PHP2Shell: 웹 기반을 위협하는 PHP 핵심 치명적 취약점
PHP 핵심 코드에서 메모리 부족 처리 오류와 요청 간 전역 상태 잔존이라는 두 취약점이 발견됐습니다. 인증 없이 원격 코드 실행이나 PHP 프로세스 메모리 유출이 가능하며, 완전한 해결책은 영향을 받는 PHP 런타임을 패치 버전으로 업데이트하고 관련 프로세스를 재시작하는 것입니다.
최신 글
Anthropic, Opus 5.5 기반 능동형 에이전트 Claude Duet 공개
Anthropic이 연결된 앱을 살피고 사용자가 자리를 비운 동안에도 작업하는 Claude Duet 연구 프리뷰를 공개했습니다. 자체 가상 머신에서 작업을 이어가며, 메시지 전송이나 결제 같은 행위는 사용자 승인을 받습니다. 우선 미국 Pro·Max 이용자를 대상으로 대기자 명단을 운영합니다.
PingCAP TiDB 유출 주장: 고객 접속 로그와 운영 정보 공개
FulcrumSec은 PingCAP의 TiDB Cloud 운영·재무·분석 시스템과 저장소를 침해해 10.6TB를 확보했다고 주장하며 200GB가 넘는 자료를 공개했습니다. 고객 데이터베이스 접속 정보와 자격 증명, 내부 보안 티켓 등이 포함됐다는 주장으로, 유출 범위와 실제 고객 데이터 영향은 별도 확인이 필요합니다.
OpenAI 모델, Google Cloud에 들어온다
OpenAI 모델과 Codex 에이전트 워크플로가 Google Cloud의 Model Garden에 제공될 예정입니다. 고객은 Google Cloud Marketplace에서 구매하고 기존 GCP 지출 약정액을 사용할 수 있습니다. 일반 제공은 수주 안에 시작할 계획입니다.
mitmproxy에 --emudhra 옵션 추가
mitmproxy가 유출된 eMudhra 인증기관(CA) 중간 인증서의 개인 키로 TLS 인증서를 서명하는 --emudhra 옵션을 추가했습니다. 취약한 인증서를 아직 신뢰하는 기기와 앱의 통신을 테스트할 때 쓰며, 인증서 고정이나 폐기 확인 여부에 따라 동작 범위가 달라집니다.
최근 제안된 o(n log n) 정수 곱셈 알고리즘
정수 곱셈의 기존 O(n log n) 시간 경계를 처음으로 o(n log n)으로 낮췄다는 알고리즘을, 기존 알고리즘의 저자인 David Harvey가 검토합니다. 직접 증명을 완전히 확인하지는 못했지만 AI의 설명을 바탕으로 주장이 그럴듯하다고 판단하며, 가속화 아이디어와 검증의 과제를 설명합니다.
eMudhra 중간 인증서 키 취약점과 인증서 폐기
eMudhra는 키 생성 절차에서 약한 키가 만들어져 TLS 중간 CA 8개의 인증서를 폐기했다고 밝혔습니다. 해당 CA가 발급한 인증서는 없지만 브라우저 신뢰 프로그램이 상위 ECC 루트도 신뢰 해제해 한 고객 환경의 인증서를 교체하고 있습니다.
Cloudflare, php2shell 취약점 방어 규칙 배포
PHP 5.4 이상에 영향을 주는 두 취약점은 특수 제작한 HTTP 요청으로 서비스 거부, 원격 코드 실행, 데이터 노출을 일으킬 수 있습니다. Cloudflare는 요청과 응답을 함께 분석하는 WAF 기능으로 공개 전 방어 규칙을 배포했으며, PHP 업데이트를 병행하라고 권고합니다.
Node.js, 2026년 10월 21일 보안 릴리스
Node.js 26.x, 24.x, 22.x에서 발견된 취약점을 해결하는 보안 업데이트가 배포됩니다. 최고 심각도는 세 릴리스 라인 모두 HIGH이며, Brotli 디코더의 범위를 벗어난 쓰기 취약점은 원격 코드 실행으로 이어질 수 있습니다.
Patch the Planet: AI 에이전트가 취약점을 찾을 때 필요한 글로벌 대응 체계
OpenAI는 PHP 취약점 대응에 참여한 경험을 바탕으로 널리 쓰이는 소프트웨어의 중대 취약점을 처리하는 단계별 협력 체계를 제안합니다. 취약점 수정과 패치 검증부터 사전 통지, 정부·서비스 제공자와의 조율, 공개 후 배포 지원까지 다루며, Hacker News에서는 AI의 기여도와 공개 지연의 위험, 오래된 PHP 버전의 패치 공백을 두고 논쟁이 이어졌습니다.
Rustup 1.29.2 출시, 신뢰할 수 있는 네트워크에서 업데이트하세요
Rustup 1.29.2는 eMudhra 중간 인증서 문제(CVE-2026-111943)에 대응해 rustls-webpki와 webpki-root-certs 의존성을 업데이트합니다. 기존 사용자는 rustup self update 또는 rustup update로 갱신할 수 있으며, Reddit에서는 안전한 네트워크에서 업데이트하라는 권고와 패키지 서명 검증 방식을 둘러싼 논의가 이어졌습니다.
GitLab, 비인증 원격 코드 실행 취약점 수정
GitLab이 CVE-2026-110264를 포함한 보안 취약점을 수정한 패치 버전을 공개했습니다. 정규식 컴파일 과정의 정수 오버플로로 비인증 원격 코드 실행이 가능할 수 있으며, CVSS 3.1 점수는 10.0입니다. 취약한 자체 관리형 인스턴스는 해당 버전으로 즉시 업그레이드해야 합니다.
reception — 이탈을 줄이는 네이티브 iOS 지원 채팅
reception은 Swift, React Native, Expo 앱에 넣는 네이티브 인앱 지원 채팅입니다. 문서 기반 AI 답변과 상담원 인계, 팀 공용 받은편지함을 제공하며 채팅에서 오퍼와 페이월을 보낼 수 있다고 소개합니다.
Firefox 보안 패치 테스트, 최소 일주일간 비공개로 유지
Firefox 보안팀이 sec-high와 sec-moderate 취약점 수정 테스트를 수정 패치와 분리하고, 수정 사항이 포함된 버전 출시 후 최소 일주일 동안 공개하지 말라고 요청했습니다. 보안 승인 절차는 바뀌지 않으며, 공지의 댓글은 AI를 이용한 자동 취약점 악용을 배경으로 추정합니다.
보안 공지: Railway 환경 변수 접근 가능성
Railway는 고객 환경 변수를 저장하는 시스템에서 비정상 활동을 발견했으며, 공격자가 암호화된 값과 일부 복호화된 값을 가져갔을 가능성을 알렸습니다. 모든 환경 변수와 자격 증명을 교체하라고 권고하는 한편, 조사 중 배포를 중단했습니다.
Claude에 대량 총격 계획을 말한 남성 체포
호주 시드니에서 29세 남성이 보육시설을 겨냥한 총격 계획을 Claude에 말한 뒤 체포돼 정신건강 평가를 받고 있습니다. Anthropic이 대화를 Interpol에 전달한 것으로 보도됐지만, 실제 위협의 의도와 체포 혐의가 무엇을 근거로 하는지를 두고 Reddit에서 논쟁이 이어졌습니다.
Sage-A1.5: 장기 과학 과제를 위한 35B 에이전트 모델
Shanghai AI Laboratory의 Agents-A1을 바탕으로 만든 35B Mixture-of-Experts 모델 Sage-A1.5가 공개됐습니다. 병렬 하위 에이전트 조율과 선택형 자기 검증 기능을 제공하며, 모델 카드에는 여러 과학·코딩·에이전트 벤치마크 점수와 SGLang·vLLM 실행 방법이 담겼습니다.
SlothFinance: 구독료 누수를 찾고 해지 문안을 만드는 오픈소스 AI
SlothFinance는 은행 거래 CSV에서 반복 결제와 요금 인상을 찾아 구독료 누수를 보여주는 프로젝트입니다. 글은 TabPFN-3.5로 거래 패턴을 분석하고 Gemma 2로 요약과 해지 문안을 생성한다고 설명하지만, 완전한 로컬 처리라는 주장과 서버 배포 설정 사이의 관계는 분명히 밝히지 않습니다.
bonds — 모든 친구 채팅방에 초능력 AI 친구가 생긴다
bonds는 친구 채팅방마다 AI 친구 bondi를 두고, 대화에 맞춘 게임과 챌린지, 사진 앨범 등을 함께 만들게 하는 메시징 앱입니다. 창업자들은 bondi가 그룹의 말투와 농담을 익히고 먼저 반응하는 생성형 UI를 내세우며, Product Hunt 댓글에서는 개인정보 설정과 채팅방 정리 문제가 제기됐습니다.
Google의 Rust 스타일 가이드
Google의 Rust 스타일 가이드는 포맷뿐 아니라 API 설계와 코드 구조까지 다룹니다. 대규모 코드 변경과 장기적인 유지보수를 고려해 일관된 관례를 제시하며, 라이브러리 코드와 애플리케이션 코드에 서로 다른 수준의 권고를 적용합니다.