Ghostty 1.4: 성능·메모리 개선과 Kitty 그래픽 프로토콜 완전 구현
Ghostty 1.4는 macOS에서 터미널 입출력 처리량을 25~55% 높이고, 스크롤백 메모리를 줄였습니다. Kitty 그래픽 프로토콜의 애니메이션과 상대 배치를 구현했으며, 보안 취약점 수정과 SSH 통합 개선도 포함했습니다.
보안·인프라 · 최신기사
취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.
DreamHost, 10월 23일부터 이메일·SFTP 비밀번호 초기화…원인은 미공개
DreamHost가 10월 23일 File Manager 접속 장애 뒤 이메일과 FTP/SFTP 계정의 비밀번호를 초기화하고 계정 소유자에게 복구 절차를 보냈습니다. 회사는 원인이나 영향받은 계정 수, 파일·메일 노출 여부를 밝히지 않았으며, 이메일 전달 규칙도 확인하라고 안내했습니다.
웹 PKI 역사상 가장 난처한 개인 키 사고
eMudhra의 중간 인증기관 8곳에서 P-384 개인 키가 256보다 작은 값으로 생성돼 공개 키만으로도 복구할 수 있는 문제가 드러났습니다. 키 생성과 선택 검증이 모두 실패했고, 브라우저 차단만으로는 자체 인증서 저장소를 쓰는 클라이언트까지 보호하지 못할 수 있습니다.
Tailscale SSH 취약점 조사 및 대응 현황
Tailscale은 Tailscale SSH에서 권한 상승 취약점을 확인하고 패치를 준비하고 있습니다. SSH 접근 정책을 좁히고 불필요한 포워딩을 끄라고 권고했으며, 모두에게 기능을 비활성화하라고 하지는 않았습니다.
CISA, PHP2Shell 취약점 악용 확인… 연방기관에 패치 지시
CISA가 PHP2Shell로 묶인 PHP 취약점 CVE-2026-109618과 CVE-2026-109619를 실제 공격에 악용된 취약점 목록(KEV)에 추가했습니다. 미패치 시스템에서 원격 코드 실행이 가능하지만, 공격 시도와 침해 성공은 구분해야 합니다. CISA는 연방 민간기관에 10월 29일까지 조치하라고 지시했습니다.
GameVault 2 공개 베타 출시: 리눅스 지원과 새롭게 만든 반응형 UI
GameVault 2가 Windows, Linux, macOS용 공개 베타로 출시됐습니다. 게임별 여러 버전 선택, Linux용 Wine/Proton 실행 설정, 화면 가림 모드 등을 추가했지만 기존 설치 게임은 다시 받아야 하며 GameVault 1의 모든 기능을 아직 갖추지는 않았습니다.
eMudhra 키 사고에 대한 Go 팀의 대응
eMudhra가 발급한 중간 인증서의 개인 키는 마이크로초 만에 복구할 만큼 취약했습니다. Go 팀은 통보를 받은 뒤 7시간 30분 안에 해당 인증서의 신뢰를 차단하는 긴급 보안 릴리스를 배포했고, 출시 절차 단축과 Linux 인증서 폐지 확인 지원을 추진합니다.
아이폰에서 ARM64 Linux 앱과 데스크톱 실행하기
LinuxRunner는 탈옥이나 가상 머신 없이 iOS·iPadOS에서 ARM64 Linux 프로그램과 데스크톱 환경을 실행하는 앱입니다. 자체 명령어 인터프리터와 Linux 호환 계층을 쓰며, 시스템 호출과 그래픽 지원에는 제약이 있고 성능 비교 벤치마크는 공개되지 않았습니다.
.NET, Brotli 취약점 긴급 패치 배포… 8.0.33·9.0.22·10.0.14로 업데이트
.NET 8·9·10과 .NET 11 RC3에 Brotli 압축 해제 취약점 등을 고친 긴급 보안 업데이트가 배포됐습니다. 자체 포함 앱은 런타임 설치만으로 패치되지 않아 다시 빌드하고 배포해야 합니다.
EXT4, 대용량 쓰기 성능 높이는 선택형 buffered iomap 추가
Linux 7.4의 EXT4에 선택형 buffered iomap 지원이 추가됩니다. 대용량 쓰기에서 성능 향상을 보였지만 일부 기능과 마운트 모드가 호환되지 않으며, 조건에 따라 기존 I/O 경로로 자동 전환합니다.
CVSS 10.0 치명적 취약점(RCE): Rust zip 크레이트를 9.0.5로 업데이트하세요
Rust용 zip 크레이트에서 ZIP 파일의 중앙 디렉터리와 로컬 파일 헤더에 적힌 파일명이 다를 때 검사와 추출 결과가 달라지는 취약점이 보고됐습니다. 조작된 아카이브가 추출 경로의 파일을 덮어쓸 수 있다는 설명이지만, Reddit 댓글에서는 RCE와 CVSS 10.0 평가가 실제 공격 조건을 과장한다는 반론이 나왔습니다.
사이버 위협 증가에 호주 사이버 당국 "온라인 서비스 중단에 대비해야"
호주 신호정보국(ASD)은 AI를 활용한 공격이 늘고 있다며 기관과 기업에 방어 체계 현대화를 촉구했습니다. 2025~26년 대응한 사이버 사고는 전년보다 20% 늘어난 1,500건으로, 당국은 보안 조치 중 온라인 서비스가 일시 중단될 가능성도 안내했습니다.
수십억 대 기기를 앞두고 C Binder 드라이버를 제거하고 Rust 버전으로 전환
Linux 7.4의 char/misc 변경에서 Android Binder의 C 드라이버가 제거됩니다. 기능 완성도와 안정성을 갖춘 Rust 드라이버로 Google의 개발 초점이 옮겨가며, 일부 테스트에서는 C 버전보다 높은 성능을 보였다고 전합니다.
사이버 공격으로 뉴멕시코대 보건의료 시스템, 구급차 우회·진료 예약 취소
뉴멕시코대 보건의료 시스템이 사이버 공격을 받아 구급차를 다른 곳으로 돌리고 30곳이 넘는 진료소의 예약을 취소했습니다. 대학은 보안 문제 해결에 나섰지만 정상 진료 재개 시점은 밝히지 않았으며, 정보 유출과 랜섬웨어 관련 주장은 확인하지 않았습니다.
Python 3.15.2, 3.14.10, 3.13.18, 3.12.16, 3.11.18 보안 업데이트 공개
Python이 지원 중인 다섯 버전의 보안 업데이트를 공개했습니다. 침해된 eMudhra 중간 인증기관 키를 차단했으며, 일반적인 pip 사용은 pip를 아직 업데이트하지 않아도 해당 키를 악용한 공격으로부터 보호됩니다.
컨텍스트 폭탄: 공격 에이전트에 비용을 치르게 하기
Tracebit은 AWS 보안 평가 773회에서 7개 모델에 기만 기법 9가지를 적용해 공격 에이전트의 시간, 비용, 목표 달성률을 측정했습니다. 가짜 침투 테스트 보고서는 일부 모델의 목표 달성률을 크게 낮췄지만, 기만 효과는 모델마다 달랐고 연구진은 결과가 제한된 AWS 환경에 해당한다고 밝혔습니다.
유출 음성에서 Flock CEO, 경찰에 회사 반발은 실재하지 않는다고 말해
감시 카메라 업체 Flock의 Garrett Langley CEO가 경찰 간부 행사에서 회사 반발 여론을 러시아 봇 탓으로 돌리고, 사과하지 말라는 아내의 조언을 언급했습니다. 영장 없이 조회 가능한 전국 차량번호 데이터망을 둘러싸고 사생활 침해와 범죄 수사 효용 논쟁이 이어집니다.
취약한 키로 인증기관 8곳 위험에 빠뜨린 eMudhra, 사과
eMudhra의 스크립트 오류로 중간 인증기관 8곳의 개인 키를 쉽게 추측할 수 있는 문제가 드러났습니다. 회사는 해당 인증서를 폐기했으며, 고객 데이터 침해나 공개 신뢰 인증서 발급의 증거는 찾지 못했다고 밝혔습니다.
PHP2Shell 취약점, 실제 공격에서 악용 확인
연구자 Adel Karimi가 PHP 8.4.26과 Apache mod_php를 구동하는 허니팟에서 PHP2Shell 취약점의 메모리 정보 노출과 원격 명령 실행을 확인했습니다. 이번 증거는 특정 단일 워커 환경에서 나온 결과로, 다른 구성에서의 성공률이나 실제 서비스 침해 규모를 보여주지는 않습니다.
침해된 eMudhra 중간 인증기관에 관하여
eMudhra가 운영하는 TLS 중간 인증기관 6곳의 개인 키가 유출돼 공격자가 임의의 웹사이트에 유효해 보이는 인증서를 발급할 수 있게 됐습니다. Apple은 기기에서 해당 인증서를 차단하고 있지만, 일부 macOS 명령줄 도구는 별도 인증서 묶음을 참조하므로 관리자에게 임시 조치 방법을 안내합니다.