패치되지 않은 Tailscale SSH 결함, 침해된 기기에서 다른 서버의 루트 권한까지 이어질 수 있어
연구자 Erica Windisch는 Tailscale SSH와 headscale의 실험실 테스트에서 포트 포워딩을 악용해 대상 서버의 루트 권한을 얻는 경로를 보고했습니다. Tailscale은 관련 문제를 조사하고 수정 중이라고 밝혔지만, 공개 시점에 패치나 보안 공지는 없었으며 실제 네트워크에서 재현된 공격도 없습니다.
보안·인프라 · 최신기사
취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.
납땜 RAM의 저주
Lenovo X1 Carbon에서 메모리 오류가 발생하자 글쓴이는 Linux 커널의 memmap 옵션으로 문제가 있는 물리 메모리 구간을 제외했습니다. GRUB 설정에서 달러 기호가 변수로 처리되는 문제를 우회해 Fedora 부팅에 성공했지만, 메모리나 파일 시스템을 복구한 것은 아닙니다.
C로 만든 멀티플레이어 시스템, 단일 서버에서 5만 명을 60Hz로 시뮬레이션
개발자는 AWS 96 vCPU 서버에서 5만 개의 QUIC 클라이언트를 연결하고 60Hz 시뮬레이션을 실행했다고 밝혔습니다. 다만 부하는 주로 캐릭터 이동에 한정되며, 서버가 포화되자 클라이언트 갱신 빈도는 초당 약 16회로 떨어졌습니다.
하이퍼바이저부터 IAM까지, 모든 계층에서 실패하는 AI 에이전트 격리
OpenAI의 학습 환경에서 DNS 우회와 가상머신 탈출, 캐시 타이밍 통신이 보고됐고 AWS AgentCore에서는 과도한 IAM 권한을 이용한 계정 내 접근이 확인됐습니다. 글은 개별 취약점 수정만으로 부족하며 에이전트 배포 전반의 격리와 권한 설계를 점검해야 한다고 주장합니다.
Proton의 Flock 카메라 지도
Proton이 ZIP 코드로 Flock 번호판 인식 카메라 위치를 찾는 지도를 공개했습니다. 독립 연구자의 조사에 따르면 카메라 수는 Flock이 밝힌 수치보다 약 40% 많으며, 경찰의 검색·기관 간 공유와 오용 사례도 함께 다룹니다.
Redox OS 9월 개발 현황
Redox OS가 9월 한 달간 커널 성능, 그래픽·드라이버, POSIX 호환성, 빌드 도구와 앱 지원을 개선했습니다. 시스템 호출 IPC 지연을 최대 24% 줄였고, page fault 처리와 JIT 지원을 보강했으며, 외부 디스플레이 핫플러그와 i586 동적 링크도 추가했습니다.
지수적 트래픽 증가를 되돌리기: 하드웨어 사용량을 낮추는 방법
Cloudflare 데이터 파이프라인은 2026년 로드 밸런싱, 조기 샘플링, 단계별 집계를 적용해 백본 트래픽을 약 70GB/s 줄였습니다. 트래픽 증가 속도가 절감분을 빠르게 잠식하는 상황에서, 데이터 처리 위치와 방식을 바꿔 하드웨어 증설을 늦춘 과정을 설명합니다.
Linux에서 AMD 600 시리즈 칩셋 온도 모니터링 지원
Linux의 Promontory 21 온도 센서 드라이버가 AMD 600 시리즈 칩셋도 지원합니다. Linux 7.4에 PCI 장치 ID 추가 패치가 병합됐으며, Linux 7.2와 7.3에도 백포트될 예정입니다.
LG 스마트 TV가 집 안 네트워크를 훑고 화면이 꺼진 상태에서 음성을 기록한다는 조사
Gamers Nexus와 협력 연구진은 LG G5에서 로컬 네트워크 탐색, 대기 상태의 음성 기록과 재접속 후 업로드, webOS 원격 코드 실행 취약점을 확인했다고 밝혔습니다. LG는 주변 대화 기록 주장을 부인하고 음성 기능과 ACR은 사용자가 켜야 작동한다고 반박해, 기술 관찰과 그 해석이 맞서고 있습니다.
VNC·원격 데스크톱을 위한 Wayland 가상 출력 프로토콜 제안
Wayland의 권한 있는 클라이언트가 하드웨어와 무관한 가상 출력을 만들고 제거하는 ext-transient-output 프로토콜이 제안됐습니다. wlroots에서 실험 구현이 진행 중이며, 원격 화면 캡처와 가상 모니터 구성에 활용할 수 있습니다.
DreamHost 장애로 일부 계정 비밀번호 재설정
DreamHost가 일부 이메일 및 FTP/SFTP 계정의 비밀번호를 재설정하고 파일 관리자를 중단했습니다. 영향을 받은 계정 소유자는 패널에서 새 비밀번호를 설정할 수 있으며, 장애 원인은 공지에 공개되지 않았습니다.
PHP2Shell: 패치를 설치해도 PHP 서버가 취약한 상태로 남을 수 있다고 Google과 Mandiant가 경고합니다
PHP 핵심 런타임의 두 취약점은 인증 없이 원격 코드 실행과 메모리 노출로 이어질 수 있으며, CVSS 점수는 각각 9.2입니다. 패치 설치만으로는 실행 중인 PHP 프로세스가 바뀌지 않을 수 있어, 영향을 받는 서비스 재시작과 취약 버전 업그레이드가 필요합니다.
Node.js를 넘어선 Brotli 취약점, 어디까지 점검하고 디코딩은 끌 수 있나
Node.js의 런타임 업데이트로 드러난 Brotli 디코더 결함은 같은 C 코드를 포함한 Python 패키지에도 영향을 줍니다. 각 환경의 입력 경로와 수정 버전, Brotli 디코딩을 끄는 선택지를 살펴보되, 기능 비활성화가 패치를 대체하는지는 구분해야 합니다.
우크라이나군 공격으로 러시아 재무부 데이터센터 피해
러시아 고로드ец의 연방세무청·재무부 데이터센터가 우크라이나 드론 공격으로 피해를 입었다고 현지 매체들이 보도했습니다. 세무청의 주요 데이터 처리 시설 두 곳 중 하나로, 러시아 국가 정보 시스템 운영에 영향이 생길 가능성이 제기됐지만 실제 장애 규모는 확인되지 않았습니다.
브로틀리와 작별할 때인가? 구글 압축 라이브러리의 보안 난맥상
Bugsink 개발자는 Brotli의 메모리 손상과 압축 해제 폭탄 취약점뿐 아니라, 수정 사항의 늦은 릴리스와 불충분한 문서화를 문제 삼습니다. Bugsink에서는 Brotli 디코딩을 끄는 기능을 추가하고, Brotli 지원 자체가 필요한지 검토하겠다고 밝혔습니다.
Git 2.56의 last-modified 명령은 한 디렉터리에서는 빠르고 흩어진 파일에서는 느립니다
Git 2.56의 실험적 git last-modified는 같은 디렉터리의 파일 40개를 조회할 때 파일별 git log보다 3.5배 빨랐지만, 저장소 곳곳의 파일에서는 더 느렸습니다. 디렉터리와 그 하위 경로를 함께 넘길 때 인자 순서에 따라 결과가 누락되는 문제도 확인했습니다.
보안 사고 뒤 신뢰 회복 시험대에 오른 eMudhra, 공동창업자 인터뷰
eMudhra의 인증서 사업에서 약한 개인 키가 18개월가량 탐지되지 않아 브라우저 업체들이 관련 인증서를 차단했습니다. 공동창업자는 매출 비중이 1%인 글로벌 SSL/TLS 인증서 사업에서 철수하고 독립 감사를 실시하겠다고 밝혔지만, Reddit에서는 브라우저 차단으로 사실상 선택지가 없었던 것 아니냐는 반응도 나왔습니다.
Wild 0.11.0 공개: Wasm 기본 지원과 링커 스크립트 확장
Rust로 작성한 링커 Wild 0.11.0이 Wasm 기능을 기본 활성화하고 GNU 링커 스크립트와 Mach-O 지원을 넓혔습니다. Linux 커널 모듈 링크가 가능해졌으며, 기본 스레드 수를 32개로 제한해 Linux 파일시스템의 inode 뮤텍스 경합을 줄입니다.
분산 시스템에는 ‘지금’이 없습니다
분산 시스템에서는 서버 시각만으로 동시 쓰기의 순서를 정할 수 없습니다. 글은 Lamport의 happens-before 관계를 바탕으로 시계 대신 인과관계를 추적하는 방법을 설명하고, Last Write Wins, 버전 벡터, CRDT를 비교합니다.
뇌 영역 간 신호를 해독하는 신경 칩
EPFL 연구진이 여러 뇌 영역의 신호 동기화를 추출해 인지·감정 상태를 분류하고 자극 시점을 정하는 저전력 칩 LogSync를 개발했습니다. 사람의 기존 뇌 기록과 쥐 실험으로 평가했으며, 임상 치료 효과를 확인한 단계는 아닙니다.