UEFI 펌웨어 코드 실행 취약점, 서버 부팅 과정 위협
UEFI 펌웨어 제작에 널리 쓰이는 TianoCore EDK II의 ICMP 구성 요소에서 CVE-2026-97631 메모리 손상 취약점이 발견됐습니다. 운영체제와 Secure Boot가 실행되기 전에 공격 코드가 동작할 수 있으며, 공개 패치로 공격법이 드러난 데다 여러 제조사 제품에 패치를 배포하는 데 시간이 걸립니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
"상시 감시가 권위주의 국가로 몰아간다": 유권자들, 플록 카메라 규제 요구
미국 전역에 확산된 Flock Safety의 자동 번호판 인식 카메라가 경찰의 사적 추적과 개인정보 침해에 쓰인 사례가 이어지면서 규제 요구가 선거 쟁점으로 떠올랐습니다. 플로리다의 이민자 단속에 활용된 사례도 드러났고, 논쟁은 규제와 전면 금지 사이로 갈립니다.
Tailscale 취약점 11건 발견…SSH 결함은 root 권한 상승, 일부는 자격 증명 탈취 가능
보안 연구팀 Cyberdione Labs가 Tailscale과 자체 호스팅 제어 서버 headscale에서 취약점 11건을 발견했습니다. Tailscale SSH의 포트 포워딩 결함은 이미 접속 권한이 있는 사용자가 서버에서 root 권한을 얻도록 할 수 있으며, Tailscale은 패치를 준비하면서 SSH 정책 검토와 포워딩 비활성화를 권고했습니다.
Exchange Online에 'Promotions' 태그와 폴더가 도입됩니다. 혼란스러워할 사용자들에 대비하세요
Microsoft 365는 2026년 7월부터 광고성 대량 메일에 BCL 값과 무관하게 Promotions 태그를 붙입니다. 관리자는 정책 설정으로 일부 메일을 Promotions 폴더로 이동할 수 있지만, 태그와 폴더 이동은 별개이며 태그를 제외하려면 메일 흐름 규칙을 설정해야 합니다.
FortiBleed 2.0: FortiBleed 1.0 자료에 없던 도메인 표기 975개와 노출된 비밀정보 40,573건
FortiGate 설정 보고서 1,703개에서 계정·인증정보 101,419건을 집계했으며, 이 중 평문 비밀정보는 40,573건입니다. 분석은 975개 도메인 표기가 이전 FortiBleed 자료와 겹치지 않는다고 보고하지만, 이를 신규 피해 기업이나 실제 침해 건수로 해석하지 않습니다.
AI 보안 스타트업, 12시간 안에 Anthropic 내부 시스템 접근
Anthropic의 외부 보안 테스트에 참여한 Cathedral이 12시간 안에 일부 영업·인사·IT 시스템의 취약점을 찾아 직원 정보와 내부 메시지에 접근했습니다. 고객과 Claude의 대화, 모델 가중치와 소스 코드에는 접근하지 못했으며, Anthropic은 관련 소프트웨어를 비활성화하고 공급업체의 수정 확인 뒤 복구했습니다.
Rust 생태계를 위한 빠르고 안전한 tar 파서
uv 0.13은 기존 구현보다 약 2배 빠르면서 파서 간 해석 차이를 줄이는 tar-codec을 소스 배포판 처리에 기본 적용합니다. 글은 tar 형식별 상태와 확장 규칙, 안전한 추출 구조를 설명하고 호환성과 엄격한 검증 사이의 설계 선택을 다룹니다.
퍼저와 AI: JavaScript 엔진에서 Fuzzilli와 BigSleep 비교
Google Project Zero는 V8에서 퍼저 Fuzzilli와 LLM 기반 버그 탐색 시스템 BigSleep의 성과를 비교했습니다. 최근 6개월간 두 도구가 찾은 취약점은 45건과 37건이고, 실제 운영 데이터의 중복은 약 25%였습니다. 과거 버그를 재발견하는 실험에서는 중복률이 60% 안팎으로 나타나 두 접근법을 함께 운영해야 한다고 분석합니다.
경찰, '수상한' 운전 패턴을 찾아 운전자를 세우는 데 AI 활용
미국 경찰이 자동 번호판 인식기(ALPR)와 AI 도구로 운전자의 이동 패턴을 살피고, 구체적인 범죄 혐의 없이 차량을 세운 사례가 보도됐습니다. ACLU는 무고한 사람의 이동 기록이 수사와 검문에 쓰일 위험을 지적합니다.
미국 정부, 자국민 감시 관련 비밀 법원 판결 공개 미뤄
외국정보감시법(FISA) 702조에 따른 미국인 통신 검색을 두고 법원이 필터 도구의 승인·기록 절차를 문제 삼았지만, 정부는 판결문을 공개하지 않고 있습니다. 와이든과 시프 상원의원은 공개 기한을 넘긴 정부에 11월 6일까지 해명을 요구했습니다.
NIST, 양자내성암호 표준 전환 지침 보고서 발표
NIST가 양자컴퓨터에 취약한 암호 알고리즘에서 양자내성암호(PQC) 표준으로 옮겨가기 위한 로드맵인 NISTIR 8547을 발표했습니다. 연방 시스템의 전환 시한과 알고리즘별 조치, 민감한 장기 보관 데이터의 우선순위, 하이브리드 방식과 공급망 점검을 안내합니다.
PHP2Shell 공격 시도와 대응 동향
Wiz는 PHP2Shell 공개 이후 자사 텔레메트리와 허니팟에서 포착한 공격 시도를 분석했습니다. 메모리 고갈까지 이어진 시도는 있었지만 후속 메모리 유출과 코드 실행은 확인하지 못했고, 인터넷 노출 취약 시스템은 감소했습니다.
Ghostty 1.4: 성능·메모리 개선과 Kitty 그래픽 프로토콜 완전 구현
Ghostty 1.4는 macOS에서 터미널 입출력 처리량을 25~55% 높이고, 스크롤백 메모리를 줄였습니다. Kitty 그래픽 프로토콜의 애니메이션과 상대 배치를 구현했으며, 보안 취약점 수정과 SSH 통합 개선도 포함했습니다.
Godot 게임에서 커뮤니티 번역 파일로 임의 코드 실행 가능
Godot 4.1 이상에서 .po 번역 파일의 Plural-Forms 헤더를 일반 코드처럼 평가해, 악성 번역 파일이 게임 프로세스 안에서 공격자 지정 GDScript를 실행할 수 있다는 분석입니다. 작성자는 공식 4.7 빌드에서 실행을 재현했으며, 확인 당시 수정 사항은 아직 병합되지 않았다고 밝혔습니다.
DreamHost, 10월 23일부터 이메일·SFTP 비밀번호 초기화…원인은 미공개
DreamHost가 10월 23일 File Manager 접속 장애 뒤 이메일과 FTP/SFTP 계정의 비밀번호를 초기화하고 계정 소유자에게 복구 절차를 보냈습니다. 회사는 원인이나 영향받은 계정 수, 파일·메일 노출 여부를 밝히지 않았으며, 이메일 전달 규칙도 확인하라고 안내했습니다.
웹 PKI 역사상 가장 난처한 개인 키 사고
eMudhra의 중간 인증기관 8곳에서 P-384 개인 키가 256보다 작은 값으로 생성돼 공개 키만으로도 복구할 수 있는 문제가 드러났습니다. 키 생성과 선택 검증이 모두 실패했고, 브라우저 차단만으로는 자체 인증서 저장소를 쓰는 클라이언트까지 보호하지 못할 수 있습니다.
Tailscale SSH 취약점 조사 및 대응 현황
Tailscale은 Tailscale SSH에서 권한 상승 취약점을 확인하고 패치를 준비하고 있습니다. SSH 접근 정책을 좁히고 불필요한 포워딩을 끄라고 권고했으며, 모두에게 기능을 비활성화하라고 하지는 않았습니다.
CISA, PHP2Shell 취약점 악용 확인… 연방기관에 패치 지시
CISA가 PHP2Shell로 묶인 PHP 취약점 CVE-2026-109618과 CVE-2026-109619를 실제 공격에 악용된 취약점 목록(KEV)에 추가했습니다. 미패치 시스템에서 원격 코드 실행이 가능하지만, 공격 시도와 침해 성공은 구분해야 합니다. CISA는 연방 민간기관에 10월 29일까지 조치하라고 지시했습니다.
앤스로픽의 컴퓨팅 약정, 최대액과 실제 부담은 어떻게 다를까요?
앤스로픽은 미래 컴퓨팅·인프라에 5,420억~5,670억 달러를 약정했지만, 공시된 금액이 모두 확정 지출인 것은 아닙니다. 스페이스X 계약에는 해지 조건이 있고, 자체 데이터센터 전략에는 선행 비용과 전력·장비 확보 위험이 따릅니다. 컴퓨팅 수요와 제품 가격이 맞물리면 수익성 부담도 커질 수 있습니다.
eMudhra 키 사고에 대한 Go 팀의 대응
eMudhra가 발급한 중간 인증서의 개인 키는 마이크로초 만에 복구할 만큼 취약했습니다. Go 팀은 통보를 받은 뒤 7시간 30분 안에 해당 인증서의 신뢰를 차단하는 긴급 보안 릴리스를 배포했고, 출시 절차 단축과 Linux 인증서 폐지 확인 지원을 추진합니다.