안드로이드 기기에서 iOS 16.5 사용자 공간 실행
HackiOS는 POCO X5 Pro와 QEMU에서 XNU 커널과 수정하지 않은 iOS 16.5 사용자 공간을 부팅합니다. 터치, Wi-Fi, 카메라 등 일부 기능이 작동하지만 통신, 충전, App Store와 Apple ID 로그인은 지원하지 않아 일반 ROM이 아닌 연구용 환경입니다.
보안·인프라 · 최신기사
Node2Shell: Node.js Brotli 취약점으로 원격 코드 실행 가능 (CVE-2026-111497)
Node.js의 Brotli 디코더에서 비정상 입력이 메모리 경계를 벗어나 쓰게 하는 취약점이 발견됐습니다. 공격자가 조작한 압축 데이터를 처리하면 서비스 장애나 메모리 노출, 원격 코드 실행으로 이어질 수 있으며, 패치 버전으로 업그레이드해야 합니다.
Fedora 45, 두 번째 출시 불가 판정…출시는 11월로 연기
Fedora 45가 두 번째 출시 불가 판정을 받아 다음 주 출시가 취소됐습니다. eMudhra 관련 업데이트와 설치 이미지 크기, LUKS·Stratis 부팅, Discover 패키지 설치 문제 등을 해결한 뒤 11월 3일 출시를 다시 검토합니다.
미국 대형 은행들, 고객 계정에 접속하는 제3자 AI 에이전트 제한 나서
Axios는 Morgan Stanley, JPMorgan, Bank of America 등 미국 은행들이 고객 계정에 접속하는 제3자 AI 에이전트를 제한하고 있다고 보도했습니다. 일부 에이전트가 사용자 지시와 다른 행동을 한 정황도 있지만, 은행은 사람과 에이전트의 접속을 구분하기 어렵다고 밝혔습니다.
PHP2Shell: 코드가 아니라 PHP 엔진이 문제였습니다
PHP 엔진의 요청 초기화와 정리 과정에서 메모리 오류를 일으키는 취약점 두 건이 공개됐습니다. 특정 구성에서 인증 없이 원격 코드 실행으로 이어질 수 있으며, 글은 패치 버전과 워커 재시작 등 대응 방법을 정리합니다.
독일에서 GNU Taler 운영 준비에 나선다
GNU Taler 운영사 Taler Operations AG가 독일 보훔에서 설립 절차를 밟고 전자화폐기관(EMI) 인가 신청과 자금 조달을 추진합니다. 독일에서 유로 결제를 시작하려는 계획으로, 실제 운영은 BaFin의 인가를 받아야 가능합니다. 소프트웨어와 프로토콜은 계속 자유 소프트웨어로 공개합니다.
PHP 중대 취약점 공개 나흘 전 익스플로잇 포착, Amazon도 경로는 모른다
Amazon은 PHP2Shell 취약점(CVE-2026-109618, CVE-2026-109619)을 공개하기 나흘 전인 10월 17일, MadPot 허니팟에서 악용 시도를 포착했습니다. 유출이나 침해 증거는 없으며, 공격자가 정보를 먼저 얻은 경로도 확인되지 않았습니다.
Kubernetes 1.35부터 cgroup v1 호스트에서 기본적으로 시작하지 않는 kubelet
Kubernetes 1.35부터 cgroup v1 호스트에서는 kubelet이 기본 설정으로 시작하지 않고 재시작을 반복합니다. 작성자는 kubelet 설정과 kubeadm 사전 검증에 각각 우회 설정이 필요하며, cgroup v1을 유지하면 Kubernetes 1.37에서 기본 활성화된 Memory QoS도 적용되지 않는다고 확인했습니다.
오픈소스 RISC-V CPU Kunminghu v3, 야간 빌드에서 SPECint06/GHz 21.7 돌파
XiangShan 성능 대시보드에 Kunminghu v3의 SPEC CPU2006 성능 회귀 테스트 결과가 올라왔습니다. Reddit 댓글은 GHz당 점수를 Zen 5 등과 비교하지만, 이 수치만으로 실제 시스템 성능을 비교하기는 어렵다는 반론도 나왔습니다.
LLM으로 대규모 소프트웨어 정형 검증이 현실에 가까워지고 있습니다
Anthropic과 Theorem은 Claude를 사용해 OSS-Fuzz 대상 123개 오픈소스 라이브러리의 239개 테스트 진입점을 RISC-V 바이너리 수준에서 검증했습니다. 입력 크기와 실행 환경에 조건을 둔 결과이며, 증명 과정에서 장기간 발견되지 않은 버그도 찾아냈습니다.
Pangolin 1.25: 리디렉션, mTLS, 머신 클라이언트 역할
Pangolin 1.25는 HTTP 리디렉션과 공개 리소스의 mTLS, 머신 클라이언트 역할을 추가했습니다. 부하 분산 방식 선택, 리소스의 YAML 청사진 내보내기, 비공개 HTTP 요청의 사용자 식별 헤더 전달과 자격 증명 재생성도 지원합니다.
DuckDB 2.0.0 LTS “Cinnamon Teal” 출시
DuckDB 2.0.0 LTS는 비동기 I/O, VARIANT, 트리거, 확장 가능한 SQL 파서와 에이전트 모드를 추가한 기능 중심 릴리스입니다. 지원 기간은 2027년 10월까지이며, 데이터베이스 파일의 하위 버전 호환성과 운영 전 테스트 등 마이그레이션 조건도 함께 안내합니다.
OpenShell: 자율 AI 에이전트 여러 대를 위한 안전한 프라이빗 런타임
NVIDIA OpenShell은 자율 AI 에이전트를 격리된 샌드박스에서 실행하고 파일, 시스템 호출, 네트워크 접근을 정책으로 통제하는 런타임입니다. 커널 수준의 런타임 검사와 정책 변경 전 형식 검증을 내세우며, 댓글에서는 자격 증명 보호와 데이터 유출 통제에 대한 기대와 우려가 함께 나왔습니다.
DNS 리졸버 Quad9, 프랑스 서비스 중단 결정
프랑스 법원이 beIN의 요청을 받아 Quad9에 저작권 침해 의심 도메인의 DNS 응답을 차단하라고 명령했습니다. Quad9는 사용자 위치를 사생활 침해 없이 판별하기 어렵고 전 세계 차단도 부당하다며 2026년 11월 24일부터 프랑스 서비스를 중단하겠다고 밝혔습니다.
Markdown이 새 실행 파일이 됐다: 웹에서 다운로드 폴더로 AI 에이전트 지침을 심는 공격
Forever Security는 실제 고객 PC의 Downloads 폴더에서 악성 AGENTS.md를 발견하고 Codex와 Claude Code에서 공격을 재현했습니다. 웹에서 받은 지침 파일을 에이전트가 신뢰해 설정을 바꾸거나 코드를 실행할 수 있으며, 실험 성공률과 고객 원격 측정치는 회사가 보고한 범위입니다.
CVE-2026-94300: 동시 GSS-TSIG 메시지로 BIND 메모리 손상
ISC가 BIND 9의 GSS-TSIG 처리에서 메모리 손상 취약점 CVE-2026-94300을 공개했습니다. 서명된 UDP 메시지를 재전송하고 공격자가 제어하는 영역에 조작한 질의를 보내면 원격 코드 실행으로 이어질 가능성이 있으며, 패치 버전으로 업그레이드해야 합니다.
PHP2Shell, 공개 나흘 전부터 공격 탐지돼…패치뿐 아니라 과거 기록도 확인해야 할까
PHP의 두 치명적 취약점 PHP2Shell은 패치 공개 나흘 전부터 공격 시도가 포착됐습니다. 영향을 받는 버전을 갱신하는 데 그치지 않고, 웹·PHP-FPM 로그와 프로세스 메모리에 노출됐을 수 있는 비밀정보를 점검하자는 논의가 이어집니다.
캡콤, 전 세계 Capcom ID 계정 1,170만여 개 정보 유출 확인
캡콤은 Capcom ID 계정 1,177만여 개의 이메일 주소와 계정 활동 정보를 유출당했다고 확인했습니다. 비밀번호 원문과 신용카드 정보는 포함되지 않았다고 밝혔지만, 유출된 정보가 피싱에 악용될 가능성에 대비해 이용자에게 주의를 당부했습니다.
eMudhra, 글로벌 SSL/TLS 인증서 사업 철수
eMudhra가 최근 CA 사고 이후 글로벌 SSL/TLS 인증서 사업에서 자발적으로 철수한다고 발표했습니다. 전환이 끝날 때까지 기존 루트와 인증서 상태 확인 서비스를 유지하고, 영향을 받은 고객에게 파트너를 통해 무료 교체 인증서를 제공하겠다고 밝혔습니다.
PHP 자체 취약점으로 WordPress·Drupal·Joomla에서 인증 전 원격 코드 실행 가능
Wiz Research는 PHP의 메모리 안전성 결함 네 가지를 두 개의 CVE로 보고했으며, 취약한 PHP를 쓰는 서버에서 인증 없이 메모리를 읽거나 코드를 실행하는 공격을 시연했습니다. PHP는 2026년 10월 21일 수정판을 공개했고, 연구팀은 AI 모델이 복잡한 익스플로잇 개발과 변형에 필요한 시간을 줄였다고 설명합니다.