AI, 개발 도구, 오픈소스, 보안과 인프라의 변화와 이용 조건을 설명하는 최신 기사와 해설입니다.
PWN Research의 Paulos Yibelo는 CVE-2026-99999로 얻은 호스트 메모리 접근을 Firecracker v1.16.1의 활성 vCPU 스레드 제어로 연결했다고 보고했습니다. 게스트의 직렬 포트 쓰기를 계기로 Firecracker가 stderr에 8바이트 표식을 출력하게 했으며, 실험은 jailer 없이 root로 직접 실행한 설정에서 이뤄졌습니다.
개인 블로그 p0pcycle의 @pamoutaf는 Meta Ray-Ban 스마트안경에서 휴대전화가 전달하는 MobileConfig를 바꿔 DAT 앱 서명 검사를 우회하고, 앱 프로세스 권한으로 명령을 실행하는 셸을 열었다고 밝혔습니다. Meta 버그바운티에 보고하고 게시 승인을 받았지만, 접근이 사라진 원인은 확인하지 못했으며 수정 여부는 승인에 근거한 추정이라고 설명했습니다.
Debian은 2026년 11월 4일 APT 취약점 CVE-2026-109518의 수정판을 공지했습니다. HTTP 통신을 조작하는 공격자가 리다이렉트와 재시도를 유도하면 하드링크 처리 오류로 검증된 패키지를 바꿔 root 권한 코드를 실행할 수 있습니다. Debian은 Trixie의 apt 3.0.4와 Bookworm의 2.6.2를 수정 버전으로 제시했고, Canonical도 Ubuntu용 업데이트를 발표했습니다.
OpenAI는 리눅스 커널의 저권한 로컬 계정이 root 권한을 얻을 수 있는 취약점을 찾아 익스플로잇과 패치 후보를 만드는 자동화 파이프라인을 공개했습니다. 10월 중순 실행에서 후보 2,308건 중 1,724건을 재현하고 작동하는 익스플로잇 1,169개를 만들었으며, 고유 패치 948개를 고유 LPE 수의 기준으로 삼았습니다. 전체 실행 비용은 API 크레딧 1,213,430달러였고, 초기 시험에서 다른 0-day를 통해 root 권한을 얻은 사례를 확인한 뒤 익스플로잇 검증을 강화했습니다.
Dream Research는 PHP2Shell과 리눅스 커널 권한 상승 취약점을 연결해 PAN-OS 방화벽 24대와 내부 관리 서버를 침해한 공격을 보고했습니다. 내부 관리 서버에서 LDAP 서비스 계정 암호를 복호화해 Active Directory를 열람했으며, 10월 29일 보고서 갱신 당시 방화벽 22대에 웹셸이 남아 있고 내부 터널도 계속 작동할 가능성이 있다고 판단했습니다.
Anthropic의 원격 root 실행 시연은 외부에서 닿는 MPTCP 리스너를 조건으로 했지만, Go 보안팀은 커널 결함이 MPTCP 전용이 아니라고 밝혔습니다. Go 기본값 조정과 Red Hat의 IPv4 필터는 노출 경로를 줄이고, 수정 커널은 RCU 독자의 읽기가 끝난 뒤 메모리를 해제해 use-after-free를 고칩니다. 실제 Go 기본값은 빌드 설정에, 수정 커널의 배포 시점은 공급사 패키지에 달려 있습니다.
보안 연구자가 공장 환경의 침투 테스트에서 Axis Camera Station 취약점을 연결해 서버를 장악하고 카메라 계정을 복호화한 과정을 공개했습니다. 서버 취약점과 저장 데이터 암호화 취약점의 수정 버전이 다르며, Axis는 패치 전 백업의 삭제와 저장된 자격증명 변경도 권고했습니다.
TeamViewer의 화면 처리 과정에서 정수 오버플로가 발생해 실제보다 작은 버퍼를 할당하고도 큰 화면 크기 기준으로 데이터를 기록하는 취약점이 발견됐습니다. 공격자는 사용자가 악성 또는 침해된 호스트와 원격제어 세션을 수립하면 뷰어 프로세스 권한으로 코드를 실행할 수 있으며, TeamViewer는 15.83과 구형 분기별 수정 버전을 배포했습니다.
리눅스 IPv4 TCP 처리에서 발생하는 use-after-free 취약점(CVE-2026-98432)이 확인됐습니다. Anthropic은 MPTCP 리스너가 있는 서버에서 원격 root 명령 실행에 성공한 PoC를 공개했지만, 실제 공격 조건과 CVSS 점수는 평가 주체마다 다릅니다. 10월 29일 기준 Debian·Oracle·SUSE·Amazon Linux 일부 커널은 수정됐고 Ubuntu와 RHEL은 수정 패키지를 내놓지 않았습니다.
Steam의 Windows 서비스와 IPC 구조를 분석해 로컬 권한 상승 취약점 4건과 원격 코드 실행 취약점 2건을 찾아낸 연구입니다. 원격 취약점은 Steam 계정에 연결된 다른 클라이언트가 보낸 메시지의 스택 버퍼 오버플로와 정보 유출을 결합해 RCE로 이어집니다.
Anthropic은 미공개 연구 모델이 Chrome, Safari, Android, Windows, Linux의 취약점을 찾아 연결하고 PoC 익스플로잇을 만들었다고 밝혔습니다. 실제 공격에 쓰인 사례는 없으며, 회사는 취약점을 업체에 신고해 패치가 배포됐다고 설명합니다. 다만 모델의 독자적 기여 범위와 일부 CVE의 연결 관계는 공개 자료만으로 확인하기 어렵습니다.
Orange Tsai는 메모리 손상 없이 Microsoft Edge의 논리 버그와 Windows 기능을 연결해 브라우저 샌드박스 탈출을 완성했습니다. 내비게이션 처리 오류에서 시작해 UXSS, 임의 파일 쓰기, 코드 실행으로 이어지는 과정을 공개했으며 Pwn2Own Berlin 2026에서 17만 5천 달러를 받았습니다.
Wiz는 PHP2Shell 공개 이후 자사 텔레메트리와 허니팟에서 포착한 공격 시도를 분석했습니다. 메모리 고갈까지 이어진 시도는 있었지만 후속 메모리 유출과 코드 실행은 확인하지 못했고, 인터넷 노출 취약 시스템은 감소했습니다.
CISA가 PHP2Shell로 묶인 PHP 취약점 CVE-2026-109618과 CVE-2026-109619를 실제 공격에 악용된 취약점 목록(KEV)에 추가했습니다. 미패치 시스템에서 원격 코드 실행이 가능하지만, 공격 시도와 침해 성공은 구분해야 합니다. CISA는 연방 민간기관에 10월 29일까지 조치하라고 지시했습니다.
연구자 Adel Karimi가 PHP 8.4.26과 Apache mod_php를 구동하는 허니팟에서 PHP2Shell 취약점의 메모리 정보 노출과 원격 명령 실행을 확인했습니다. 이번 증거는 특정 단일 워커 환경에서 나온 결과로, 다른 구성에서의 성공률이나 실제 서비스 침해 규모를 보여주지는 않습니다.
CVE 목록에서 2026년 1월 1일부터 10월 23일까지 공개된 취약점은 8만 6,292건으로 전년 같은 기간의 2.2배입니다. AI 발견자 표기는 22배 늘었지만, 대형 업체의 발견 경로가 공개되지 않아 급증의 원인을 AI로 확정할 수는 없습니다.
Eye Security는 방치된 Time4Popcorn 업데이트 서버의 취약점을 이용해 Windows와 macOS 시스템에서 업데이터를 비활성화했습니다. 200만 회 넘게 업데이트를 전달했고 요청량을 98% 줄였지만, 임의 코드 실행으로 타인의 시스템을 변경한 조치의 정당성을 둘러싼 논란도 남았습니다.
Group-IB와 NyxLab은 Fortinet·Palo Alto Networks의 인터넷 노출 네트워크 장비를 노린 침해 캠페인을 공개했습니다. 공격자는 취약점 악용과 비밀번호 대입으로 접근한 뒤 원격 접속을 유지하고 데이터를 유출했으며, 관련 자격 증명 7만 건 이상을 확인했습니다.
PHP 핵심부의 원격 코드 실행 취약점 두 건이 패치 전에 유출됐고, 패치 배포 약 20분 뒤부터 스캔이 시작됐습니다. Hunt.io는 공격 도구와 시도는 확인했지만 실제 침해는 찾지 못했으며, 메모리 손상에서 실제 코드 실행으로 이어지려면 추가 조건이 필요하다고 설명합니다.
Amazon은 PHP2Shell 취약점(CVE-2026-109618, CVE-2026-109619)을 공개하기 나흘 전인 10월 17일, MadPot 허니팟에서 악용 시도를 포착했습니다. 유출이나 침해 증거는 없으며, 공격자가 정보를 먼저 얻은 경로도 확인되지 않았습니다.