2026년 9월 23일 (수).

핵심 요약

• Meta의 음성 AI 에이전트 뮤즈(내부명 Hatch)가 사용자의 export 요청에 리눅스 루트 파일시스템 6.8GB를 통째로 전송했다.
• SSH 키, Ubuntu 시스템 파일, 내부 문서, 메모리 파일, 에이전트 로그 등 민감한 정보가 포함되었다.
• 뮤즈의 정체성을 정의하는 SOUL.md, IDENTITY.md 등 프롬프트 파일과 약 68개의 스킬 디렉터리, 113개 부분 에이전트 기록이 담겨 있었다.
• 일반 대화와 연결된 export 기능을 통해 런타임 내부 파일과 민감한 자료가 유출될 수 있다는 문제를 보안 연구자가 Meta 버그 바운티 프로그램에 제보했다.

핵심 요약

• ShinyHunters라는 해킹 그룹이 FBI 관련 서비스를 침해해 FBI 직원과 지원자 전원의 데이터를 탈취했다고 주장했다.
• 탈취된 데이터에는 요원의 이름, 자택 주소, 전화번호, 배우자 정보 등이 포함되어 있다.
• 그룹은 Oracle PeopleSoft의 제로데이 취약점을 이용해 AWS GovCloud 서버에 접근했으며, 총 2~3TB 규모의 데이터를 빼냈다고 밝혔다.
• FBI 채용 웹사이트도 '이 사이트는 ShinyHunters에 의해 압수됨'이라는 메시지로 훼손했다.
• FBI는 현재 침해 사건을 조사 중이며, ShinyHunters는 '재정적 동기가 아니'라고 주장하면서 FBI가 지난 보도의 허위 주장을 정정할 1주일의 시간을 준다고 밝혔다.

핵심 요약

• WordPress 4.7~7.1.1 모든 버전에서 패스 트래버설 취약점이 발견됐다.
• 로그인 없이 공격자가 page-template 처리 과정을 악용해 웹 서버 범위 밖의 PHP 파일을 로드할 수 있다.
• RCE 달성은 테마에 'page-'로 시작하는 디렉토리가 있고, 서버에 pearcmd.php 같은 실행 가능한 PHP 파일이 있을 때 가능하다.
• Twenty Twelve, Twenty Fourteen 테마와 Neve, Hestia, Sydney 등 인기 테마들이 취약 조건을 만족한다.
• Docker 공식 PHP 이미지와 PHP 8.5 이전 버전의 cPanel 기본 설정도 영향을 받는다.
• CVSS 9.2 심각도로 분류됐으며, 모든 버전에 백포트된 패치가 이미 배포됐다.

핵심 요약

• 메타의 AI 어시스턴트 뮤즈에서 로컬 앱이나 터미널 명령이 계정에 완전한 접근권한을 얻을 수 있는 0-day 취약점이 발견됐다.
• 공격자는 뮤즈의 음성 변환 서버 주소를 자신의 엔드포인트로 변경해 사용자 인증 토큰을 탈취할 수 있다.
• 메타는 뮤즈를 서비스 간 고도의 권한 접근이 필요한 구조로 설계했으나, 앱이 모든 미공개 설정을 수정할 수 있도록 허용했다.
• 취약점 공개 12시간 후 메타가 핫픽스를 배포했고, 아마존은 같은 시점 뮤즈를 차단하기 시작했다.
• macOS는 기본적으로 로컬에서 음성 처리를 하는 안전한 방식을 제공했지만, 메타는 클라우드 기반 구조를 선택했다.