쌓인 기록에서 찾기
무엇을 찾으세요? 날짜를 몰라도 됩니다. 제목·Key Point·요약·태그를 한꺼번에 뒤집니다.
검색 범위 2026년 8월 13일 (목) 부터 2026년 10월 30일 (금)까지 3636건
8건 · "버그 바운티"조건 지우기 ×
001 00:11 ▲ 108 · 댓글 48 애플, 보안 연구자를 위한 전용 iPhone 대여 프로그램 시작 애플이 iOS 보안 연구자를 위해 특별히 제작한 iPhone인 SRD(Security Research Device) 프로그램을 시작했으며, 2026년 10월 30일까지 신청을 받고 있다. 보안 · Apple Security Research Device
Key Point iOS 보안 연구의 진입 장벽을 낮추고 취약점 발견을 촉진하는 애플의 공식 채널이 생겼기 때문에, 보안 연구자에게는 새로운 기회이고 애플 생태계의 보안 강화에 직결된다.
핵심 요약
애플이 iOS 보안 연구자를 위해 특별히 제작한 iPhone인 SRD(Security Research Device) 프로그램을 시작했으며, 2026년 10월 30일까지 신청을 받고 있다. SRD는 iOS의 보안 기능을 우회할 필요 없이 연구를 수행할 수 있는 특별 제작 iPhone으로, 소프트웨어 미리보기, 보안 베타 프로젝트, 연구 커뮤니티 접근 및 특수 도구를 제공한다. 연구자는 쉘 접근, 자유로운 도구 실행, 자체 인타이틀먼트 설정, 커널 커스터마이징이 가능하며, Apple Pay와 서드파티 앱을 제외한 모든 iOS와 iPhone 컴포넌트를 연구할 수 있다. 전체 요약 8문장 읽기 → 002 00:11 ▲ 114 · 댓글 127 LLM이 만드는 새로운 보안 위협···한 주간 대형 취약점 폭발 2026년 10월 지난 일주일 간 심각한 소프트웨어 취약점들이 대량 발견되었다. PHP의 CVE-2026-109618, 109619(PHP2Shell)는 OpenAI의 패치 프로그램과 구글 클라우드의 Wiz가 GPT-5.6과 Gemini 4를 이용해 찾은 원격 코드 실행 버그로, 인터넷 70% 이상에 영향을 미친다. 보안 · Is this the new cyber normal?
Key Point 지난주 PHP에서 인터넷 70% 이상을 위협하는 취약점이 터진 데 이어 eMudhra, Railway, GitLab, LiteLLM 등이 연쇄적으로 침해당하면서 LLM이 보안 위협의 판을 바꾸고 있다.
핵심 요약
2026년 10월 지난 일주일 간 심각한 소프트웨어 취약점들이 대량 발견되었다. PHP의 CVE-2026-109618, 109619(PHP2Shell)는 OpenAI의 패치 프로그램과 구글 클라우드의 Wiz가 GPT-5.6과 Gemini 4를 이용해 찾은 원격 코드 실행 버그로, 인터넷 70% 이상에 영향을 미친다. 2024년 PHP 재단이 발견했지만 실제 익스플로잇을 못 만들어 방치한 취약점을 LLM이 취약점 설명만으로 완전한 익스플로잇으로 빌드해냈다. LLM은 보안 패치 공지 후 코드 변경사항을 분석해 몇 분 내에 익스플로잇을 만들 수 있어, 이제 패치 발표 시점을 '익스플로잇이 퍼지지 않은 마지막 시간'으로 봐야 한다. Hacker News의 petecooper가 의도치 않게 CVE를 공개해 패치 일정이 22일에서 21일로 앞당겨졌지만, Calif가 익스플로잇 영상을 공개하고 Chainguard가 embargo 6시간 전에 패치를 배포하면서 17시간 내에 여러 문제가 겹쳤다. 전체 요약 14문장 읽기 → 003 09:11 ▲ 226 · 댓글 54 GitLab, 원격 코드 실행 보안 패치 긴급 배포 GitLab은 10월 21일 CE/EE의 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 버전을 배포했으며, 모든 자체 관리형 설치 환경의 즉시 업그레이드를 강력히 권고했다. 보안 · GitLab Critical Patch Release
Key Point 원격 코드 실행 취약점(CVSS 10.0)이 포함되어 있어 모든 GitLab 자체 관리 환경이 즉시 보안 업그레이드가 필요한 상황이다.
핵심 요약
GitLab은 10월 21일 CE/EE의 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 버전을 배포했으며, 모든 자체 관리형 설치 환경의 즉시 업그레이드를 강력히 권고했다. CVE-2026-110264는 정규식 컴파일 시 정수 오버플로우로 인해 인증되지 않은 사용자가 악의적 정규식을 업로드하여 GitLab 서버에서 임의 코드를 실행할 수 있는 취약점으로, CVSS 10.0의 심각도를 가진다. 이 패치는 7.0 버전부터 현재까지 모든 버전에 적용되었으며, 위협 탐지 기능 두 개(Onigmo 네이티브 워커 크래시, Org 모드 렌더 에러 폭발)가 자체 관리 환경을 돕기 위해 배포되었다. 전체 요약 9문장 읽기 → 004 18:11 ▲ 157 · 댓글 62 메타 뮤즈, 공유 링크로 사용자 민감정보 노출 메타의 AI 에이전트 뮤즈가 대화 공유 기능에서 민감한 개인·업무 정보를 노출하는 취약점이 발견됐다. 보안 · Muse exposes users' personal and business secrets when they share conversations
Key Point 개인정보와 업무 기밀을 포함한 메타 뮤즈 공유 링크가 쉽게 외부에 노출되는 설계 결함이 있으며, 광범위한 계정 접근 권한을 요구하는 AI 에이전트의 신뢰성이 의문의 여지가 남아있다.
핵심 요약
메타의 AI 에이전트 뮤즈가 대화 공유 기능에서 민감한 개인·업무 정보를 노출하는 취약점이 발견됐다. 보안업체 클라록 연구원들이 단 한 번의 쿼리로 6,800개의 공유 링크를 열거할 수 있었다. 노출된 정보에는 임원 지원자 면접 메모, 회사 매출 검토 자료, 대출 신청서, 직원 휴가 일정 등이 포함됐다. 전체 요약 8문장 읽기 → 005 03:11 ▲ 143 · 댓글 68 서명 검증 안 한 마이크로소프트 API, 17조 개의 데이터행 노출 마이크로소프트 내부 분석 서비스인 Titan이 로그인 토큰의 서명을 검증하지 않아 17조 3,330억 개의 저장된 데이터행에 접근 가능했다. 보안 · I Could've Accessed 17T Microsoft Records
Key Point JWT 서명 검증 누락이라는 기초적 실수로 17조 행의 내부 데이터베이스에 접근 가능했던 사례로, 인증 시스템의 서명 확인이 얼마나 중요한지 보여주는 실례입니다.
핵심 요약
마이크로소프트 내부 분석 서비스인 Titan이 로그인 토큰의 서명을 검증하지 않아 17조 3,330억 개의 저장된 데이터행에 접근 가능했다. 16세 보안연구자 Faav가 자신의 AI 해킹봇 Antares의 도움으로 VPN 제한이 있는 API를 발견한 후, 10일간 JWT 검증 메커니즘을 분석했다. 공개 Swagger 파일을 통해 /v2/Query 엔드포인트를 찾았는데, 이 엔드포인트는 Azure AD 인증 없이도 원본 SQL을 실행할 수 있었다. 전체 요약 12문장 읽기 → 006 03:11 ▲ 208 · 댓글 114 Meta 음성 AI 뮤즈, 전체 시스템 파일 6.8GB 실수로 공개 Meta의 음성 AI 에이전트 뮤즈(내부명 Hatch)가 사용자의 export 요청에 리눅스 루트 파일시스템 6.8GB를 통째로 전송했다. 보안 · I asked Meta’s Muse for its filesystem and it sent me 6.8GB
Key Point AI 에이전트의 내부 동작 방식과 프롬프트 엔지니어링 기법이 실제로 유출될 수 있다는 보안 취약점을 보여주며, 대형 AI 서비스의 자료 보호 수준을 점검하는 사례입니다.
핵심 요약
Meta의 음성 AI 에이전트 뮤즈(내부명 Hatch)가 사용자의 export 요청에 리눅스 루트 파일시스템 6.8GB를 통째로 전송했다. SSH 키, Ubuntu 시스템 파일, 내부 문서, 메모리 파일, 에이전트 로그 등 민감한 정보가 포함되었다. 뮤즈의 정체성을 정의하는 SOUL.md, IDENTITY.md 등 프롬프트 파일과 약 68개의 스킬 디렉터리, 113개 부분 에이전트 기록이 담겨 있었다. 전체 요약 4문장 읽기 → 007 09:10 당일 +243 Claude를 해킹 전문가로: 공격 기술 스킬 라이브러리 공개 Claude 스킬 시스템용 공격 보안 교육 라이브러리인 claude-red를 공개했다. 보안 · SnailSploit/Claude-Red · Python
Key Point AI가 직접 해킹과 공격 기술을 수행하도록 학습하는 도구의 공개는 보안 커뮤니티와 AI 안전 논의에 중요한 기술적 발전이다.
핵심 요약
Claude 스킬 시스템용 공격 보안 교육 라이브러리인 claude-red를 공개했다. SQL 인젝션부터 EDR 회피, 권한 상승까지 75개 이상의 스킬을 SKILL.md 파일로 구조화했다. 각 스킬은 특정 공격 표면에 대해 전문가 수준의 방법론을 담아 Claude를 도메인 전문가처럼 동작하게 한다. 전체 요약 5문장 읽기 → 008 11:10 당일 +101 버프 수트 대체할 오픈소스 HTTP 보안 도구 Hetty Hetty는 Go로 만든 HTTP 도구로, Burp Suite Pro 같은 상용 보안 소프트웨어의 오픈소스 대안을 목표한다. 보안 · dstotijn/hetty · Go
Key Point 침투 테스트와 버그 바운티 커뮤니티가 고가의 상용 도구 대신 무료로 쓸 수 있는 풀스택 HTTP 보안 도구를 원했기 때문이다.
핵심 요약
Hetty는 Go로 만든 HTTP 도구로, Burp Suite Pro 같은 상용 보안 소프트웨어의 오픈소스 대안을 목표한다. MITM 프록시, HTTP 클라이언트, 요청/응답 인터셉트, 스코프 관리 등 침투 테스트와 버그 바운티에 필요한 기능을 갖췄다. 웹 기반 관리 인터페이스를 제공하고 프로젝트 단위로 데이터베이스를 관리한다. 전체 요약 5문장 읽기 → 
