레드햇 Konflux CI, 공급망 공격 가능한 고위험 취약점 3건 공개
취약점
레드햇 Konflux CI 플랫폼에서 인증 정보 탈취 및 임의 명령 실행으로 이어질 수 있는 세 가지 취약점이 발견되었다. 이 취약점들은 CVSS 8.0점 이상의 높은 위험도를 가지며, 공격자가 접근 토큰 탈취나 악성 명령 삽입을 통해 시스템을 공격할 수 있다. 현재까지 실제 공격 악용 사례는 확인되지 않았다.
(새 창에서 원문 열기)
NEWS
뉴스·소식
오늘의 브리핑
기사 요약은 AI가 원문을 정리한 것입니다(AI 생성). 기사를 누르면 원문이 새 창에서 열립니다.
기사 목록
워드프레스 심플폼, 로그인 없이 악성 파일 업로드 가능한 치명적 취약점 공개
취약점워드프레스 플러그인 심플폼에서 파일 업로드 시 파일명 및 확장자 검증 미흡으로 인해 인증 없이도 공격자가 악성 파일을 서버에 업로드할 수 있는 취약점(CVE-2026-118235)이 발견되었다. 이 취약점은 공격 성공 시 원격코드실행으로 이어져 웹사이트 변조 및 정보 탈취 등의 피해를 줄 수 있다. 개발팀은 파일 형식 검증 및 업로드 디렉터리 보호 기능을 강화한 3.11.0 버전을 배포했으며, 운영자는 즉시 업데이트 및 서버 설정을 점검해야 한다.
(새 창에서 원문 열기)워드프레스 쇼핑몰 플러그인, CVSS 9.8 취약점 발견…국내 쇼핑몰 긴급 점검 필요
취약점워드프레스 기반 쇼핑몰의 PDF 청구서 생성 플러그인에서 인증 없이 서버에서 악성코드를 실행할 수 있는 치명적인 취약점(CVE-2026-109220)이 발견되었다. 이 취약점은 공격자가 조작된 입력값을 통해 PDF 변환 과정에서 발생하며, 국내 우커머스 쇼핑몰 운영자는 해당 플러그인의 버전을 확인하고 즉시 업데이트해야 한다.
(새 창에서 원문 열기)AI 뉴런 조작으로 모델의 성격을 바꾼 연구, 내부 구조 해독 가속화
AI연구자들은 AI 모델의 특정 뉴런 신호를 조작하는 '뉴런 스티어링' 기법을 통해 친절한 모델을 적대적인 캐릭터로 바꿀 수 있음을 실험으로 입증했다. 이 연구는 AI의 내부 작동 원리를 규명하는 '기계적 해석 가능성' 연구가 개인 개발자 수준으로도 확장되고 있음을 보여준다. 또한, 이를 통해 AI의 잠재적 위험 행동을 탐지하는 연구로도 활용될 가능성이 제시되었다.
(새 창에서 원문 열기)워드프레스 플러그인 '프로젝트 매니저', 인증 없이 서버 명령 실행 가능한 취약점 공개
취약점워드프레스 기반 프로젝트 관리 플러그인에서 입력값 검증 및 권한 확인 미흡으로 인해 인증되지 않은 공격자가 서버에서 임의 명령을 실행할 수 있는 취약점이 발견되었다. 개발사는 해당 취약점을 수정한 버전을 공개했으며, 사용자는 즉시 업데이트가 필요하다.
(새 창에서 원문 열기)일본 선불카드 협력사 해킹으로 고객 개인정보 유출 가능성 발생
정보보호일본 카드회사 라이프카드의 선불카드 서비스 'V프리카' 관련 외부 위탁업체에서 해킹 사고가 발생하여 고객 개인정보가 유출되었을 가능성이 제기되었다. 현재 라이프카드는 피해 범위와 유출 여부를 조사 중이며, 사고 원인과 침입 경로는 아직 확인되지 않았다.
(새 창에서 원문 열기)일본 디지털증권 플랫폼 해킹, 외부 위탁 서비스 취약점으로 투자자 정보 유출 우려
정보보호일본의 디지털증권 관련 외부 위탁 서비스에서 비인가 접근이 발생하여 채권 구매자들의 정보가 유출되었을 가능성이 확인되었다. 이 사고는 외부 인증 기능의 보안 결함이 악용된 것으로 조사되었으며, 국내 금융기관들도 외부 서비스 접근 통제에 대한 점검이 필요하다는 점을 시사한다.
(새 창에서 원문 열기)앤트로픽, AI를 이용해 다른 AI 모델의 안전장치 우회 학습 데이터 자동 발견 성공
AI앤트로픽은 클로드 모델을 활용하여 안전성 검사를 통과하면서도 다른 AI 모델이 학습 시 위험한 행동을 보일 수 있는 데이터를 자동으로 생성하고 그 영향을 검증했다. 연구진은 이러한 '창발적 정렬 실패'를 자동화된 방식으로 연구할 수 있음을 확인했으며, 이는 기존 안전성 검사 방식의 한계를 시사한다.
(새 창에서 원문 열기)구글 연구, AI 경제 혁명은 개별 모델보다 에이전트 협업 능력에 달려있다고 분석
AI구글 딥마인드는 AI 발전의 핵심 동력이 개별 모델의 지능이 아닌 여러 AI 에이전트의 협업 능력에 달려있다고 주장했다. 연구진은 AI의 능력을 '역량'과 '조정 능력'으로 구분하며, 에이전트 간의 대규모 협력이 기업 규모와 경쟁 방식에 근본적 변화를 가져올 것이라고 분석했다. 이들은 AI가 경제에 미치는 영향을 단계별로 구분하고, 현재는 에이전트 협업 능력이 부족한 상황임을 지적했다.
(새 창에서 원문 열기)빅데이터 분석: 북한 해킹 시도 증가, 금융기관 및 정부 대상 공격 경고
정보보호빅데이터 분석 결과, 최근 북한 해킹 시도가 PHP 취약점을 이용한 공격 형태로 나타나며 국내외 금융기관과 정부를 주요 타깃으로 삼고 있는 정황이 포착되었다. 이러한 지능형 사이버 위협은 국가 인프라 전반을 위협할 수 있으므로, 범국가적 정보 공유 체계 구축과 선제적 방어 태세 확립이 시급하다.
(새 창에서 원문 열기)블랙스톤, 앤트로픽의 IPO 이후 신용등급 확보 난항 전망 제시
AI세계 최대 사모펀드 블랙스톤은 앤트로픽이 IPO 이후에도 투자적격 신용등급을 받기 어려울 것으로 전망했다. 앤트로픽은 2045년까지 AI 인프라에 8000억 달러 이상을 투자할 계획이지만, 낮은 신용등급은 향후 자금 조달에 제약을 줄 수 있다. 이는 금융 시장 전반의 AI 인프라 투자에 대한 경계심을 반영한다.
(새 창에서 원문 열기)메타, AI 투자 부담으로 신용등급 강등 경고받아
AI글로벌 신용평가사 S&P는 메타의 신용등급 전망을 '부정적'으로 하향 조정했다. 이는 AI 인프라 투자에 따른 자본 지출 증가와 현금 흐름 악화가 주요 원인이다. S&P는 메타가 향후에도 높은 투자 규모를 유지할 경우 재무적 압박이 지속될 것으로 전망했다.
(새 창에서 원문 열기)법원, xAI 데이터 센터 오염 관련 NAACP 소송 심리 계속 진행 결정
AI연방 판사는 xAI가 멤피스 외곽 콜로서스 데이터 센터에 필요한 운영 허가 없이 가스 터빈을 설치 및 운영했다는 NAACP의 소송 제기 신청을 기각했다. 법원은 해당 소송이 청정 대기법에 근거하며 심리될 것이라고 판결했다. 이 소송은 데이터 센터 운영에 대한 대중의 비판이 높아지는 가운데 진행 중이다.
(새 창에서 원문 열기)클라우드 플랫폼 Northflank, 보안 침해로 고객 AI API 키 무단 사용 경고
정보보호클라우드 플랫폼 Northflank가 보안 침해 사고를 겪었으며, 이로 인해 고객들의 AI API 키가 무단으로 사용되었음을 경고했다. 북미 지역의 이 사건은 Wiz의 경고를 받고 대응했으며, 고객들은 모든 비밀 정보를 즉시 순환(rotate)할 것을 권고받았다.
(새 창에서 원문 열기)OpenAI, 신규 투자 유치 목표치를 낮추고 있다는 보도
AI다수의 보도에 따르면 OpenAI의 최근 투자 유치 라운드가 기대에 미치지 못하고 있다. 당초 1.4조 달러 가치 평가에 300억 달러를 목표로 했으나, 이후 목표치를 200억 달러로 낮췄다는 소식이 전해졌다. 현재까지 110억 달러를 확보했으며, 일부 대형 투자자들의 반응이 미지근했던 것으로 알려졌다.
(새 창에서 원문 열기)SMS를 이용한 안드로이드 원격 DoS 공격 취약점 PoC 공개
취약점연구자가 특정 안드로이드 취약점(CVE-2026-58882)에 대한 개념 증명(PoC)을 공개했다. 이 취약점은 공격자가 악성 문자 메시지를 전송하여 패치되지 않은 기기의 셀룰러 서비스를 중단시키거나 충돌을 일으킬 수 있다. 구글은 해당 취약점에 대한 패치를 발표했으나, 모든 구형 기기가 이를 적용하지 않아 여전히 위험에 노출되어 있다.
(새 창에서 원문 열기)MCP 프로토콜의 취약점 분석 및 자체 린터 도구 공개
정보보호글쓴이는 MCP 프로토콜의 설계적 문제점들을 발견하고, 이를 검증하기 위해 자체적으로 mcp-linter라는 보안 도구를 개발했다. 이 도구를 사용하여 Anthropic의 공식 서버들을 테스트한 결과, 각 서버들은 다양한 보안 문제점과 함께 낮은 건강 점수를 받은 것으로 나타났다.
(새 창에서 원문 열기)Chainalysis, 공격적 에이전시 기술로 인한 데이터 침해 사실 공개
정보보호블록체인 인텔리전스 회사인 Chainalysis가 공격자들이 '공격적 에이전시 기술'을 사용해 내부 시스템에 무단 접근한 보안 사고를 공개했습니다. 이 과정에서 사용자 ID, 이름, 이메일 주소 등 일부 고객 정보가 접근되었으나, 민감한 조사 데이터나 인증 정보는 유출되지 않은 것으로 확인되었습니다.
(새 창에서 원문 열기)체인분석, 공격으로 내부 도구 침해 및 고객 식별 정보 노출 사실 확인
정보보호블록체인 분석 회사인 체인분석은 외부 공격자가 시스템과 내부 도구에 무단 접근하여 일부 비민감 고객 데이터에 접근했다고 밝혔다. 접근된 정보에는 사용자 ID, 전체 이름, 이메일 주소 등이 포함되었으나, 인증 정보나 조사 내용은 유출되지 않았다. 회사는 현재 취약점을 패치하고 시스템을 강화하는 작업을 진행 중이다.
(새 창에서 원문 열기)머스크, AI 영상 '그록 이매진'으로 영화 제작 시도 공개, 평가 엇갈려
AI일론 머스크는 자체 AI 영상 생성 기술인 '그록 이매진'을 활용하여 영화 '오디세이'의 첫 번째 에피소드를 제작하여 공개했다. 이 작품은 소규모 제작진이 2주 만에 제작했으며, 일부 장면은 사실적이나 서사적 연결과 감정 표현에는 부족하다는 평가를 받았다. 제작진은 비판을 바탕으로 모델 개선에 활용할 것이라고 밝혔다.
(새 창에서 원문 열기)AI 컴포넌트의 취약점 분석: 공격 시나리오 및 보안 고려 사항
정보보호본 기사는 기업 시스템에 통합된 AI 컴포넌트의 취약점과 공격 시나리오를 다룬다. AI 모델이 내부 문서나 데이터베이스에 접근할 때, 공격자는 AI 컴포넌트를 통해 시스템의 제한을 우회하여 원하는 정보를 얻거나 작업을 수행하도록 유도할 수 있다.
(새 창에서 원문 열기)
본 페이지의 기사 요약은 공개된 자료를 AI가 정리한 것으로, 원문과 차이가 있을 수 있습니다. 정확한 내용은 각 기사의 원문을 확인하십시오. 모든 저작권은 원 매체에 있습니다.