HTTP2Shell의 가드는 과거 Brotli의 테이블 읽기 결함도 막았지만, 보안 패치였는지는 확인되지 않았다
Bugsink의 분석에 따르면 Brotli 1.0.3 이전 버전에는 초기화되지 않았거나 이전 메타블록에서 남은 전환 테이블을 읽어 범위를 벗어난 메모리를 참조할 경로가 있었습니다. 2018년 추가된 가드가 이를 막았지만, 개발자가 취약점을 알고 수정했는지와 실제 공격 가능성은 공개 자료로 확인되지 않습니다.
보안·인프라 · 최신기사
DeepTutor 1.7부터 기본 설치는 코어만…웹앱은 `deeptutor[full]`로 설치
DeepTutor 1.7.0부터 `pip install deeptutor`는 코어만 설치하고, 웹앱과 표준 기능 모듈을 쓰려면 `deeptutor[full]`을 선택해야 합니다. 기존 `deeptutor-cli` 설치자는 새 패키지를 설치하기 전에 CLI 패키지를 먼저 제거해야 하며, 앱 데이터는 패키지와 분리된 런타임 홈에 남습니다.
리눅스 커널 개발자들, KGDB 디버깅 기능 제거 검토
Peter Zijlstra가 Linux 커널에서 KGDB를 제거하는 패치를 제출했습니다. KGDB가 NMI 문맥과 시간 관리, 워치독, 브레이크포인트 처리에 문제를 일으킬 수 있으며 QEMU의 GDB 서버로 대체할 수 있다는 주장입니다. 하드웨어 의존 디버깅에는 대안이 충분한지 의견이 갈립니다.
Electron 보안 스캐너 ElectroNG, 오픈소스로 공개
Doyensec가 Electron 애플리케이션용 보안 스캐너 ElectroNG와 분석 엔진을 Apache 2.0 라이선스로 공개했습니다. 약 60개 검사 항목과 Electron 취약점 데이터베이스를 제공하지만, 최근 Electron 버전에서는 탐지 누락이나 오탐이 생길 수 있다고 밝혔습니다.
9비트 AES 키의 사례
MuPDF, Foxit, OpenPDF, iText의 PDF 암호화 구현에서 AES-256 파일 키를 만드는 난수가 예측 가능해 암호 없이 문서를 복호화할 수 있는 취약점이 발견됐습니다. MuPDF는 가능한 키가 512개뿐이었고, Foxit은 생성 시각을 대입해 키를 찾을 수 있었습니다. MuPDF는 수정됐지만 이미 만들어진 PDF는 영향을 받을 수 있습니다.
Discord, 일부 공개 채널 메시지 Google 검색에 노출 예정
Discord는 2026년 12월 중순부터 조건을 충족한 공개 서버의 새 메시지를 웹 페이지로 공개하고 검색엔진에 노출할 예정입니다. 서버 관리자와 이용자 모두 개별 메시지 노출을 제어하지만, 설정을 끈 뒤에도 이미 게시된 메시지는 직접 삭제해야 합니다.
확장 가능한 벡터 골칫거리
PortSwigger 연구자가 SVG 위생 처리 라이브러리 8종을 시험해 6종의 우회 방법을 공개했습니다. 네임스페이스 혼동, XSLT와 Firefox 응답 헤더, Safari의 GIF 처리로 스크립트를 실행할 수 있었으며 DOMPurify 등 두 라이브러리는 우회되지 않았습니다.
번호판 카메라가 이동 경로를 "수상하다"고 판단해 경찰이 운전자를 세웁니다
미국 경찰이 자동 번호판 인식기(ALPR) 기록만으로 운전자의 이동 경로를 의심해 검문한 사례가 이어지고 있습니다. 영장 없는 데이터 검색과 정차의 법적 근거가 쟁점이며, 일부 지역은 관련 장비 금지나 데이터베이스 검색 영장 의무화를 추진합니다.
Qwen 모델 가중치 안에 32비트 RISC-V CPU를 구현했습니다
Qwenputer는 Qwen 3.5 4B의 Gated DeltaNet 상태를 RAM으로 쓰고, 추가 가중치에 RV32IM CPU를 컴파일한 실험 모델입니다. 산술 벤치마크에서 Python 도구를 쓴 모델과 비슷한 점수를 냈지만 체크포인트가 18.8GB로 커지고 실행도 느립니다.
이 핑거프린팅 스크립트는 왜 생물무기를 만드는 걸까요?
브라우저 핑거프린팅 스크립트에서 생물무기와 자해를 다루는 함수명, 유니코드로 숨긴 프롬프트가 발견됐습니다. 작성자는 이를 LLM의 코드 분석을 막으려는 장치로 해석하고, 스크립트의 실제 동작과 수집 신호를 살펴봅니다.
Valve의 문을 열다: Steam 플랫폼의 원격 코드 실행과 권한 상승 취약점
Steam의 Windows 서비스와 IPC 구조를 분석해 로컬 권한 상승 취약점 4건과 원격 코드 실행 취약점 2건을 찾아낸 연구입니다. 원격 취약점은 Steam 계정에 연결된 다른 클라이언트가 보낸 메시지의 스택 버퍼 오버플로와 정보 유출을 결합해 RCE로 이어집니다.
GitLab 보안 사고: CVE-2026-97229 악용 시도
Alpine Linux는 GitLab의 Ruby 정규식 취약점을 노린 공격이 서버 코드 실행에 성공했는지 배제할 수 없어 인스턴스를 폐기하고 재구축했습니다. 저장소와 패키지, 릴리스 변조 흔적은 찾지 못했으며, 자체 Ruby나 컨테이너 이미지를 쓰는 운영자는 GitLab 버전뿐 아니라 Ruby 패치 적용 여부도 확인해야 합니다.
OpenAI, 상시 작동하는 Dots 에이전트를 문자 메시지로 확장
OpenAI가 미국 일부 ChatGPT Pro 사용자를 대상으로 Dot 에이전트와 문자로 대화하는 베타를 시작했습니다. 문자와 사진, 음성 메모로 작업을 맡기고 관련 소식이 생기면 먼저 메시지를 받을 수 있지만, 알림의 유용성과 문자 처리 업체에 관한 세부 사항은 제한적으로 공개됐습니다.
Canonical, 불변형 Ubuntu Core 데스크톱 개발 재개
Canonical이 2023년 미리보기 이후 중단됐던 Ubuntu Core Desktop 개발을 다시 추진하며 Ubuntu 27.04 주기부터 브라우저 중심 기기, 개발자 워크스테이션, 게임용 기기에 집중합니다. Snap 앱 부족과 데스크톱 모듈화, 권한 요청, KDE Plasma 지원이 과제로 남아 있으며, 해당 주기에는 데일리 이미지 공개를 목표로 합니다.
Dell PowerEdge의 Micron SSD, 누적 65,535시간 뒤 성능 저하
Dell은 Micron 5100·5200 SSD가 누적 약 65,535시간(약 7.5년) 작동하면 읽기·쓰기 성능이 떨어질 수 있다고 공지했습니다. 5100과 5200 일부 모델에는 수정 펌웨어가 나왔지만 5300·5400용 해결책은 개발 중입니다.
AWS Lambda Python 3.10 지원 종료: 10월 31일 이후 Python 3.12 이상으로 옮길 때 확인할 점
AWS Lambda의 Python 3.10 런타임은 2026년 10월 31일 지원 종료 단계에 들어갑니다. 기존 함수는 계속 실행되지만 보안 업데이트와 기술 지원이 끝나며, 2027년부터 생성과 업데이트도 차례로 막힙니다. Python 3.12 이상으로 옮길 때는 Amazon Linux 2023용 네이티브 의존성과 패키지 호환성을 점검해야 합니다.
영국 망명 심사 AI 요약, 검토 표본 5건 중 1건에서 오류
영국 내무부가 망명 인터뷰 요약 도구를 전면 도입한 뒤 전문가가 확인한 203건 중 45건이 초기 검토를 통과하지 못했습니다. 전체 사건의 약 0.3%만 표본 검사했고 이후 전문가 검사가 중단돼, 오류가 실제 심사에 미친 영향은 확인되지 않았습니다.
몰도바 사상 최대 사이버 공격, ID 번호 75만 건 이상 유출과 공공 서비스 중단
몰도바 당국은 10월 19일부터 27일까지 발생한 공격으로 시민 75만 명 이상의 개인정보가 유출됐으며 공공 서비스 82개를 차단했다고 밝혔습니다. 정부는 계좌 탈취 위험은 낮다고 설명했지만, 전문가들은 유출 정보가 사기와 신원 악용에 쓰일 수 있다고 우려합니다.
Anthropic 미공개 AI 모델, Chrome·Safari·Windows·Linux 취약점을 연결해 작동하는 익스플로잇 제작
Anthropic은 미공개 연구 모델이 Chrome, Safari, Android, Windows, Linux의 취약점을 찾아 연결하고 PoC 익스플로잇을 만들었다고 밝혔습니다. 실제 공격에 쓰인 사례는 없으며, 회사는 취약점을 업체에 신고해 패치가 배포됐다고 설명합니다. 다만 모델의 독자적 기여 범위와 일부 CVE의 연결 관계는 공개 자료만으로 확인하기 어렵습니다.
미국 국토안보부 직원 4만1천 명 정보 유출, 위장 수사 요원도 포함
미국 국토안보부(DHS)와 산하 기관 직원·계약자 4만1천여 명의 연락처와 내부 시스템 접근 그룹 정보가 유출됐습니다. 위장 수사와 감시 프로그램 관련 정보도 포함돼 있어, 개인 정보 노출뿐 아니라 직원 사칭과 수사 방해 위험도 제기됩니다.