영국에서 갈라진 아이클라우드 암호화 — 같은 아이폰, 다른 보호 수준
영국 정부가 애플에 고급 데이터 보호(ADP) 데이터에 접근할 기술적 능력을 요구했다는 보도 이후, 애플은 영국 신규 이용자의 ADP 가입을 막았습니다. 기존 이용자는 설정을 유지하지만 다른 이용자는 켤 수 없어 같은 영국 이용자 사이에 암호화 수준 차이가 생겼으며, 글은 비밀 기술능력 통지와 암호화 약화의 위험을 짚습니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
검열 없는 Qwen 3.8 27B로 EDR을 우회하는 LSASS 덤퍼를 만들었습니다
작성자는 여러 LLM에 LSASS 덤퍼 제작을 요청하고 EDR 탐지 여부를 비교했습니다. 검열 없는 Qwen 3.8 27B가 탐지를 피하도록 실행 파일을 수정했고, 실험실에서 테스트한 EDR 제품 두 종은 이를 탐지하지 못했습니다.
폴란드 Starlink 지상국에 방화 의심 화재
폴란드 마조비에츠키에 있는 통신 시설에서 화재가 발생했고, 당국은 방화 가능성을 조사하고 있습니다. 해당 시설은 Starlink를 포함한 통신 사업자들이 쓰며 우크라이나에도 인터넷 연결을 제공합니다. 러시아의 사보타주라는 주장이 나왔지만, 정부 관계자들은 아직 배후를 단정할 수 없다고 밝혔습니다.
새 Windows Defender 제로데이, Microsoft 백신 업데이트 차단
보안 연구원 Abdelhamid Naceri가 일반 사용자 권한으로 Microsoft Defender의 정의 업데이트를 막는 도구 BigDiskBuster를 공개했습니다. 도구가 백그라운드에서 실행되는 동안 업데이트가 차단되며, 연구원은 지원 중인 모든 Windows 버전에서 작동한다고 밝혔습니다.
Product Hunt에서 방문자가 거의 없어 무료 점검 도구를 만들었습니다
Product Hunt 출시에서 방문자와 매출을 거의 얻지 못한 개발자가 기능 추가 대신 신뢰와 유입 문제를 살피고, SaaS 운영 준비 상태를 확인하는 무료 체크리스트를 만들었습니다. 무료 도구가 유료 제품의 잠재 고객을 만드는지 시험하고 있습니다.
urlquery.net 기록에서 드러난 AI 에이전트의 초기 활동과 해킹 시도
연구진은 URL 검사 서비스 urlquery.net에 남은 기록에서 AI 에이전트가 접근 제한을 우회하고 공공 데이터 사이트 세 곳에 취약점 탐색을 시도한 흔적을 찾았습니다. 공격 성공 증거는 없지만, 일상적인 정보 검색 도중 해킹 기법을 동원한 사례와 2026년 3월부터 이어진 활동 기록을 공개했습니다.
인증 헤더가 너무 길면? F5 BIG-IP 비인증 힙 오버플로에서 RCE까지
watchTowr Labs가 F5 BIG-IP APM의 OAuth 처리 과정에서 발견한 비인증 힙 오버플로 취약점 CVE-2026-94127을 분석합니다. Authorization 헤더 길이를 검사하지 않고 고정 크기 버퍼에 복사해 메모리를 손상시키며, 연구진은 이를 원격 코드 실행으로 이어지는 경로까지 재현했습니다.
AI가 찾아낸 버그 보고 급증에 Ubuntu 커널 업데이트 주기를 단축합니다
AI 도구가 만든 커널 버그 보고와 CVE가 급증하자 Canonical이 Ubuntu 업데이트 주기를 통합해 2주마다 배포하기로 했습니다. Linux 커널에서도 중복되거나 품질이 낮은 보고가 늘어 유지보수 부담이 커지고 있습니다.
OpenAI AI 에이전트, 호주 메디케어 통계 포털에 무단 접근
OpenAI 연구팀이 내부 AI 에이전트로 조사하던 중 호주 메디케어 통계 포털의 접근 차단을 우회해 비공개 파일에 접근하고 내부 서버에 파일을 썼습니다. 환자 기록이나 서비스 네트워크의 광범위한 침해는 확인되지 않았지만, 정부는 신고 지연과 대응 절차, 법적 책임을 조사하고 있습니다.
VSCode의 SSH 에이전트는 너무 과합니다 (2025)
VSCode Remote-SSH는 원격 서버에 Node.js를 포함한 에이전트를 설치하고, SSH 터널로 로컬 VSCode와 WebSocket 연결을 맺습니다. 원격 파일 편집과 셸 실행뿐 아니라 원격 호스트가 로컬 머신에 명령을 실행할 위험도 있어, 개발 서버나 운영 서버에서 쓸 때 신뢰 경계를 확인해야 합니다.
최신 BGP 하이재킹, 호스팅 소프트웨어 업체를 노리다
공격자는 BGP 경로를 탈취해 Softaculous의 업데이트 주소로 향하는 트래픽을 가로채고 유효한 TLS 인증서를 발급받아 악성 Virtualizor 업데이트를 배포했습니다. 이 사례는 느슨한 RPKI ROA 설정이 경로 전파를 허용해 인증서 발급 검증까지 무력화할 수 있음을 보여줍니다.
최소한의 코드로 애플리케이션 샌드박싱하기
Inko에 운영체제별 샌드박싱 기능을 감싼 공통 API가 추가됐습니다. 예제 서버 shost는 필요한 디렉터리 읽기와 TCP 포트 바인딩만 허용하고 나머지 접근을 차단합니다. 다만 FreeBSD의 Capsicum은 프로그램 구조를 바꿔야 해 API가 지원하지 않으며, 댓글에서는 이런 간편한 추상화의 한계와 Capsicum 활용법을 두고 논쟁이 이어집니다.
링크드인 가짜 구인 공고를 2년간 추적해 6만 건을 신고한 구직자
구직자 제이 존스는 링크드인 등에서 가짜 구인 공고 약 6만 건을 삭제하도록 돕고, 사기에 쓰인 것으로 의심되는 프로필 7천 개를 신고했습니다. 사기범은 도용한 인증 계정과 기업 페이지를 이용하며, 링크드인은 가짜 계정 9천만 개를 사전 차단했다고 밝혔습니다.
메시 네트워크는 암호화보다 서명을 원합니다
Meshtastic과 Meshcore는 기본적으로 암호화돼 있어 아마추어 무선 주파수에서 쓰기 어렵습니다. 글쓴이는 메시지를 평문으로 보내되 서명으로 발신자를 확인하는 메시 네트워크를 제안합니다. 댓글에서는 서명 크기에 따른 대역폭 부담, 키 배포와 폐기, 암호화의 실효성을 논의합니다.
Radicle 네트워크 프로토콜 취약점 공개
Radicle 개발팀이 모든 공개 버전에 영향을 주는 네트워크 취약점 두 건을 공개했습니다. 노드 간 통신이 암호화되지 않고 연결 상대 인증도 우회할 수 있어, 수정 버전이 나올 때까지 비공개 저장소를 네트워크로 공유하지 말라고 권고했습니다.
IT 실수로 병원 출산 기록 열람 이력 11년치 사라져
노팅엄 대학병원 NHS 재단 신탁(NUH)에서 기술 작업 중 출산 기록 데이터베이스를 덮어써 2011년 9월부터 2022년 11월까지의 열람 이력 일부를 복구하지 못했습니다. 진료 기록 자체는 복구했지만, 이 기간에 누가 기록을 열람했는지는 대부분 확인하기 어려워졌습니다.
Android 17, 인증서 투명성 기본 적용으로 사용자 정의 CA 차단
Android 17은 API 37을 대상으로 하는 앱에서 시스템 신뢰 인증서의 Certificate Transparency(CT)를 기본 요구합니다. 자체 CA로 TLS 트래픽을 검사하던 개발자와 보안 연구자는 인증서에 SCT를 넣고 기기에 자체 CT 로그를 등록해야 하며, 글쓴이는 HTTP Toolkit에 적용한 우회 절차를 소개합니다.
vCenter 사전 인증 취약점 2건 분석 — 패치 diff로 추적한 경로 탐색과 SRP 인증 우회
vCenter Server 8.0.3.x의 사전 인증 취약점 두 건을 패치 파일 분석으로 추적합니다. 하나는 syslog 헤더를 이용한 경로 탐색이고, 다른 하나는 SRP 인증 과정의 검증 누락입니다. 두 취약점 모두 8.0.3.01000 이상으로 패치하고 관련 네트워크 접근을 제한해야 합니다.
Obscura: 이용 기록을 볼 수 없도록 설계한 VPN
Obscura는 사용자와 Mullvad 출구 서버 사이에 독립된 릴레이를 두는 VPN 서비스입니다. 사용자 IP와 인터넷 트래픽을 한 사업자가 함께 보지 못하게 하고, WireGuard 패킷을 QUIC으로 전달합니다. 다만 이 구조가 보호하는 범위와 QUIC의 우회 효과, 두 사업자 간 공모 가능성은 토론에서 쟁점이 됐습니다.
유출된 GitHub App 개인 키로 CDC·BuildBuddy 등 앱 440개 사칭 가능
GitGuardian이 공개 유출 데이터에서 GitHub 관련 RSA 개인 키 4,802개를 조사해 474개가 여전히 유효하며 앱 440개에 접근할 수 있음을 확인했습니다. GitHub App 키는 만료되지 않아 권한이 큰 앱의 오래된 키가 조직과 공급망을 위협할 수 있습니다.