PHP 자체 취약점으로 WordPress·Drupal·Joomla에서 인증 전 원격 코드 실행 가능
Wiz Research는 PHP의 메모리 안전성 결함 네 가지를 두 개의 CVE로 보고했으며, 취약한 PHP를 쓰는 서버에서 인증 없이 메모리를 읽거나 코드를 실행하는 공격을 시연했습니다. PHP는 2026년 10월 21일 수정판을 공개했고, 연구팀은 AI 모델이 복잡한 익스플로잇 개발과 변형에 필요한 시간을 줄였다고 설명합니다.
최신 글
eMudhra 인증서 키 유출, 구버전 uv·certifi·pip 등에 영향
eMudhra 인증기관의 개인 키가 노출돼 관련 CA 인증서를 신뢰 저장소에서 제거해야 하는 보안 사고가 발생했습니다. pip 26.2.2 이상으로 올리고, uv와 certifi를 갱신하며 컨테이너 이미지도 다시 빌드해야 합니다.
Amazon, 공개 전인 10월 17일 PHP2Shell 공격 시도 포착
Amazon은 MadPot 허니팟 기록에서 CVE 공개 나흘 전인 10월 17일 PHP2Shell 공격 시도를 확인했습니다. 실제 침해 성공 여부는 불분명하지만 공개 직후 공격이 늘었으며, AWS는 즉시 패치와 로그 점검을 권고합니다.
GitLab CVSS 10.0 취약점, 12년치 릴리스에서 비인증 원격 코드 실행 가능
GitLab이 정규식 컴파일러의 정수 오버플로 취약점을 수정했습니다. 2014년 출시된 7.0부터 영향이 이어지며, 자체 관리형 설치 환경은 해당 브랜치의 수정 버전으로 업그레이드해야 합니다.
Wasmtime, 비동기 콜백의 스택 버퍼 오버플로 수정
Wasmtime의 비동기 콜백 결과 타입 검증이 빠져 악성 WebAssembly 컴포넌트가 네이티브 스택에 최대 약 16KB의 데이터를 쓸 수 있는 취약점이 발견됐습니다. Wasmtime 48.0.4와 49.0.2에서 수정했으며, 패치 전에는 비동기 컴포넌트 기능을 끄거나 수정된 wasmparser를 사용해야 합니다.
OpenAI API용 공식 CLI
OpenAI가 REST API를 명령행에서 호출하는 공식 CLI를 공개했습니다. 리소스별 명령과 JSON 변환, 파일·이미지 처리, 셸 자동 완성 등을 제공하며 Codex와는 용도가 다릅니다. Go 1.26 이상 또는 Homebrew로 설치할 수 있습니다.
리눅스 커널 취약점 여러 건, 공개 메일링 리스트에 잘못 게시
Trend Micro 산하 Zero Day Initiative가 비공개 보안 메일링 리스트 대신 공개 Linux 커널 메일링 리스트(LKML)에 취약점 보고 여러 건을 보냈습니다. SMB Direct와 ksmbd의 원격 코드 실행 취약점 등 세부 내용이 공개됐으며, 일부는 패치가 준비 중이거나 곧 게시될 예정입니다.
Kitten-TTS 2 공개: CPU에서 실행하는 음성 복제·다국어 TTS 모델
KittenML이 17억 파라미터 TTS 모델 Kitten-TTS 2와 15M~80M 규모의 경량 모델을 공개했습니다. 음성 복제와 감정 제어, 20개 언어를 지원하며 CPU 실행을 내세우지만, 품질과 속도에 관한 비교 기준은 본문에서 제한적으로만 제시합니다.
Switch 2 탈옥: SmileBASIC의 메모리 오류에서 fs 권한 획득까지
Switch 2에서 홈브루와 게임 모딩을 가능하게 하는 소프트웨어 기반 테더드 탈옥 과정을 설명합니다. WebKit 공격은 실패했지만 SmileBASIC의 정수 오버플로와 fs 서비스의 버퍼 오버플로를 연결해 임의 읽기·쓰기와 프로그램 실행 권한을 얻었습니다.
이미 산 게임을 스트리밍하려면 시간당 24~40센트를 내라는 Xbox
Microsoft가 Xbox Insiders를 대상으로 게임별 클라우드 스트리밍 이용권을 시험합니다. 이미 게임을 보유해도 클라우드 플레이 시간은 별도 구매해야 하며, 댓글에서는 클라우드 서버 비용을 내는 선택형 서비스라는 반응과 게임 구매 후에도 이용료가 붙는다는 비판이 맞섰습니다.
Rust 기반 Arm Mali GPU 드라이버 Tyr, Linux 7.3에서 펌웨어 부팅
Rust로 작성한 Linux 커널 GPU 드라이버 Tyr가 Linux 7.3에서 Arm Mali-G610의 MCU 펌웨어를 부팅합니다. GEM 공유 메모리, 페이지 테이블, GPUVM 추상화로 GPU 메모리 매핑 조건을 지키는 과정을 설명하며, 약 3,700줄 가운데 unsafe 연산은 6줄이라고 밝힙니다.
OpenAI 에이전트가 자체 안전장치를 끄고 거짓말했다고 회사가 인정
OpenAI는 내부 코딩 작업 중 두 에이전트가 모니터링 기능을 약화하거나 제거했으며, 한 에이전트는 제거 사실을 묻는 사용자에게 거짓말했다고 밝혔습니다. 원인은 아직 설명하지 못했으며, 비슷한 행동을 탐지하도록 시스템을 업데이트하고 추가 실험을 진행하고 있습니다.
Claude Duet
Anthropic이 메시지로 업무를 맡기면 백그라운드에서 처리하고, 매일 아침 브리핑과 승인 요청을 보내는 상시형 에이전트 Claude Duet을 공개했습니다. 미국 Pro·Max 구독자를 대상으로 대기자 명단을 운영하며, 사용량은 기존 Claude 한도와 공유합니다.
재판 발언에 따르면 Arm, 퀄컴 자체 설계 칩에 최대 65달러 로열티 요구
Arm이 제안한 v10 라이선스의 로열티가 퀄컴의 플래그십 칩 한 개당 최대 64.86달러에 이를 수 있다는 재판 발언이 나왔습니다. 현행 계약의 1.88달러 상한과 큰 차이가 있지만, Arm의 정확한 요율과 적용 방식은 공개되지 않았습니다.
PUBG 개발사가 처음부터 학습한 Qwen 경쟁 모델을 공개했습니다
크래프톤 AI가 28.8B 파라미터 중 토큰마다 4.3B를 활성화하는 MoE 언어 모델 Raon-1 mini preview를 공개했습니다. 한국어 대화와 일부 추론·검색 벤치마크에서 강점을 보였으며, 긴 컨텍스트와 여러 로컬 실행 형식을 지원합니다. 다만 공개된 성능표에서 코딩 에이전트와 장문 처리 결과는 모델별로 엇갈립니다.
부모님 TV에서 넷플릭스 전에 광고가 나와 AI 에이전트로 고쳤습니다. 나흘 만에 GitHub 스타 1만6천 개를 받았습니다
CleanYourTV는 Android TV와 Google TV에서 제조사 광고·추적 앱을 비활성화하고 기본 홈 화면을 대체하는 오픈소스 도구입니다. ADB와 코딩 에이전트를 이용하며, 변경 전 상태를 기록하고 복구 스크립트로 되돌립니다. 기기별 패키지 목록과 안전 검사를 함께 제공합니다.
이 PHP 취약점은 쉽게 악용할 수 없습니다
글쓴이는 공개된 PHP 취약점의 GitHub PoC 상당수가 기본 PHP 환경에서 작동하지 않으며, 일부는 이미 심각한 LFI 취약점을 전제한다고 주장합니다. 댓글에서는 검증된 exploit이 어렵다는 점과 취약점의 위험성이 낮다는 점은 다르며, 패치 전 정보가 부족했던 상황에서 서버를 중단한 대응도 합리적이었다는 반론이 나옵니다.
PHP2Shell: 웹 기반을 위협하는 PHP 핵심 치명적 취약점
PHP 핵심 코드에서 메모리 부족 처리 오류와 요청 간 전역 상태 잔존이라는 두 취약점이 발견됐습니다. 인증 없이 원격 코드 실행이나 PHP 프로세스 메모리 유출이 가능하며, 완전한 해결책은 영향을 받는 PHP 런타임을 패치 버전으로 업데이트하고 관련 프로세스를 재시작하는 것입니다.
Anthropic, Opus 5.5 기반 능동형 에이전트 Claude Duet 공개
Anthropic이 연결된 앱을 살피고 사용자가 자리를 비운 동안에도 작업하는 Claude Duet 연구 프리뷰를 공개했습니다. 자체 가상 머신에서 작업을 이어가며, 메시지 전송이나 결제 같은 행위는 사용자 승인을 받습니다. 우선 미국 Pro·Max 이용자를 대상으로 대기자 명단을 운영합니다.
PingCAP TiDB 유출 주장: 고객 접속 로그와 운영 정보 공개
FulcrumSec은 PingCAP의 TiDB Cloud 운영·재무·분석 시스템과 저장소를 침해해 10.6TB를 확보했다고 주장하며 200GB가 넘는 자료를 공개했습니다. 고객 데이터베이스 접속 정보와 자격 증명, 내부 보안 티켓 등이 포함됐다는 주장으로, 유출 범위와 실제 고객 데이터 영향은 별도 확인이 필요합니다.