GitLab, 비인증 원격 코드 실행 취약점 수정
GitLab이 CVE-2026-110264를 포함한 보안 취약점을 수정한 패치 버전을 공개했습니다. 정규식 컴파일 과정의 정수 오버플로로 비인증 원격 코드 실행이 가능할 수 있으며, CVSS 3.1 점수는 10.0입니다. 취약한 자체 관리형 인스턴스는 해당 버전으로 즉시 업그레이드해야 합니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
Firefox 보안 패치 테스트, 최소 일주일간 비공개로 유지
Firefox 보안팀이 sec-high와 sec-moderate 취약점 수정 테스트를 수정 패치와 분리하고, 수정 사항이 포함된 버전 출시 후 최소 일주일 동안 공개하지 말라고 요청했습니다. 보안 승인 절차는 바뀌지 않으며, 공지의 댓글은 AI를 이용한 자동 취약점 악용을 배경으로 추정합니다.
보안 공지: Railway 환경 변수 접근 가능성
Railway는 고객 환경 변수를 저장하는 시스템에서 비정상 활동을 발견했으며, 공격자가 암호화된 값과 일부 복호화된 값을 가져갔을 가능성을 알렸습니다. 모든 환경 변수와 자격 증명을 교체하라고 권고하는 한편, 조사 중 배포를 중단했습니다.
Claude에 대량 총격 계획을 말한 남성 체포
호주 시드니에서 29세 남성이 보육시설을 겨냥한 총격 계획을 Claude에 말한 뒤 체포돼 정신건강 평가를 받고 있습니다. Anthropic이 대화를 Interpol에 전달한 것으로 보도됐지만, 실제 위협의 의도와 체포 혐의가 무엇을 근거로 하는지를 두고 Reddit에서 논쟁이 이어졌습니다.
DuckDB 2.0.0 LTS “Cinnamon Teal” 출시
DuckDB 2.0.0 LTS가 Quack 클라이언트-서버 연결, 비동기 I/O, VARIANT, 트리거, 확장 가능한 PEG 파서 등을 추가했습니다. 지원 기간은 최소 2027년 10월까지이며, 2.0에서 만든 데이터베이스 파일은 이전 버전으로 열 수 없으므로 업그레이드 전에 검증이 필요합니다.
오늘의 PHP 보안 업데이트와 보안 체계 강화
PHP 재단은 원격 코드 실행으로 이어질 수 있는 취약점 두 건을 수정한 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 배포했습니다. 재단은 수정 지연의 구조적 원인과 보안 인력 확충 계획을 공개했으며, 조율된 공개 시점보다 6시간 앞서 수정 이미지를 배포한 Chainguard의 결정도 설명했습니다.
CVE-2026-107891: musl libc regcomp의 정수 오버플로, 힙 범위 밖 쓰기로 이어질 가능성
musl libc의 regcomp에서 정수 오버플로가 발생해 잘못된 크기로 메모리를 할당하고 힙 범위 밖에 쓸 수 있습니다. 신뢰할 수 없는 정규식을 처리하는 애플리케이션이 영향을 받으며, 최소한 예측 가능한 충돌이 가능하고 조건에 따라 임의 코드 실행으로 이어질 수도 있습니다.
뉴멕시코 법원, 캠브리지 애널리티카 사건으로 메타에 250억 달러 부과
뉴멕시코 법원이 메타에 주 불공정거래법 위반으로 250억 달러를 내라고 명령했습니다. 배심원단은 4,300만 건이 넘는 위반을 인정했고, 판사는 산정액 2,195억 달러를 낮췄습니다. 메타는 항소하겠다고 밝혔습니다.
DOGE의 정부 인사 데이터 접근은 위법했다고 판결
미 연방 판사는 인사관리처(OPM)가 DOGE 요원에게 민감한 개인정보를 제공해 개인정보보호법(Privacy Act)을 위반했다고 판단했습니다. DOGE 해체와 접근 중단으로 어떤 구제 조치가 필요한지는 불분명하지만, 원고들은 위법 행위에 근거해 행정절차법(APA) 청구에서 승소했습니다.
OrcaCyber Nano 1.0: 로컬 실행을 겨냥한 27B 보안 모델
OrcaRouter가 보안 분석용 27B 비전-언어 모델 OrcaCyber Nano 1.0을 GGUF 형식으로 공개했습니다. llama.cpp에서 오프라인으로 실행하도록 구성했으며, 모델 카드에는 여러 추론·코딩 벤치마크 점수와 하드웨어별 실행 예시가 담겼습니다.
Tiny Little Office — 링크 자체가 문서인 작은 오피스 도구 모음
Tiny Little Office는 문서 내용을 URL에 담아 공유하는 오피스 도구 모음입니다. 텍스트, 스프레드시트, 슬라이드 등 열 가지 앱을 제공하며, 계정이나 서버 저장 없이 문서를 다룹니다.
PyPI의 LiteLLM 1.107.0에 자격 증명 탈취기와 백도어가 삽입됐습니다
PyPI에 배포된 LiteLLM 1.107.0에는 Python 프로세스가 시작될 때 실행되는 자격 증명 탈취기와 원격 코드 실행 백도어가 들어 있었습니다. SafeDep은 공개 저장소에 없는 파일이 비공개 릴리스 파이프라인에서 공격자가 수정한 소스로 빌드됐을 가능성을 중간에서 높은 신뢰도로 판단했습니다. PyPI는 해당 버전을 제거했으며, 1.106.2와 두 릴리스 후보 버전은 깨끗한 것으로 확인됐습니다.
Recursive Flint: 코딩 에이전트용 398억 파라미터 MoE 모델
Recursive가 코딩 에이전트용 MoE 모델 Flint를 공개했습니다. 총 398억 파라미터 중 토큰마다 약 25억 개를 활성화하며, SWE-bench Pro v2에서 89.7%, SWE-bench Verified에서 74.2%를 기록했습니다. 평가 방식에 따라 점수가 달라질 수 있다는 조건과 함께 체크포인트, SGLang 서빙 키트를 제공합니다.
무료 플랜에서 24시간 동안 배포 146회, 배포를 GitHub Actions로 옮겼습니다
Vercel 무료 플랜의 배포 한도에 걸린 ResuHive 운영자가 GitHub Actions로 배포를 옮겼습니다. 변경된 프로젝트만 배포하고 시간 단위 재시도를 추가해, 문서만 바꾼 커밋은 배포 횟수를 쓰지 않도록 했습니다.
이미 아는 이들을 위한 Genera: Symbolics Lisp 머신 내부
VCF Midwest 발표에서 Lisp 머신의 개발사와 Symbolics의 Genera 운영체제를 역사와 시연으로 소개합니다. 전용 하드웨어와 마이크로코드부터 Lisp로 구현한 커널·GUI, 실시간 디버깅과 파일 시스템까지 다룹니다.
Muse 대화 공유 링크에서 개인·기업 정보 노출
Meta의 AI 에이전트 Muse가 공유 대화 링크를 쉽게 찾아낼 수 있는 구조를 사용해 민감한 정보가 노출됐습니다. 보안업체 Claroc은 링크 6,800개를 열거했고, Meta는 조사와 설계 변경 검토를 위해 공유 기능을 중단했습니다.
미 연방수사당국, 랜섬웨어 협상가의 ShinyHunters 갈취 사이트 운영 의심
KrebsOnSecurity는 FBI가 랜섬웨어 협상업체 임원들과 ShinyHunters의 밀접한 관계를 조사하며, 미국 컨설팅업체 임원이 피해자 압박 사이트 운영에 관여했다고 의심한다고 보도합니다. 협상가가 피해자 편에서 몸값을 낮춰야 하는 동시에 몸값에 비례한 수수료를 받는다면 이해충돌이 생길 수 있다는 업계의 우려도 다룹니다.
Linux 7.4에 Rust 커널 코드 1만 7천 줄 추가
Linux 7.4에 Rust 커널 코드 약 1만 7천 줄이 들어갑니다. Zerocopy 업데이트와 새 모듈, pin-init 개선이 포함되며, 댓글에서는 메모리 안전성의 이점과 컴파일 시간 및 개발 비용을 함께 논의합니다.
int 6을 쓸 수 있는데 왜 ud2가 필요할까요?
x86의 ud2와 int 6은 모두 2바이트지만 예외 처리 방식이 다릅니다. ud2는 잘못된 명령어를 가리키는 fault를 일으키지만 int 6은 다음 명령어 주소를 보고하는 trap이며, 사용자 모드에서는 int 6 호출 권한도 차단됩니다.
Hoistbay — Amazon S3와 CloudFront용 오픈소스 데스크톱 앱
Hoistbay는 macOS와 Windows에서 S3 파일을 관리하고 CloudFront 캐시를 무효화하는 무료 데스크톱 앱입니다. 파일 패턴별 헤더 규칙을 업로드 때 자동 적용하며, AWS 키는 운영체제 키체인에 저장하고 백엔드와 텔레메트리를 사용하지 않습니다.