PLC 두 모델 사이의 거리를 AI가 좁혔을 때 — 방어자가 다시 계산해야 할 것들

2026. 9. 2. 21:31

이미지 출처: The Hacker News보안 컨퍼런스 발표 자료 중에 이런 문장이 있었음. "동일 벤더의 다른 모델로 익스플로잇을 옮기는 데 보통 몇 주가 걸린다." 연구자들이 대형 언어모델을 붙여 그 작업을 시도했더니, 사전 인증(pre-auth) 원격코드실행 익스플로잇이 다른 PLC 모델에서 동작하기까지 걸린 시간이 며칠 단위로 줄었다는 결과가 나옴. 여기서 방어자가 붙잡아야 할 건 "AI가 해킹한다"는 자극적인 헤드라인이 아니라, 익스플로잇 재사용 비용이 내려가면 우리 자산 목록의 우선순위가 통째로 바뀐다는 사실임.핵심 요약연구자들이 LLM을 활용해 한 PLC 모델의 pre-auth RCE 익스플로잇을 같은 계열 다른 모델로 이식하는 데 성공했고, 기존에 수 주 걸리던 포팅 시간이 크게 단축됨핵심..

지도 서비스 백엔드에 뚫린 세 칸짜리 사다리 — GeoNetwork 메타데이터 엔진 이야기

2026. 9. 2. 19:01

이미지 출처: The Hacker News공공 공간정보 포털을 들여다보면 앞단은 대개 조용함. 지도 타일이 뜨고, 검색창이 있고, 좌표를 넣으면 항공사진이 나오는 정도. 그런데 그 뒤에서 메타데이터를 관리하는 카탈로그 엔진 — GeoNetwork 같은 소프트웨어 — 은 생각보다 훨씬 많은 걸 하고 있음. XML을 파싱하고, 외부 카탈로그와 하베스팅으로 동기화하고, 스타일시트로 문서를 변환하고, 파일을 디스크에 씀. 이번에 정리된 취약점 묶음은 정확히 그 '많은 일' 쪽에서 나왔고, 인증 없이도 연결이 되는 형태라 성격이 꽤 나쁨.핵심 요약GeoNetwork 메타데이터 카탈로그에서 인증 없이 접근 가능한 엔드포인트를 시작점으로, XML 처리·변환·파일 쓰기 단계를 엮어 원격 코드 실행까지 이어지는 체인이 ..

Langflow 1.3.0과 Rails 5.2.2.1 — 오래된 패치선 두 개가 지금 다시 두들겨 맞는 중

2026. 9. 1. 21:32

이미지 출처: The Hacker News테스트용으로 띄워둔 웹 서버 액세스 로그를 훑다 보면, 사람이 아니라 기계가 남긴 흔적이 확연히 눈에 띄는 구간이 있다. 몇 초 간격으로 같은 경로를 두드리는데, 그 목록에 /api/v1/validate/code 같은 요청이 섞여 있고, 또 어떤 요청은 URL은 평범한데 Accept 헤더가 이상하게 길다. 하나는 AI 워크플로 도구인 Langflow를 노린 것이고, 다른 하나는 Ruby on Rails의 파일 노출 결함을 노린 것이다. 둘 다 패치가 나온 지 꽤 됐는데도, 공격자들의 스캔 목록에서는 아직 지워지지 않았다.핵심 요약Langflow의 코드 검증 엔드포인트 결함(CVE-2025-3248)과 Rails Action View의 파일 내용 노출 결함(CVE-..

인쇄 대기열 뒤의 관리 콘솔: PaperCut CVE-2026-81578 방어 노트

2026. 9. 1. 13:02

이미지 출처: CISA KEV사무실 복합기 옆 랙에 조용히 꽂혀 있는 서버 한 대. 자산 대장에는 그냥 "프린터 관리" 다섯 글자로 적혀 있고, 담당 부서는 총무팀으로 되어 있고, 보안팀 점검 리스트에서는 매년 마지막 순번으로 밀리는 그 장비 말입니다. PaperCut NG/MF에서 Missing Authentication for Critical Function 계열 취약점(CVE-2026-81578)이 공개될 때마다 저는 이 장면부터 떠올리게 되는 것 같습니다.핵심 요약CVE-2026-81578은 PaperCut NG/MF의 중요 기능이 인증 검사 없이 호출될 수 있는 문제로, CWE-306(중요 기능에 대한 인증 누락) 계열에 속함프린트 서버는 AD 연동·서비스 계정·전 부서 접근이라는 조건을 동시에..

PaperCut NG/MF 관리 기능에 숨은 unsafe reflection, CVE-2026-82078 대응 정리

2026. 9. 1. 08:02

이미지 출처: CISA KEV사무실 구석에 놓인 인쇄 서버는 자산 목록에서도 늘 맨 아래쪽에 있음. 담당은 총무팀이고, 패치 주기는 "복합기 잘 나오면 됐지"에서 멈춰 있는 경우가 대부분임. 그런데 그 장비가 도메인 계정으로 인증을 받고, 부서별 출력 로그를 쌓고, 관리 콘솔을 웹으로 열어두고 있다면 이야기가 달라짐. CVE-2026-82078은 바로 그 PaperCut NG/MF에서 안전하지 않은 리플렉션(unsafe reflection) 처리가 문제로 지목된 사례임.핵심 요약PaperCut NG/MF가 외부에서 들어온 값을 클래스·메서드 이름으로 그대로 써서 호출하는 구조(CWE-470)가 문제의 핵심임공격이 성사되면 인쇄 서버 프로세스 권한으로 임의 코드가 실행될 수 있고, 이 서버는 보통 내부망 ..

백신 예외 폴더가 ValleyRAT의 안전가옥이 됐다

2026. 8. 31. 21:32

이미지 출처: The Hacker News사용자가 백신 설정 창을 열고, 예외 경로에 폴더 하나를 손수 추가한다. 설치가 자꾸 막히니까, 화면에 뜨는 안내대로. 그 클릭 한 번으로 그 폴더 안의 모든 파일은 검사 대상에서 영구히 빠지고, ValleyRAT은 바로 그 자리에 자기 집을 짓는다. 이번 사례가 불편한 이유는 익스플로잇이 정교해서가 아니라, 보안 제품을 무력화한 게 공격자가 아니라 피해자 본인이라서다.핵심 요약유효한 코드서명이 붙은 애드웨어·유틸리티가 미끼로 쓰이며, 사용자가 직접 백신 예외 경로를 등록하도록 유도함예외 폴더 안에서 정상 서명 실행파일이 악성 DLL을 사이드로딩해 ValleyRAT 백도어를 메모리에 올림방어의 초점은 시그니처가 아니라 예외 목록 자체를 자산으로 관리하고 감사하는 ..

"인증하려면 Win+R을 누르세요": TerminalFix가 노린 건 브라우저가 아니라 사람이었다

2026. 8. 30. 21:32

이미지 출처: The Hacker News페이지 하나가 뜹니다. 익숙한 주황색 로고, 익숙한 "사람인지 확인하는 중" 문구. 그런데 이번엔 체크박스가 없어요. 대신 "확인을 완료하려면 Win+R을 누르고 Ctrl+V, Enter를 눌러주세요"라는 안내가 뜹니다. 여기서 손이 먼저 움직인 사람과, 잠깐 멈춘 사람. TerminalFix라는 이름이 붙은 이번 캠페인은 정확히 그 0.5초의 차이를 노렸습니다.핵심 요약가짜 Cloudflare 인증 화면으로 사용자가 직접 악성 명령을 복사·실행하게 만드는 ClickFix 계열 초기침투 기법임최종 목적은 정상 터널링 서비스를 악용한 리버스 터널 백도어로, 아웃바운드 연결만 쓰기 때문에 방화벽 인바운드 정책을 그대로 우회함방어 지점은 페이로드가 아니라 실행 경로에 ..

워드프레스를 무너뜨린 건 코어가 아니라 플러그인 다섯 개였다

2026. 8. 30. 13:02

이미지 출처: The Hacker News워드프레스 코어는 생각보다 단단하다. 보안팀도 있고, 자동 업데이트도 기본으로 돌고, 심각한 결함이 나오면 며칠 안에 패치가 배포된다. 그런데도 매달 "사이트가 통째로 넘어갔다"는 사고가 끊이지 않는 이유는 단순하다. 실제로 뚫리는 건 코어가 아니라 그 위에 얹은 플러그인과 테마이기 때문. 이번에도 플러그인·테마 다섯 곳에서 사이트 탈취나 원격 코드 실행으로 이어지는 결함이 한꺼번에 공개됐고, 하나같이 "인증 없이" 또는 "구독자 권한만으로" 시작할 수 있는 유형이었음.핵심 요약워드프레스 사고의 대부분은 코어가 아니라 서드파티 플러그인·테마의 권한 검사 누락에서 출발함파일 업로드 검증 부재, 임의 옵션 변경, 파일 포함(LFI) 세 갈래가 결국 웹셸과 관리자 계정..

사내 Git 서버 하나가 조직 전체의 실행 권한을 쥐고 있다면 — Gitea CVE-2026-60004

2026. 8. 30. 08:02

이미지 출처: CISA KEV회사에서 GitHub 대신 Gitea를 쓰는 팀이 생각보다 많음. 가볍고, 바이너리 하나로 뜨고, 라이선스 부담도 없어서 스타트업이나 사내망 개발팀이 자체 호스팅으로 올려두는 경우가 흔함. 그런데 그 "가볍게 올려둔" 서버가 조직의 모든 소스코드와 CI 파이프라인의 출발점이라는 걸 잊기 쉬움. CVE-2026-60004는 그 지점을 정확히 찌르는 코드 인젝션 계열 취약점임.핵심 요약Gitea에서 보고된 코드 인젝션 취약점으로, 신뢰되지 않은 입력이 서버 측에서 실행 가능한 문맥으로 흘러 들어가는 구조가 문제의 핵심임Git 서버는 소스코드·CI 러너·배포 자격증명이 한곳에 모이는 지점이라, 단일 취약점이 곧바로 공급망 침해로 번질 수 있음대응은 최신 버전 업그레이드가 1순위이고..

CVE-2019-1068: SQL Server 내부 함수 처리가 무너지면 서비스 계정까지 간다

2026. 8. 29. 21:32

이미지 출처: CISA KEV2019년 7월 패치 화요일은 실제로 악용되고 있던 윈도우 제로데이 두 건 때문에 시끄러웠다. 그 소란 속에서 조용히 목록 한 줄을 차지하고 지나간 것이 CVE-2019-1068, Microsoft SQL Server의 원격 코드 실행 취약점임. 제로데이가 아니었고 공개 익스플로잇도 돌지 않았으니 대부분의 조직이 "다음 정기 점검 때"로 미뤘고, 그렇게 미뤄진 DB 서버가 몇 년 뒤 내부 침투 단계에서 발목을 잡는 경우를 심심찮게 보게 됨.핵심 요약SQL Server가 내부 함수 처리를 잘못하는 지점에서 발생하는 원격 코드 실행 결함으로, 조작된 쿼리 하나가 SQL Server 데이터베이스 엔진 서비스 계정 권한의 코드 실행으로 이어짐"인증된 사용자만 가능"이라는 조건은 안심..

NetScaler 앞단에 놓인 장비 한 대, 왜 매번 표적이 되는가

2026. 8. 29. 13:01

이미지 출처: CISA KEV사내 네트워크 다이어그램을 펼쳐보면 인터넷과 내부망 사이 딱 한 칸에 놓여 있는 상자가 있음. VPN 게이트웨이이자 로드밸런서이자 인증 관문 역할을 겸하는 Citrix NetScaler ADC/Gateway가 대표적인데, 이 위치에 있다는 것 자체가 공격자에게는 최고의 가성비 표적이 된다는 뜻임. CVE-2026-8452는 바로 그 장비에서 메모리 버퍼 경계를 벗어난 연산이 가능하다는 내용으로 등록된 건임.핵심 요약CVE-2026-8452는 Citrix NetScaler ADC/Gateway의 메모리 버퍼 경계 처리 결함(CWE-119 계열)으로, 인터넷에 직접 노출되는 엣지 장비라는 점에서 위험도가 큼이런 유형은 크래시·재부팅·세션 이상 같은 흔적을 남기므로, 로그와 코어덤..

저장소 경로 한 칸을 벗어나면 — Artifactory가 걸러내지 못한 파일명

2026. 8. 28. 21:31

이미지 출처: CISA KEV사내 빌드 파이프라인에서 아티팩트 저장소는 늘 조용한 존재입니다. 젠킨스가 돌고, 이미지가 올라가고, 개발자들은 npm install 한 줄로 그걸 내려받죠. 아무도 저장소 자체를 의심하지 않습니다. 그런데 그 저장소가 "파일을 어디에 저장할지"를 사용자가 준 문자열로 결정하고 있다면 어떨까요. CVE-2026-66384는 바로 그 지점, JFrog Artifactory가 경로 문자열을 지정된 디렉터리 안으로 제대로 가두지 못한 문제로 등록되어 있습니다.핵심 요약JFrog Artifactory에서 파일 경로가 지정된 저장소 디렉터리 밖으로 벗어날 수 있는 결함(경로 제한 미흡, CWE-22 계열)이 보고됨아티팩트 저장소는 CI/CD의 상류에 있어, 임의 위치 쓰기·읽기가 성립..