쌓인 기록에서 찾기
무엇을 찾으세요? 날짜를 몰라도 됩니다. 제목·Key Point·요약·태그를 한꺼번에 뒤집니다.
검색 범위 2026년 8월 13일 (목) 부터 2026년 10월 30일 (금)까지 3636건
17건 · "PoC"조건 지우기 ×
001 21:11 ▲ 137 · 댓글 88 안드로이드 긴급 통화 중단시키는 악성 SMS 공격 공개 잘못된 WAP Push SMS 한 통으로 안드로이드 전화 앱(com.android.phone)을 크래시시켜 통화 중 상태의 모든 전화(긴급 전화 포함)를 끊을 수 있는 취약점이 공개됐다. 보안 · Zero click, silent, remote Android DoS
Key Point 긴급 전화를 원격으로 영구 차단할 수 있는 취약점이 공개되면서 수억 대의 안드로이드 기기가 노출됐고, 통신사의 자동 차단 정책으로 인해 사용자 과실이 아닌데 기기가 네트워크에서 제외될 수 있다.
핵심 요약
잘못된 WAP Push SMS 한 통으로 안드로이드 전화 앱(com.android.phone)을 크래시시켜 통화 중 상태의 모든 전화(긴급 전화 포함)를 끊을 수 있는 취약점이 공개됐다. 5바이트 uintvar 값 88 80 80 80 00이 0x80000000으로 디코딩되고, 32비트 정수로 캐스팅되면서 -2147483648이 되는데, 이를 바이트 배열 크기로 사용하면서 NegativeArraySizeException을 발생시킨다. 메시지는 데이터 SMS로 전달돼 사용자에게 보이지 않으며, Pixel 9(2026년 4월 펌웨어)와 여러 삼성 갤럭시·A시리즈에서 100% 재현 가능하다. 전체 요약 11문장 읽기 → 002 15:11 ▲ 102 · 댓글 50 PDF 암호화의 허점, AES-256이 9비트만으로 깨진다 MuPDF 1.28.5 이전 버전을 포함한 여러 PDF 구현이 AES-256 파일 키를 매우 작은 상태 공간에서 생성하고 있다. 보안 · The case of the 9 bit AES key
Key Point PDF 암호화를 위해 도입된 AES-256이 부실한 난수 생성으로 인해 실제로는 수십 비트 수준의 강도만 가지고 있으며, 패스워드 없이 문서를 열 수 있는 심각한 결함이다.
핵심 요약
MuPDF 1.28.5 이전 버전을 포함한 여러 PDF 구현이 AES-256 파일 키를 매우 작은 상태 공간에서 생성하고 있다. MuPDF는 epoch 시간 단위로 시드된 48비트 선형합동발생기를 사용하는데, 키 생성에 사용되는 출력 비트 구조 때문에 실제로는 9비트만 영향을 미친다. 512초 차이나는 타임스탬프는 정확히 동일한 바이트 스트림을 생성하며, 모든 512개 가능한 키를 브루트 포싱하는 데 11밀리초가 소요된다. 전체 요약 10문장 읽기 → 003 21:11 당일 +334 AI 펜테스터 Shannon, 오픈소스로 공개 Keygraph가 개발한 Shannon은 웹 애플리케이션과 API의 자동 펜테스트 도구로, 소스 코드 분석과 실제 익스플로잇 실행을 결합해 취약점을 증명한다. 보안 · KeygraphHQ/shannon · TypeScript
Key Point 소스 코드 분석과 실제 익스플로잇으로 취약점을 증명하는 AI 펜테스터를 직접 실행할 수 있게 되어, 개발 주기마다 자동 보안 테스트가 가능해진다.
핵심 요약
Keygraph가 개발한 Shannon은 웹 애플리케이션과 API의 자동 펜테스트 도구로, 소스 코드 분석과 실제 익스플로잇 실행을 결합해 취약점을 증명한다. 소스 코드에서 공격 경로를 식별한 후 브라우저 자동화와 CLI 도구로 실행 중인 애플리케이션을 공격하며, 재현 가능한 개념 증명(PoC)이 있는 취약점만 보고에 포함시킨다. Shannon OSS는 TypeScript 기반 오픈소스 저장소로 로컬에서 CLI를 통해 실행되며, AGPL-3.0 라이선스 하에서 개인 개발자와 소규모 팀에 적합하다. 전체 요약 12문장 읽기 → 004 03:11 ▲ 158 · 댓글 53 PHP 취약점 공격 시도와 패치 현황 PHP의 CVE-2026-109618, CVE-2026-109619 공개 후 위즈 보안팀은 실제 공격 시도를 모니터링하고 공개된 익스플로잇 코드를 분석했다. 보안 · PHP2Shell: Exploitation attempts and remediation trends
Key Point 공격이 실제로 대규모 피해를 입히지 못하고 있는 이유와 조직들의 패치 현황을 파악하면, 이 취약점에 대한 실제 위협 수준과 대응 우선순위를 정확히 판단할 수 있다.
핵심 요약
PHP의 CVE-2026-109618, CVE-2026-109619 공개 후 위즈 보안팀은 실제 공격 시도를 모니터링하고 공개된 익스플로잇 코드를 분석했다. 공개 후 약 일주일 만에 인터넷 노출 취약 머신이 67% 감소했으며, PHP 7.3 이상 버전 운영 조직이 47.9% 줄었다. 포착된 공격은 두 가지 유형으로 나뉜다: PHP2Shell 익스플로잇을 사용한 공격과 '세션 중독'이라는 관련 없는 기법을 PHP2Shell 이름으로 위장한 공격이다. 전체 요약 8문장 읽기 → 005 06:11 새 버전 Hugging Face Transformers v5.21 릴리스, 5개 신규 모델 추가 Transformers 라이브러리가 v5.21.0을 릴리스했으며, 문서 인식부터 음성 합성까지 5개 모델을 새로 지원한다. AI · 머신러닝 · huggingface/transformers@v5.21
Key Point 문서 이해, 음성 합성 등 신규 모델 5개가 추가되고 병렬 처리·양자화·캐시 처리가 크게 개선되어 LLM과 멀티모달 모델 개발자들에게 직접적인 영향이 있다.
핵심 요약
Transformers 라이브러리가 v5.21.0을 릴리스했으며, 문서 인식부터 음성 합성까지 5개 모델을 새로 지원한다. MiniCPM-OCR은 OpenBMB의 모델로 SigLIP 비전 인코더와 Qwen3.5 언어 모델을 결합해 스캔 페이지, 스크린샷, 영수증 등 텍스트 밀집 이미지를 읽는다. Flint는 Recursive의 혼합 전문가 모델로 슬라이딩 윈도우 주의(512개 토큰 범위)와 완전 주의를 결합하며, 각 희소 계층이 256개 전문가 중 6개를 라우팅한다. 전체 요약 12문장 읽기 → 006 18:11 ▲ 106 · 댓글 23 PHP 메모리 오버플로우로 비트코인 탈취하는 PoC 공개 Alpine PHP 8.4.26 환경에서 메모리 오버플로우 취약점을 이용해 임의 코드 실행을 달성하는 CTF 증명 코드를 공개했다. 보안 · Steal My Bitcoin CTF PoC
Key Point PHP 메모리 관리 취약점을 이용한 실제 임의 코드 실행 기법의 완전한 기술 분석과 재현 가능한 PoC가 공개되어, 웹 애플리케이션 보안과 메모리 안전성 문제를 다루는 개발자에게 중요한 참고 자료가 된다.
핵심 요약
Alpine PHP 8.4.26 환경에서 메모리 오버플로우 취약점을 이용해 임의 코드 실행을 달성하는 CTF 증명 코드를 공개했다. Python 표준 라이브러리만 사용하며, 최대 20개의 HTTP 요청으로 헬스 체크 → 힙 릭 → 코드 릭 → 콜백 실행 4단계를 거친다. 소형 멀티파트 업로드(약 250KB)가 PHP 메모리 파싱 중에 128MB 제한을 초과하도록 설계되어, 워커에 stale state를 남긴다. 전체 요약 12문장 읽기 → 007 03:11 ▲ 126 · 댓글 46 안드로이드 폰에서 iOS 16.5 전체 시스템 부팅 HackiOS는 안드로이드 폰의 하드웨어 위에서 iOS 16.5의 미수정 사용자 영역을 실행하는 오픈소스 XNU 커널(xnu-8796.121.2) 포팅 프로젝트다. 하드웨어 · 시스템 · Show HN: Run full iOS 16.5 firmware on Android Devices
Key Point 안드로이드 하드웨어에서 Apple의 XNU 커널과 완전한 iOS 사용자 영역을 실행하는 것이 가능함을 보여주는 포팅으로, 폐쇄된 생태계와 오픈소스의 경계를 넘나드는 기술적 성과다.
핵심 요약
HackiOS는 안드로이드 폰의 하드웨어 위에서 iOS 16.5의 미수정 사용자 영역을 실행하는 오픈소스 XNU 커널(xnu-8796.121.2) 포팅 프로젝트다. 독자 EFI 로더, Apple의 폐쇄 드라이버 대체물, UEFI 포트, Linux Wi-Fi 드라이버의 호환성 레이어로 가능하게 했다. POCO X5 Pro 5G(Snapdragon 778G)와 QEMU(aarch64) 두 환경에서 실행되며, 안드로이드로 부팅할 때 아무것도 플래시되지 않는다. 전체 요약 13문장 읽기 → 008 00:11 ▲ 147 · 댓글 31 아마존, PHP2Shell 공개 전 악용 탐지…보안 대응 시간의 위기 아마존 위협 인텔리전스가 2026년 10월 17일 MadPot 허니팟에서 PHP2Shell 익스플로잇 시도를 탐지했으며, CVE-2026-109618·109619 공개보다 4일 앞서 발견됐다. 보안 · Amazon identifies Oct 17 PHP2Shell exploitation prior to public disclosure
Key Point 패치 공개 전 익스플로잇 활동이 감지되었고, 임베고 해제 후 수 시간 내 광범위 악용으로 확산된 사례로, 기존의 공개 후 대응 모델이 더 이상 유효하지 않음을 보여준다.
핵심 요약
아마존 위협 인텔리전스가 2026년 10월 17일 MadPot 허니팟에서 PHP2Shell 익스플로잇 시도를 탐지했으며, CVE-2026-109618·109619 공개보다 4일 앞서 발견됐다. 익스플로잇은 익명화 네트워크 IP에서 시작됐고 임베고 기간 중 활동했으나, 공개 전 익스플로잇 정보를 어떻게 확보했는지는 불명이다. 임베고 해제 예정일은 2026년 10월 21일 1400 UTC였으나, 그 전날 0200 UTC부터 이미 여러 개념 증명(PoC) 익스플로잇이 발견됐다. 전체 요약 12문장 읽기 → 009 12:11 ▲ 226 · 댓글 102 PHP 취약점, 실제로는 쉽게 악용되지 않는다 최근 PHP 취약점이 보도되며 높은 관심을 받았지만, 저자는 이것이 Log4Shell이나 Heartbleed처럼 쉽게 악용되는 취약점이 아니라고 주장한다. 보안 · There isn't an easy exploit for this PHP vulnerability
Key Point LLM이 생성한 거짓 PoC로 인한 보안 오류 판단이 대규모로 반복되는 현상을 보여주며, 실제 공격 난이도와 미디어 과장 사이의 간극을 직시해야 한다.
핵심 요약
최근 PHP 취약점이 보도되며 높은 관심을 받았지만, 저자는 이것이 Log4Shell이나 Heartbleed처럼 쉽게 악용되는 취약점이 아니라고 주장한다. GitHub에서 수천 개의 '개념증명(PoC)' 공격 코드가 올라와 있지만, 이들을 실제 PHP 서버에서 테스트하면 작동하지 않는다. 대부분의 PoC가 LLM에 의해 생성된 것으로, 실제로는 로컬 파일 포함(LFI) 같은 사전 조건으로 이미 취약한 서버를 필요로 한다. 전체 요약 6문장 읽기 → 010 21:11 당일 +215 DeepSeek Harness를 휴대폰에서 제어하는 DSH Pocket 전자 기기에 설치된 DeepSeek Harness를 휴대폰에서 실시간으로 접근·조작할 수 있는 npm 플러그인으로, 동일한 WiFi 네트워크의 휴대폰에서 QR 코드를 스캔하거나 공인망을 통해 4G 등 외부 네트워크에서도 접속 가능하다. 오픈소스 · 도구 · shaobeichen/dsh-pocket · JavaScript
Key Point DeepSeek Harness 사용자가 외출 중에도 전자 기기의 agent 작업을 실시간으로 모니터링하고 제어할 수 있는 표준 솔루션이 등장했으므로, 개발자 생산성 도구 사용자라면 즉시 설치 가치가 있다.
핵심 요약
전자 기기에 설치된 DeepSeek Harness를 휴대폰에서 실시간으로 접근·조작할 수 있는 npm 플러그인으로, 동일한 WiFi 네트워크의 휴대폰에서 QR 코드를 스캔하거나 공인망을 통해 4G 등 외부 네트워크에서도 접속 가능하다. 로컬 네트워크 모드는 설정 페이지에서 바로 사용 가능하며, 장치 IP를 자동 감지하고 WSL 환경에서 Windows 물리 네트워크 카드 IP를 자동으로 선택한다. 공인망 접근은 cloudflared 터널을 통해 작동하며, Cloudflare Tunnel Token과 도메인명을 설정해 고정된 공인 주소를 사용할 수 있는 '명명된 터널' 옵션을 제공한다. 전체 요약 12문장 읽기 → 011 09:11 ▲ 181 · 댓글 30 PostgreSQL 19에서 8~10개 주요 기능이 베타 중 롤백된 이유 PostgreSQL 19 베타 단계에서 평년보다 훨씬 많은 8~10개 정도의 주요 기능이 롤백됐으며, 그 중 일부는 베타 후반부에 이루어졌다. 오픈소스 · 도구 · The reverts will continue until morale improves
Key Point LLM 기반 코드 리뷰가 발견 속도를 혁신했지만, 레거시 기능들이 새로운 품질 기준에 미치지 못해 베타 중 대량 롤백되는 상황이 발생했고, 이는 PostgreSQL 개발 프로세스의 근본적 변화를 시사한다.
핵심 요약
PostgreSQL 19 베타 단계에서 평년보다 훨씬 많은 8~10개 정도의 주요 기능이 롤백됐으며, 그 중 일부는 베타 후반부에 이루어졌다. 코드 품질 부족도 있지만, 주요 원인은 LLM 기반 코드 리뷰로 인해 과거라면 나중에 발견됐을 엣지 케이스들이 베타 중에 빠르게 적발된 것이다. Vulnpocalypse 보안 사건으로 4월부터 8월까지 시니어 개발자들이 보안 패치에 집중했고, 베타 기간 중 추가 검토와 테스트가 줄어들었다가 8월 이후 다시 증가해 늦은 발견과 롤백을 초래했다. 전체 요약 8문장 읽기 → 012 09:11 ▲ 111 · 댓글 11 ESP32를 브라우저에서 돌린다, Rust 에뮬레이터 Rust로 작성한 ESP32 에뮬레이터 esp32sim이 공개됐으며, Xtensa(ESP32, S3)와 RISC-V(C3, C6) 아키텍처 네 가지 SoC를 명령어 수준에서 에뮬레이션한다. 하드웨어 · 시스템 · Show HN: Esp32sim – Run ESP32 firmware in the browser
Key Point 실제 ROM과 부트로더로 부팅하는 완전 에뮬레이터이면서 WebAssembly로 브라우저에서 즉시 실행 가능해, ESP32 개발과 테스트 방식을 근본적으로 바꿀 수 있다.
핵심 요약
Rust로 작성한 ESP32 에뮬레이터 esp32sim이 공개됐으며, Xtensa(ESP32, S3)와 RISC-V(C3, C6) 아키텍처 네 가지 SoC를 명령어 수준에서 에뮬레이션한다. 실제 마스크 ROM, 2단계 부트로더, 미수정 애플리케이션 이미지로 부팅하며, 클라우드나 계정 없이 완전히 로컬에서 실행된다(MIT 라이선스). ESP32는 GPIO, UART, 타이머 지원, ESP32-S3는 ST7789 디스플레이와 버튼을 갖춘 LilyGO TTGO T-Display 보드 지원, ESP32-C3과 C6도 각각 FreeRTOS까지 부팅한다. 전체 요약 12문장 읽기 → 013 21:11 당일 +394 AI가 직접 해킹하는 자동 침투 테스트 도구 Strix 오픈소스 공개 Strix는 오픈소스 AI 침투 테스트 도구로, 자율형 AI 해커가 실제 코드를 실행하며 취약점을 찾고 수정하는 기능을 제공한다. 보안 · usestrix/strix · Python
Key Point 정적 분석기의 오탐을 줄이면서 실제 작동하는 PoC로 검증된 취약점만 보고하므로, 수동 침투 테스트의 시간과 비용을 크게 줄일 수 있는 개발팀·보안팀 필수 도구로 떠오르고 있다.
핵심 요약
Strix는 오픈소스 AI 침투 테스트 도구로, 자율형 AI 해커가 실제 코드를 실행하며 취약점을 찾고 수정하는 기능을 제공한다. HTTP 인터셉션, 브라우저 자동화, 쉘 실행, 커스텀 PoC 런타임, 정찰·OSINT 등 실제 전문 침투 테스터가 쓰는 공격 도구 세트를 갖추고 있다. SQL/NoSQL 인젝션, SSRF, XXE, XSS, IDOR, 인증 우회, 비즈니스 로직 결함, API 보안 문제 등 OWASP 상위 10대 취약점과 그 이상을 식별하고 검증한다. 전체 요약 13문장 읽기 → 014 09:10 ▲ 118 · 댓글 90 AI 안전 경고 배후의 비밀 인터넷 문화 2026년 9월 Anthropic 연구자 Jacob Coxon이 'AI가 10년 내 모두를 죽일 수 있다'는 내용의 사직서를 공개하며 AI 안전 논쟁을 촉발했다. AI · 머신러닝 · Sex, AI, and the Apocalypse
Key Point 현재 AI 안전과 종말론을 주도하는 인물들의 정체와 그들이 속한 인터넷 문화권이 무엇인지 처음 명확히 공개되는 조사 기사로, AI 정책 결정에 영향을 미치는 이 집단의 배경을 이해하는 데 필수적이다.
핵심 요약
2026년 9월 Anthropic 연구자 Jacob Coxon이 'AI가 10년 내 모두를 죽일 수 있다'는 내용의 사직서를 공개하며 AI 안전 논쟁을 촉발했다. Anthropic 정렬 과학 책임자 Evan Hubinger 등 동료들이 즉시 Coxon의 주장에 동의하며 10년 내 인류 멸종 확률을 10% 이상으로 평가했다. AI 안전 경고의 주요 목소리는 rationalist 인터넷 소문화에서 비롯되며, 이 집단의 인물들이 AI 연구소와 안전 기관을 주도하고 있다. 전체 요약 5문장 읽기 → 015 06:10 ▲ 100 · 댓글 54 삼성·샤오미 등 안드로이드 폰 루트 취약점 공개 보안 연구자가 샤오미, 삼성, OPPO, OnePlus, Realme 등 여러 안드로이드 기기를 루팅할 수 있는 일반화된 공격 전략을 공개했다. 보안 · OEMpocalypse: Unprivileged Android app to root on Samsung, Xiaomi, others
Key Point 안드로이드 사용자 수십억 명이 쓰는 주요 기기 브랜드들의 근본적인 권한 상승 취약점이 공개됐으므로, 제조사의 보안 패치 일정과 영향 범위를 확인해야 한다.
핵심 요약
보안 연구자가 샤오미, 삼성, OPPO, OnePlus, Realme 등 여러 안드로이드 기기를 루팅할 수 있는 일반화된 공격 전략을 공개했다. 전략의 핵심은 OEM 제조사 고유의 커널 드라이버에서 Use-After-Free(UAF) 페이지 버그를 이용하고, OEM 맞춤형 샌드박스 탈출로 그 드라이버에 접근하는 것이다. 삼성 갤럭시 S23~S26 시리즈와 Z 시리즈, 샤오미 중저가~플래그십, OPPO·OnePlus·Realme 플래그십 기기들이 영향을 받는다. 전체 요약 5문장 읽기 → 016 21:11 당일 +131 AI 코딩 용어를 쉬운 말로 설명하는 오픈소스 사전 AI 코딩의 난해한 용어들을 일반인도 이해할 수 있도록 평문(plain English)으로 설명하는 오픈소스 저장소다. AI · 머신러닝 · mattpocock/dictionary-of-ai-coding · TypeScript
Key Point AI 개발에서 자주 마주치는 비용 증가, 프롬프트 동작 불안정, 컨텍스트 저하 같은 문제들의 원인을 이해하려면 기본 용어를 알아야 하기 때문이다.
핵심 요약
AI 코딩의 난해한 용어들을 일반인도 이해할 수 있도록 평문(plain English)으로 설명하는 오픈소스 저장소다. 모델, 토큰, 컨텍스트 윈도우, 에이전트, 도구 호출 등 AI 개발의 핵심 개념을 체계적으로 분류하고 정리했다. VC 자금이 난해함을 유지하려는 경제 체계에 대항하며, 기본 용어만 익혀도 AI 코딩의 불확실함이 사라진다는 철학을 담았다. 전체 요약 4문장 읽기 → 017 00:10 ▲ 679 · 댓글 170 DRAM 주소 변환 조작으로 CPU 보안 우회 메모리 컨트롤러의 DRAM 주소 변환 레지스터를 수정해 물리 메모리 주소를 재배선한다. 보안 · Spaghettifying DRAM
Key Point DRAM 계층의 보안 우회 기법을 실증한 구체적인 PoC로, CPU 보안 경계를 넘어서는 저수준 공격 방식을 보여줘 주목받고 있다.
핵심 요약
메모리 컨트롤러의 DRAM 주소 변환 레지스터를 수정해 물리 메모리 주소를 재배선한다. PSP, SMM, C6, 마이크로코드 등 커널도 접근 불가능한 보호된 DRAM 영역을 노출시킨다. AMD Family 16h CPU에서 테스트됐으며, 메모리 컨트롤러 계층의 주소 리맵을 조작하는 단일 비트 플립으로 실행된다. 
