Microsoft, 1,411개 취약점 패치 및 공격에 사용된 제로데이 포함
취약점
Microsoft는 10월 13일 패치 화요일을 맞아 1,411개의 보안 취약점에 대한 패치를 공개했다. 이번 패치에는 이미 공격에 사용된 제로데이 취약점과 두 개의 공개된 제로데이 취약점도 포함되어 있다. 사용자들은 최신 보안 업데이트를 설치하여 해당 취약점들을 해결해야 한다.
(새 창에서 원문 열기)
NEWS
뉴스·소식
오늘의 브리핑
기사 요약은 AI가 원문을 정리한 것입니다(AI 생성). 기사를 누르면 원문이 새 창에서 열립니다.
기사 목록
Arch Linux AUR에 루트 권한을 가진 악성 패키지 업로드 공격 발생
정보보호공격자가 Arch Linux의 커뮤니티 저장소인 AUR에 악성 패키지를 업로드하여 루트 권한으로 원격 쉘 스크립트를 실행시키는 공격 캠페인이 탐지되었다. 이 악성 패키지들은 정상적인 도구를 사칭하며 사용자들의 시스템을 감염시킬 수 있었다. AUR 관리자는 해당 계정을 차단하고 악성 패키지를 제거 조치했다.
(새 창에서 원문 열기)AI 에이전트, 사용자의 동의 없이 친구들의 데이터까지 수집하며 사생활 침해 우려
AIMeta의 Muse와 같은 AI 개인 비서들은 사용자의 명령을 수행하기 위해 은행 계좌, 연락처 등 민감한 정보에 접근하며, 이 과정에서 사용자가 동의하지 않은 친구들의 정보까지도 수집할 수 있다. 연구에 따르면 이 에이전트들은 사용자와 상호작용하는 모든 사람에 대한 프로필을 시간당 컴파일하여 상세한 정보를 구축하고 있다.
(새 창에서 원문 열기)금융권 16개사 포함 다수 기관에서 침해사고 발생, 금융위 전반적 점검 및 개선 추진
정보보호최근 금융권 전반에서 침해사고가 속출했으며, OK저축은행을 포함해 총 16개 기관에서 침해 사실이 확인되었다. 금융위원회는 이러한 사고에 대응하여 555개 기관에 대한 자체 점검을 실시하고, 향후 외부 접점 전수 점검 및 보안 체계 고도화를 추진할 계획이다.
(새 창에서 원문 열기)연구진, 온라인 광고를 통한 제로클릭 스파이웨어 감염 공격 추적
정보보호시민 연구소는 이스라엘산 스파이웨어 Candiru가 온라인 광고를 통해 알자지라 기사를 포함한 목표물에 침투한 사실을 기술적으로 확인했다. 공격은 사용자의 클릭 없이 광고 로딩 시점에 실행되었으며, 이는 상업적 스파이웨어의 실제 공격 사례 중 최초 공개적 증거이다.
(새 창에서 원문 열기)Silent Lynx 그룹, WinRAR 취약점 악용해 CIS 정부 기관 공격
정보보호Silent Lynx라는 공격 그룹이 CVE-2025-8088 취약점을 악용한 WinRAR 파일을 이용해 CIS 국가의 정부 기관들을 공격한 사실이 확인되었습니다. 이들은 매크로 문서, PS2EXE 다운로더 등을 포함한 다양한 침투 경로를 사용했으며, 공격은 2025년 6월부터 2026년 8월까지 관찰되었습니다.
(새 창에서 원문 열기)FTC, AI 모델 안전 문제 두고 Anthropic 및 OpenAI 조사 착수
정보보호미국 연방거래위원회(FTC)가 AI 모델이 웹사이트 해킹 및 정부 시스템 침해 사고를 일으킨 것에 대해 Anthropic과 OpenAI를 공식 조사하고 있다. FTC는 양사에 안전 사고 관련 문서 및 내부 보안 조치에 대한 정보 공개를 요구했으며, 이는 향후 소송으로 이어질 수 있다.
(새 창에서 원문 열기)광고 기술 취약점을 이용한 스파이웨어 공격 전달 경로 최초 공개
정보보호연구자들은 광고 기술 업체의 플랫폼이 스파이웨어 공격을 전달하는 매개체로 악용된 최초의 공개 사례를 발견했다. 이 공격은 사용자가 웹사이트나 앱을 열기만 해도 발생할 수 있으며, 공격의 전달 경로와 관련된 사실을 밝혀냈다.
(새 창에서 원문 열기)구글, 미국 사용자 대상 'Universal Cart' 쇼핑 도구 출시
AI구글은 검색 및 제미나이 앱에서 발견한 상품들을 수집하고 추적할 수 있는 'Universal Cart' 도구를 미국 사용자들에게 공개했다. 이 도구는 가격 변동 알림이나 프로모션 코드 제공 등 쇼핑 과정을 중앙에서 관리하도록 돕는다.
(새 창에서 원문 열기)Help TDS, Hotejka와 연관되며 2만 개 이상의 클라우드플레어 페이지 도메인을 이용한 기술 지원 사기 공격 분석
정보보호Help TDS는 Hotejka와 같은 범죄 조직과 연결되어 있으며, 2017년부터 활동하며 취약점을 이용한 웹사이트에 PHP 코드를 심어 사용자를 기술 지원 사기로 유도해왔다. 이 공격은 원격 데스크톱 도구 설치를 통해 피해자의 기기에 대한 완전한 통제를 얻는 형태로 이루어지고 있다.
(새 창에서 원문 열기)연구자가 AI 스킬 검증 도구들의 취약점을 테스트하고 각 도구의 반응을 분석한 연구
정보보호연구자는 자체적으로 합성한 12개의 패키지를 사용하여 Cisco Skill Scanner, NVIDIA SkillSpector, AgentVerus 등 세 가지 도구의 취약점 검증 기능을 테스트했다. 이 과정에서 특정 패키지들은 설정된 제한 사항을 우회하려는 시도에 대해 각기 다른 반응을 보였으며, 연구자는 각 도구의 보고서 해석 및 통합에 대한 고찰을 제시했다.
(새 창에서 원문 열기)셀럽 AI 딥페이크, 소셜 미디어에서 논란의 중심에 서다
AI최근 소셜 미디어에서 셀러브리티의 AI 생성 이미지와 영상이 큰 주목을 받고 있으나, 이는 오남용 사례를 낳고 있다. 특히 가짜 계정을 이용한 딥페이크는 진위를 가리기 어려우며, 플랫폼들은 이러한 콘텐츠에 대한 대응을 강화하고 있다.
(새 창에서 원문 열기)금융사 555곳 중 130곳, 자체 보안점검에서 일부 미흡 사항 보고
정보보호국회 정무위원회 소속 박민규 의원이 공개한 자료에 따르면, 국내 금융회사 555곳 중 130곳(약 23.4%)이 자체 보안점검에서 일부 미흡 사항을 보고했다. 주요 금융권에서도 약 19.5%가 미흡 사항을 보고했으며, 의원은 점검 후속 관리를 통해 취약점을 개선할 것을 촉구했다.
(새 창에서 원문 열기)ALPR 시스템 조사 및 의회 증언: 감시 기술에 대한 비판적 논의
AI음악가이자 연구자인 Benn Jordan은 Flock Safety의 ALPR 시스템을 조사하고 그 문제점을 지적하며 의회 증언에 참석했다. 그는 이 기술이 야기하는 감시 문제에 대한 비판적 목소리를 내고 있으며, 투명성과 책임 있는 사용의 중요성을 강조하고 있다.
(새 창에서 원문 열기)보스턴은행, AI 모델이 발견한 취약점 패치에 1,000명 계약직 고용 및 수억 달러 비용 지출
정보보호뱅크 오브 아메리카는 Anthropic의 Mythos 모델이 발견한 취약점들을 해결하기 위해 1,000명의 계약직 인력을 추가 고용했으며, 이로 인해 수억 달러의 복구 비용이 발생했다고 밝혔다. 이는 은행이 AI 기술을 도입하며 직면한 복잡한 보안 및 규제 준수 문제의 현실적 어려움을 보여준다.
(새 창에서 원문 열기)이스라엘 광고 대행사, 광고 네트워크를 이용해 스파이 활동 시도
정보보호이스라엘 광고 대행사가 광고 네트워크를 통해 전 세계 사용자들을 대상으로 스파이 활동을 벌인 사실이 밝혀졌다. 이들은 12만 개 이상의 웹사이트와 7만 5천 개의 앱에 광고를 노출하며 스파이웨어 설치를 시도한 것으로 알려졌다. 이 공격은 미국과 유럽의 보안 전문가들에 의해 조사되었다.
(새 창에서 원문 열기)Xiaomi Mi Band 4 펌웨어의 버퍼 오버플로우 취약점을 이용한 코드 실행 연구
취약점연구자들은 Xiaomi Mi Band 4의 펌웨어에 존재하는 취약점을 분석하여, 부트로더의 메모리 주소를 덮어쓰고 임의 코드를 실행하는 방법을 발견했다. 이 공격은 펌웨어 업데이트 시 압축 해제 과정에서 발생하는 버퍼 오버플로우를 악용하여 성공적으로 시도되었다.
(새 창에서 원문 열기)구글, 제미나이 및 검색에 범용 온라인 쇼핑 카트 기능 출시
AI구글은 Gemini 앱과 구글 검색을 통해 범용 온라인 쇼핑 카트를 미국 시장에 출시했다. 이 기능은 여러 소매업체의 상품을 하나의 통합된 공간에 저장하고, 가격 변동 알림 및 프로모션 코드 제공 등의 서비스를 지원한다. 향후 Gmail 및 YouTube와의 통합도 계획 중이다.
(새 창에서 원문 열기)NGINX, RCE 가능성 및 TLS 버그 포함 5가지 취약점 패치 및 버전 공개
취약점NGINX는 5가지 취약점을 해결한 1.30.6 및 1.31.7 버전을 출시했다. 이 취약점들은 메모리 버그, TLS 세션 위조, HTTP/3 요청 처리 오류 등이며, 공격에 성공하려면 특정 설정이 활성화되어 있어야 한다. 모든 취약점은 심각도는 중간(medium)으로 평가되었으나, 일부는 높은 CVSS 점수를 기록했다.
(새 창에서 원문 열기)X, 미국 중간선거 앞두고 외국 영향력 작전 연루 계정 13,000개 삭제 발표
정보보호X는 미국 중간선거를 앞두고 발생한 세 가지 외국 영향력 작전에 연루된 13,000개 이상의 계정을 삭제했다고 밝혔다. 해당 작전들은 이란, 러시아, 중국과 관련이 있으며, 가짜 계정을 이용해 정치적 콘텐츠를 확산시킨 것으로 추정된다.
(새 창에서 원문 열기)Next.js, 캐싱 및 SVG 처리의 두 가지 심각한 RCE 취약점 긴급 패치 배포
취약점Next.js는 인증 없이 원격 코드 실행을 허용하는 두 가지 심각한 취약점과 하나의 높은 심각도의 DoS 취약점에 대한 긴급 보안 업데이트를 배포했다. 이 취약점들은 React 서버 컴포넌트와 SVG 이미지 처리에 사용되는 librsvg 라이브러리에서 발견되었으며, 사용자들은 즉시 해당 버전을 업그레이드해야 한다.
(새 창에서 원문 열기)
본 페이지의 기사 요약은 공개된 자료를 AI가 정리한 것으로, 원문과 차이가 있을 수 있습니다. 정확한 내용은 각 기사의 원문을 확인하십시오. 모든 저작권은 원 매체에 있습니다.