Trawling

개발·오픈소스 · 최신기사

개발 도구와 언어, 웹 기술과 오픈소스 프로젝트의 변화를 다룹니다.

리눅스 커널 취약점 여러 건, 공개 메일링 리스트에 잘못 게시

발행

Trend Micro 산하 Zero Day Initiative가 비공개 보안 메일링 리스트 대신 공개 Linux 커널 메일링 리스트(LKML)에 취약점 보고 여러 건을 보냈습니다. SMB Direct와 ksmbd의 원격 코드 실행 취약점 등 세부 내용이 공개됐으며, 일부는 패치가 준비 중이거나 곧 게시될 예정입니다.

PHP2Shell: 웹 기반을 위협하는 PHP 핵심 치명적 취약점

발행

PHP 핵심 코드에서 메모리 부족 처리 오류와 요청 간 전역 상태 잔존이라는 두 취약점이 발견됐습니다. 인증 없이 원격 코드 실행이나 PHP 프로세스 메모리 유출이 가능하며, 완전한 해결책은 영향을 받는 PHP 런타임을 패치 버전으로 업데이트하고 관련 프로세스를 재시작하는 것입니다.

mitmproxy에 --emudhra 옵션 추가

발행

mitmproxy가 유출된 eMudhra 인증기관(CA) 중간 인증서의 개인 키로 TLS 인증서를 서명하는 --emudhra 옵션을 추가했습니다. 취약한 인증서를 아직 신뢰하는 기기와 앱의 통신을 테스트할 때 쓰며, 인증서 고정이나 폐기 확인 여부에 따라 동작 범위가 달라집니다.

eMudhra 중간 인증서 키 취약점과 인증서 폐기

발행

eMudhra는 키 생성 절차에서 약한 키가 만들어져 TLS 중간 CA 8개의 인증서를 폐기했다고 밝혔습니다. 해당 CA가 발급한 인증서는 없지만 브라우저 신뢰 프로그램이 상위 ECC 루트도 신뢰 해제해 한 고객 환경의 인증서를 교체하고 있습니다.

Cloudflare, php2shell 취약점 방어 규칙 배포

발행

PHP 5.4 이상에 영향을 주는 두 취약점은 특수 제작한 HTTP 요청으로 서비스 거부, 원격 코드 실행, 데이터 노출을 일으킬 수 있습니다. Cloudflare는 요청과 응답을 함께 분석하는 WAF 기능으로 공개 전 방어 규칙을 배포했으며, PHP 업데이트를 병행하라고 권고합니다.

Patch the Planet: AI 에이전트가 취약점을 찾을 때 필요한 글로벌 대응 체계

발행

OpenAI는 PHP 취약점 대응에 참여한 경험을 바탕으로 널리 쓰이는 소프트웨어의 중대 취약점을 처리하는 단계별 협력 체계를 제안합니다. 취약점 수정과 패치 검증부터 사전 통지, 정부·서비스 제공자와의 조율, 공개 후 배포 지원까지 다루며, Hacker News에서는 AI의 기여도와 공개 지연의 위험, 오래된 PHP 버전의 패치 공백을 두고 논쟁이 이어졌습니다.

Rustup 1.29.2 출시, 신뢰할 수 있는 네트워크에서 업데이트하세요

발행

Rustup 1.29.2는 eMudhra 중간 인증서 문제(CVE-2026-111943)에 대응해 rustls-webpki와 webpki-root-certs 의존성을 업데이트합니다. 기존 사용자는 rustup self update 또는 rustup update로 갱신할 수 있으며, Reddit에서는 안전한 네트워크에서 업데이트하라는 권고와 패키지 서명 검증 방식을 둘러싼 논의가 이어졌습니다.

보안 공지: Railway 환경 변수 접근 가능성

발행

Railway는 고객 환경 변수를 저장하는 시스템에서 비정상 활동을 발견했으며, 공격자가 암호화된 값과 일부 복호화된 값을 가져갔을 가능성을 알렸습니다. 모든 환경 변수와 자격 증명을 교체하라고 권고하는 한편, 조사 중 배포를 중단했습니다.

오늘의 PHP 보안 업데이트와 보안 체계 강화

발행

PHP 재단은 원격 코드 실행으로 이어질 수 있는 취약점 두 건을 수정한 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 배포했습니다. 재단은 수정 지연의 구조적 원인과 보안 인력 확충 계획을 공개했으며, 조율된 공개 시점보다 6시간 앞서 수정 이미지를 배포한 Chainguard의 결정도 설명했습니다.

OrcaCyber Nano 1.0: 로컬 실행을 겨냥한 27B 보안 모델

발행

OrcaRouter가 보안 분석용 27B 비전-언어 모델 OrcaCyber Nano 1.0을 GGUF 형식으로 공개했습니다. llama.cpp에서 오프라인으로 실행하도록 구성했으며, 모델 카드에는 여러 추론·코딩 벤치마크 점수와 하드웨어별 실행 예시가 담겼습니다.

curl의 낮음·중간 심각도 취약점은 공개 절차로 처리합니다

발행

curl 프로젝트는 2026년 10월 26일부터 LOW·MEDIUM 취약점 제보를 GitHub 이슈로 공개 접수하고, HIGH·CRITICAL만 HackerOne에서 비공개로 처리합니다. 제보 급증으로 지친 유지보수자의 부담을 나누고 수정 사항을 더 넓게 검토하려는 조치입니다.

macOS에서 Touch ID로 SSH 키 설정하기

발행

macOS Secure Enclave에서 추출할 수 없는 SSH 키를 만들고 Touch ID로 서명하는 방법을 소개합니다. 내장 도구 세 가지로 설정하며, 재부팅 뒤 에이전트에 키를 다시 등록해야 하고 Mac을 잃으면 해당 키도 복구할 수 없습니다.

eMudhra 중간 인증서 침해에 대응해 Firefox 사용자를 보호합니다

발행

Mozilla는 eMudhra 중간 인증서 8개의 개인 키가 유출됐다는 신고를 받고 Firefox의 OneCRL에 해당 인증서를 차단 목록으로 배포했습니다. 표준 설정을 사용하는 Firefox에는 신고 후 3시간 안에 배포를 마쳤으며, 일부 사용자와 다른 Mozilla 인증서 저장소 이용자를 위한 추가 업데이트도 내놨습니다.

Apple Silicon에서 Android 앱을 macOS 앱처럼 실행하는 Mac.apk

발행

Mac.apk는 Android 프레임워크와 런타임을 macOS에 구현해 Apple Silicon에서 APK를 실행하는 오픈소스 프로젝트입니다. 앱을 별도 창과 Dock 아이콘으로 띄우며 가상 머신은 쓰지 않지만, 초기 알파 단계이고 Android 앱에 macOS 사용자 권한을 그대로 허용합니다.

클론 전에 GitHub 저장소를 점수로 살펴보는 AWS 에이전트를 만들었습니다

발행

RepoPilot은 공개 GitHub 저장소의 설치 단계와 활동 정보를 분석해 0~100점으로 평가하고, 위험 신호와 첫 실행 절차를 안내합니다. 점수 산정은 Python 규칙으로 처리하고 Amazon Nova Pro는 결과를 설명하는 데만 사용합니다. 작성자는 압축 파일이나 바이너리 안쪽까지 검사하지 않는 한계도 밝힙니다.

도메인만 등록했는데 한 시간 만에 ChatGPT 봇이 찾아온 이유는?

발행

링크를 공개하지 않은 테스트 호스트 10곳의 nginx 로그를 확인했더니 OpenAI 봇은 8곳에 방문했고 Googlebot과 bingbot은 한 번도 오지 않았습니다. 글쓴이는 인증서 투명성 로그(Certificate Transparency)가 호스트 발견 경로일 수 있다고 봅니다. 다만 첫 요청을 보낸 스캐너의 영향 등 다른 가능성도 남아 있습니다.

2026년에 웹을 C로 만든다고요? 미친 선택이 아니라 미래일 수도 있습니다

발행

C와 CGI로 만든 상용 웹 앱 사례를 바탕으로, 의존성 최소화와 코드 이해 가능성이 공급망 공격 및 AI 생성 코드 시대에 실용적인 선택이 될 수 있다고 주장합니다. 다만 C의 메모리 안전성과 팀 규모에 따른 한계도 짚으며, 요점은 C 자체보다 복잡성을 기본값으로 삼지 않는 데 있다고 설명합니다.