GitLab, 비인증 원격 코드 실행 취약점 수정
GitLab이 CVE-2026-110264를 포함한 보안 취약점을 수정한 패치 버전을 공개했습니다. 정규식 컴파일 과정의 정수 오버플로로 비인증 원격 코드 실행이 가능할 수 있으며, CVSS 3.1 점수는 10.0입니다. 취약한 자체 관리형 인스턴스는 해당 버전으로 즉시 업그레이드해야 합니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
Firefox 보안 패치 테스트, 최소 일주일간 비공개로 유지
Firefox 보안팀이 sec-high와 sec-moderate 취약점 수정 테스트를 수정 패치와 분리하고, 수정 사항이 포함된 버전 출시 후 최소 일주일 동안 공개하지 말라고 요청했습니다. 보안 승인 절차는 바뀌지 않으며, 공지의 댓글은 AI를 이용한 자동 취약점 악용을 배경으로 추정합니다.
보안 공지: Railway 환경 변수 접근 가능성
Railway는 고객 환경 변수를 저장하는 시스템에서 비정상 활동을 발견했으며, 공격자가 암호화된 값과 일부 복호화된 값을 가져갔을 가능성을 알렸습니다. 모든 환경 변수와 자격 증명을 교체하라고 권고하는 한편, 조사 중 배포를 중단했습니다.
Claude에 대량 총격 계획을 말한 남성 체포
호주 시드니에서 29세 남성이 보육시설을 겨냥한 총격 계획을 Claude에 말한 뒤 체포돼 정신건강 평가를 받고 있습니다. Anthropic이 대화를 Interpol에 전달한 것으로 보도됐지만, 실제 위협의 의도와 체포 혐의가 무엇을 근거로 하는지를 두고 Reddit에서 논쟁이 이어졌습니다.
오늘의 PHP 보안 업데이트와 보안 체계 강화
PHP 재단은 원격 코드 실행으로 이어질 수 있는 취약점 두 건을 수정한 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 배포했습니다. 재단은 수정 지연의 구조적 원인과 보안 인력 확충 계획을 공개했으며, 조율된 공개 시점보다 6시간 앞서 수정 이미지를 배포한 Chainguard의 결정도 설명했습니다.
CVE-2026-107891: musl libc regcomp의 정수 오버플로, 힙 범위 밖 쓰기로 이어질 가능성
musl libc의 regcomp에서 정수 오버플로가 발생해 잘못된 크기로 메모리를 할당하고 힙 범위 밖에 쓸 수 있습니다. 신뢰할 수 없는 정규식을 처리하는 애플리케이션이 영향을 받으며, 최소한 예측 가능한 충돌이 가능하고 조건에 따라 임의 코드 실행으로 이어질 수도 있습니다.
DOGE의 정부 인사 데이터 접근은 위법했다고 판결
미 연방 판사는 인사관리처(OPM)가 DOGE 요원에게 민감한 개인정보를 제공해 개인정보보호법(Privacy Act)을 위반했다고 판단했습니다. DOGE 해체와 접근 중단으로 어떤 구제 조치가 필요한지는 불분명하지만, 원고들은 위법 행위에 근거해 행정절차법(APA) 청구에서 승소했습니다.
OrcaCyber Nano 1.0: 로컬 실행을 겨냥한 27B 보안 모델
OrcaRouter가 보안 분석용 27B 비전-언어 모델 OrcaCyber Nano 1.0을 GGUF 형식으로 공개했습니다. llama.cpp에서 오프라인으로 실행하도록 구성했으며, 모델 카드에는 여러 추론·코딩 벤치마크 점수와 하드웨어별 실행 예시가 담겼습니다.
Tiny Little Office — 링크 자체가 문서인 작은 오피스 도구 모음
Tiny Little Office는 문서 내용을 URL에 담아 공유하는 오피스 도구 모음입니다. 텍스트, 스프레드시트, 슬라이드 등 열 가지 앱을 제공하며, 계정이나 서버 저장 없이 문서를 다룹니다.
PyPI의 LiteLLM 1.107.0에 자격 증명 탈취기와 백도어가 삽입됐습니다
PyPI에 배포된 LiteLLM 1.107.0에는 Python 프로세스가 시작될 때 실행되는 자격 증명 탈취기와 원격 코드 실행 백도어가 들어 있었습니다. SafeDep은 공개 저장소에 없는 파일이 비공개 릴리스 파이프라인에서 공격자가 수정한 소스로 빌드됐을 가능성을 중간에서 높은 신뢰도로 판단했습니다. PyPI는 해당 버전을 제거했으며, 1.106.2와 두 릴리스 후보 버전은 깨끗한 것으로 확인됐습니다.
Muse 대화 공유 링크에서 개인·기업 정보 노출
Meta의 AI 에이전트 Muse가 공유 대화 링크를 쉽게 찾아낼 수 있는 구조를 사용해 민감한 정보가 노출됐습니다. 보안업체 Claroc은 링크 6,800개를 열거했고, Meta는 조사와 설계 변경 검토를 위해 공유 기능을 중단했습니다.
미 연방수사당국, 랜섬웨어 협상가의 ShinyHunters 갈취 사이트 운영 의심
KrebsOnSecurity는 FBI가 랜섬웨어 협상업체 임원들과 ShinyHunters의 밀접한 관계를 조사하며, 미국 컨설팅업체 임원이 피해자 압박 사이트 운영에 관여했다고 의심한다고 보도합니다. 협상가가 피해자 편에서 몸값을 낮춰야 하는 동시에 몸값에 비례한 수수료를 받는다면 이해충돌이 생길 수 있다는 업계의 우려도 다룹니다.
curl의 낮음·중간 심각도 취약점은 공개 절차로 처리합니다
curl 프로젝트는 2026년 10월 26일부터 LOW·MEDIUM 취약점 제보를 GitHub 이슈로 공개 접수하고, HIGH·CRITICAL만 HackerOne에서 비공개로 처리합니다. 제보 급증으로 지친 유지보수자의 부담을 나누고 수정 사항을 더 넓게 검토하려는 조치입니다.
PHP, CVSS 9.2 취약점 2건 보안 업데이트 예고
PHP 보안팀이 CVSS v4.0 기준 9.2점인 치명적 취약점 2건을 수정하는 업데이트를 2026년 10월 21일 14:00 UTC에 배포한다고 예고했습니다. 영향을 받는 버전과 수정 버전은 배포 시 공개하며, 취약점 정보가 먼저 공개되거나 실제 악용 정황이 확인되면 일정을 앞당길 수 있습니다.
Ofcom, 4chan 사건에서 사실상 패배를 인정하다
영국 Ofcom의 온라인 안전법 집행을 두고 4chan 측 변호사 Preston Byrne은 미국 법원이 영국의 벌금 집행을 막을 수 있다는 견해를 밝혔다고 주장합니다. Hacker News에서는 법원의 언급이 구속력 있는 판결이 아니라는 점과 Ofcom이 영국 내 접근 차단 등 다른 수단을 쓸 수 있다는 점을 들어 ‘패배’라는 표현이 과장됐다는 반론도 나왔습니다.
Tor 출구 릴레이 300여 개를 퇴출시킨 과정
공격자가 장악한 Tor 출구 릴레이 333개가 SSH 연결을 가로채고 Ebury 악성코드를 설치하려 했습니다. 글쓴이는 릴레이별 SSH 지문과 연결 경로를 검사해 감염 노드를 찾아냈고, Tor 운영진은 이를 BadExit으로 지정한 뒤 해당 서버들을 폐쇄했습니다.
macOS에서 Touch ID로 SSH 키 설정하기
macOS Secure Enclave에서 추출할 수 없는 SSH 키를 만들고 Touch ID로 서명하는 방법을 소개합니다. 내장 도구 세 가지로 설정하며, 재부팅 뒤 에이전트에 키를 다시 등록해야 하고 Mac을 잃으면 해당 키도 복구할 수 없습니다.
eMudhra 중간 인증서 침해에 대응해 Firefox 사용자를 보호합니다
Mozilla는 eMudhra 중간 인증서 8개의 개인 키가 유출됐다는 신고를 받고 Firefox의 OneCRL에 해당 인증서를 차단 목록으로 배포했습니다. 표준 설정을 사용하는 Firefox에는 신고 후 3시간 안에 배포를 마쳤으며, 일부 사용자와 다른 Mozilla 인증서 저장소 이용자를 위한 추가 업데이트도 내놨습니다.
미 육군, 사람의 감독을 최소화한 해킹 AI 에이전트 추진
미 육군 사이버사령부가 적 네트워크에서 자율적으로 표적을 찾아 무력화하는 AI 에이전트 사업 ECHOTRIBBLE을 추진합니다. 요구사항에는 은밀한 실행과 제한적 확산, 흔적 제거가 포함돼 있으며, 전문가들은 공격 경로에서 의도하지 않은 시스템까지 피해를 입힐 위험을 지적합니다.
Anthropic, 10억 달러 이상 피해 또는 50명 이상 사망·중상 위험 때만 AI 모델 출시를 막도록 하는 법안 제안
Anthropic이 정부가 AI 모델 출시를 막을 수 있는 기준을 담은 법안 초안을 의원들에게 제안했습니다. 생물무기 제작, 개발자 통제 우회, 사이버 공격으로 10억 달러 이상 피해를 내거나 50명 이상을 죽이거나 다치게 할 위험을 요건으로 두고, 독립 평가와 연방법원 심사를 거치도록 했습니다.