JEFF NEWS에 참여하세요
북마크, 댓글, 투표 기능을 사용할 수 있습니다
© 2026 Jeff Yim
현대 자동차가 위치, 속도, 주행 습관, 카메라 영상 같은 텔레메트리 데이터를 기본으로 수집하는 문제를 다룬 글이다. 작성자는 2024년형 토요타 라브4 하이브리드에서 데이터 통신 모듈(DCM)과 GPS 안테나를 물리적으로 제거해 차량이 제조사 서버로 데이터를 보내지 못하게 만들었다.
Calif 연구진이 Apple M5 실리콘에서 커널 MIE가 켜진 macOS 26.4.1을 대상으로 로컬 권한 상승 익스플로잇을 만들었다고 공개했다. 세부 기술 보고서는 애플 패치 이후 공개 예정이지만, AI 시스템과 보안 전문가가 함께 일주일 안에 공격 체인을 완성했다는 점이 핵심 메시지다.
NGINX의 ngx_http_rewrite_module에서 힙 버퍼 오버플로 취약점이 공개됐고, rewrite와 set 지시어를 쓰는 서버가 인증 없는 원격 코드 실행 위험에 노출될 수 있다는 내용이다. 영향 범위는 NGINX 오픈소스 0.6.27부터 1.30.0까지, NGINX Plus R32부터 R36까지로 제시됐고, 수정 버전도 함께 공개됐다.
dnsmasq 관리자가 2026년 5월 11일 CERT를 통해 심각한 취약점 6건을 공개했고, 현재 안정 버전 2.92에 패치를 적용한 2.92rel2를 냈다. 오래된 버그들이라 아주 낡은 버전을 제외한 대부분의 dnsmasq 배포판에 영향을 줄 수 있고, 벤더에는 사전 공유가 끝난 상태다. 관리자는 AI 기반 보안 리포트가 폭증하면서 긴 엠바고보다 빠른 수정과 릴리스가 더 중요해졌다고 보고 있다.
메가존클라우드의 보안 브랜드 HALO가 에이전틱 AI 시대의 보안 전략을 공개했다. 핵심은 해커의 AI가 사람 지시 없이 취약점을 찾고 우회하는 속도에 맞서, 방어도 AI가 탐지부터 조치까지 자동으로 수행해야 한다는 주장이다.
SAP가 엔비디아의 오픈소스 런타임 오픈셸을 SAP 비즈니스 AI 플랫폼에 내장한다. ERP처럼 민감한 기업 핵심 시스템 안에서 AI 에이전트가 움직이려면 격리, 접근 제어, 실행 추적 같은 보안·거버넌스 장치가 필수라는 판단이다.
샤이훌루드 공급망 공격이 npm과 PyPI를 다시 덮치면서 TanStack, Mistral AI, UiPath, OpenSearch 등 개발자들이 많이 쓰는 생태계가 영향을 받았다. 공격자는 GitHub Actions와 OIDC 기반 배포 흐름을 악용해 정상 출처 증명처럼 보이는 악성 패키지를 올렸고, 설치 환경에서 토큰과 키를 훔쳐 감염을 확장했다.
마이크로소프트가 100개 이상의 AI 에이전트를 조율해 소프트웨어 취약점을 탐지하는 보안 시스템 MDASH를 공개했다. 공개 벤치마크 CyberGym에서 1,507개 취약점 재현 과제 중 88.4% 성공률을 기록했고, 윈도우 네트워킹·인증 스택에서 신규 취약점 16건도 찾아냈다.
Forza Horizon 6가 정식 출시 전부터 불법 공유망에 퍼졌고, 일부 이용자는 이미 실행 중이라는 보고가 나왔어. 처음에는 Steam에 암호화되지 않은 프리로드 빌드가 올라간 사고로 추정됐지만, Playground Games는 공식적으로 프리로드 문제가 아니라고 부인했어. 스튜디오는 유출 빌드 접근자에게 하드웨어 밴을 포함한 강한 제재를 예고했고, 실제 밴 사례도 보고되고 있어.
ESP32-C5 보드에서 2.4GHz와 5GHz 액세스 포인트를 스캔하고, 블루투스 저전력(BLE) 컨트롤러로 선택한 대상에 802.11 디인증 프레임을 보내는 오픈소스 펌웨어가 공개됐어. 프로젝트는 방어적 보안 연구와 교육 목적을 강조하지만, 실제 네트워크에 쓰면 서비스 거부 공격이 될 수 있어서 사용 범위가 꽤 민감한 도구야.
YellowKey라는 BitLocker 우회 취약점 공개 글이 올라왔고, 작성자는 Windows Recovery Environment에만 있는 특정 구성요소가 보호된 볼륨 접근을 허용한다고 주장한다. 공개 내용은 Windows 11과 Windows Server 2022/2025가 영향권이고 Windows 10은 제외된다고 설명하며, Microsoft 보안 조직과의 공개 조율도 언급한다.
미국 정부 고객을 상대하던 IT 업체에서 해고된 쌍둥이 형제가 몇 분 뒤 정부 정보가 담긴 데이터베이스 96개를 삭제한 혐의를 받고 있다. 기사에는 이들이 이전에도 컴퓨터 범죄 전력이 있었고, 회사 네트워크에서 5,400개 계정 정보를 모아 Python 스크립트로 외부 서비스 로그인을 시도했다는 정황도 나온다.
EFF와 ACLU 등은 미국 제4순회항소법원에 국경에서 휴대폰·노트북 같은 전자기기를 수색하려면 영장이 필요하다는 의견서를 냄. 사건은 Dulles 공항에서 미국 시민의 휴대폰이 영장 없이 수색된 뒤 형사 사건으로 이어진 사례이며, EFF는 수동 수색과 포렌식 수색 모두 같은 높은 기준을 적용해야 한다고 주장함.
미스트랄 AI의 타입스크립트 클라이언트 NPM 패키지가 최신 Shai Hulud 웜 공격의 일부로 언급됐다. 문제 버전은 @mistralai/mistralai 2.2.4로 지목됐고, NPM 생태계의 자기 전파형 공급망 공격이라는 맥락이 붙어 있다.
중국 화이트라벨 카메라 제조사 Meari Technology의 Wi-Fi 베이비 모니터와 보안 카메라 약 110만 대가 전 세계에서 쉽게 노출될 수 있었던 사건이다. 한 보안 연구자는 안드로이드 앱 분석만으로 공통 키를 뽑아 118개국 기기 정보, 이미지, 위치, 이메일까지 볼 수 있었다고 밝혔다.
미국 FCC가 해외산 소비자 라우터와 드론에 대한 소프트웨어·펌웨어 업데이트 제한을 2029년 1월 1일까지 유예했어. 원래는 2027년 3월 이후 보안 패치도 막힐 수 있었는데, 보안 리스크를 줄이려던 규제가 오히려 보안 업데이트를 끊는 이상한 상황이 될 뻔한 셈이야.
리눅스에서 컨테이너나 낮은 권한 사용자가 루트 권한을 얻을 수 있는 취약점 '더티 프래그'가 공개됐어. 공개된 익스플로잇은 여러 배포판에서 안정적으로 동작하고, 마이크로소프트는 이미 공격자들이 실험 중인 흔적을 봤다고 밝혔어.
구글이 안드로이드 17에 OS 검증 기능을 넣는다. 사용자는 기기가 공식 안드로이드 빌드를 돌리고 있는지, 부트로더 상태와 빌드 정보까지 확인할 수 있고, 구글 앱과 API의 정식 배포 여부를 검증하는 공개 원장도 제공된다.
익명의 공개자가 마이크로소프트 관련 취약점 2건을 추가로 공개했다고 주장했어. 구체적인 기술 분석은 본문에 거의 없지만, 패치 튜즈데이를 앞두고 더 큰 공개를 예고해 윈도우 보안 운영팀 입장에선 신경 써야 할 신호야.
국가정보원 국가사이버안보센터 연례보고서에 따르면 북한은 지난해 2조 원이 넘는 가상자산을 탈취한 것으로 집계됐다. 국내 문서관리 솔루션 취약점 악용, 기반 시설 전산망 침투, 오픈소스 공급망 공격, 딥페이크 화상 인터뷰를 통한 위장 취업까지 공격 방식이 훨씬 정교해졌다.