compute에서 검증 가능하게 현상해 실제 촬영물임을 증명하는 옵트인 모드입니다. C2PA 기반 기존 방식의 한계를 넘어 복합 포스트퀀텀 서명, 촬영자 익명성, 사후 폐기 메커니즘까지 갖췄습니다.
Cisco가 Secure Email Gateway 어플라이언스의 제로데이 취약점 CVE-2026-76461이 실제 공격에 악용되고 있다고 경고했습니다. CVSS 점수 9.8의 이 취약점은 AsyncOS의 이메일 파싱 문제로, 인증 없이 원격에서 root 권한의 임의 명령 실행이 가능합니다. CISA는 KEV 카탈로그에 등재하고 연방 기관에 9월 17일까지 조치를 지시했습니다.
ConnectWise가 원격 지원 소프트웨어 ScreenConnect의 치명적 취약점 CVE-2026-84869(CVSS 9.9)를 긴급 패치했습니다. 해당 결함은 8월 20일부터 실제 공격에 악용되어 왔으며, 변조된 클라이언트를 통해 VBScript 페이로드를 다른 세션으로 전파하는 웜 형태 공격이 관찰되었습니다. CISA는 이 취약점을 KEV 카탈로그에 등록하고 연방 기관에 3일 내 패치를 요구했습니다.
Debian 프로젝트가 안정 배포판 Debian 13(Trixie)의 일곱 번째 포인트 릴리스 13.7을 발표했습니다. 이번 업데이트는 새 버전이 아니라 보안 패치와 심각한 버그 수정을 묶은 것으로, glibc·OpenSSL·QEMU·ImageMagick·Samba 등 핵심 패키지의 수십 건의 CVE 수정이 포함됩니다. 기존 설치는 미러를 통한 패키지 업그레이드만으로 적용할 수 있습니다.
Trail of Bits가 1Password의 FLAWED 보고서가 제시한 'AI 패치 클린 수정률 26%'라는 수치가 오도하고 있다고 반박했습니다. 잘못된 수정을 지시한 프롬프트와 테스트 금지 조건이 포함된 실험 설계의 문제를 지적하며, 자사 컨설팅과 Patch the Planet 프로젝트의 실제 데이터를 공개했습니다. 검증용 에이전트 스킬 2종도 함께 릴리스했습니다.
미국 전역의 지방정부가 AI 기반 차량 번호판 인식(ALPR) 카메라 업체 Flock과의 계약을 잇달아 해지하고 있습니다. 다만 계약 종료가 곧 카메라 철거나 수집 데이터 삭제를 의미하지는 않으며, 일부 도시는 Axon 같은 대체 감시 벤더로 이동하고 있어 대량 감시 자체는 계속될 수 있다는 지적이 나옵니다.
AWS가 이란 전쟁 초기 드론 공격으로 파손된 바레인 데이터센터와 UAE 가용영역(Availability Zone) 일부를 6개월이 지나도 복구할 수 없다고 공식 발표했습니다. 해당 리전에만 저장된 리소스와 데이터는 복원이 불가능하다고 못 박았으며, 클라우드 리전이 물리적 군사 공격의 표적이 될 수 있다는 사실이 현실화된 첫 사례로 평가됩니다.
보안 연구가 Chris Domas가 Black Hat USA 2026에서 David Bombal과의 대담을 통해, C 언어로 모범 사례를 따라 작성한 코드도 컴파일러 최적화에 의해 보안 검사가 제거되거나 TOCTOU 취약점이 새로 생길 수 있음을 설명합니다. AI를 활용해 5억 줄의 오픈소스 코드를 분석한 결과 300개의 잠재적 위험 패턴이 발견됐으며, 개발자는 최적화된 빌드를 직접 분석하고 출시될 바이너리 그대로를 테스트해야 한다고 권고합니다.