3분 만에 읽는 핵심 브리핑
- FOFA 검색으로 골라낸 인터넷 노출 방화벽 25대 중 24대에 root 웹셸이 심어지고 LDAP 비밀번호 복호화에 AD 백도어 계정 생성까지 마무리된 이번 침해는, 패치 익일부터 악용된 CVSS 9.8 비인증 인젝션과 함께 '연결된 것은 검증 없이 신뢰한다'는 이십 년 묵은 설계 신앙의 부검 결과다.
- 제3자 침해 비중이 한 해 15%에서 30%로 뛰어 사고당 490만 달러를 태우는 와중에도 벤더 자기진단 질문지를 증빙으로 밀어붙이는 조달 관행이 멀쩡히 살아 있고, 에어버스·폭스바겐 등 1,300개 조직이 자격 증명 없는 AI 에이전트 접근을 현장 표준으로 삼는 동안 인증 체계는 여전히 인간만 사용자로 선포한다.
- 인터넷에 노출된 방화벽과 관리 인터페이스부터 전수 축소하고, 11월 10일 연방 조치 시한이 걸린 KEV 등재 Brotli 취약점을 이번 패치 사이클 최상단에 올린 다음, AI 에이전트·MCP 서버의 네트워크 바인딩과 인증 기본값 점검까지 오늘 착수하라.
보안 사고/이슈
공개 하루 만에 스캐너가 도착한다 — 인증 우회 결함이 방화벽 루트부터 AI 에이전트까지 침투 전선을 열었다
취약점 공개 다음 날 스캐너가 도착하는 닷새(10월 23~27일)였고, 침투 경로의 공통 분모는 인증 생략이었다. Oracle이 10월 CPU로 CVE-2026-101767(CVSS 9.8)을 막자 Defused는 10월 27일 Application Object Library의 비인증 HTTP SQL 인젝션을 겨냥한 최초 탐지 시도를 관측했고, CISA는 Brotli 1.0.3~1.2.0 디코더의 out-of-bounds write 결함 CVE-2026-111497을 같은 날 KEV 카탈로그에 올리며 연방 기관에 11월 10일 조치 시한을 통보했다. Previdian 센서는 미국 IP에서 이 취약점의 악용 시도를 confidence confirmed로 평가했고, ELLIO는 공개 PoC를 그대로 재사용한 공격 코드가 50회 테스트에서 단 한 번도 셸을 만들지 못했는데도 이미 실전에 나온 정황을 포착했다. 중국 연계 공격자는 실전에서 먼저 답을 내놨다 — FOFA로 인터넷 노출 방화벽 19,000대를 수집하고 PHP 버전으로 240대를 추린 뒤 10월 23~24일 25대를 공격해 24대에 root 웹셸을 배치했고, reverse SSH 터널로 내부 방화벽 관리 서버에서 모든 관리 방화벽의 구성·자격 증명을 확보한 뒤 LDAP 서비스 계정 비밀번호 복호화와 Active Directory 백도어 계정 생성까지 진행했다. 같은 주에 Cyberdione Labs는 Tailscale SSH의 'Tailworm' 결함 11건에서 hop당 1초 미만으로 서버 간 확산하는 wormable 공격을 입증했고, OpenHands는 도커 실행 시 전 네트워크 인터페이스 바인딩과 인증 비활성화 기본값으로 CVSS 9.8을 받았으며, EPICS Base에는 14.5~31.5년 전부터 존재한 결함 네 건이 있었고 연구자는 TCP 5064·5075 접근만으로 인증·상호작용 없이 네 건을 모두 트리거할 수 있다고 설명했다. 연구 시설 제어 소프트웨어부터 AI 코딩 에이전트까지 스택의 세대와 무관하게 침해 성패는 인증과 경계 검증에서 갈리는데, Consul ACL 우회(CVE-2026-105765)는 토큰 없이 서비스 인증서·개인키를 가져가게 하고 YesWiki Bazar의 SSRF(CVE-2026-116827)는 내부망·클라우드 인증정보로 가는 길을 열며 MCP 툴박스(CVE-2026-93328)는 특정 조건에서 비인증 파일 탈취·덮어쓰기를 허용했다. Broadcom이 SDDC Manager 9.1.1(CVSS 9.8)에 패치를 올리지 못한 채 workaround만 공개한 현실에서 버전 관리 하나만 믿을 수는 없다 — Tailscale이 권고한 불필요한 SSH forwarding 비활성화, 방화벽·관리 인터페이스의 인터넷 노출 축소, AI 에이전트·MCP 서버의 네트워크 바인딩과 인증 기본값·저장소 접근 범위 전수 점검을 이번 주 패치 사이클 최상단에 배치해야 한다.
관련 뉴스:
- securityweek - Tailscale Rushes Patches After Uncoordinated Disclosure of ‘Tailworm’ Flaws
- 데일리시큐 - 하시코프 콘술 접근통제 우회 취약점…서비스 인증서·개인키 노출 위험
- 데일리시큐 - 예스위키 고위험 취약점 공개…내부망·클라우드 인증정보 노출 가능
- 데일리시큐 - 구글 클라우드 AI 연결도구에 치명적 취약점…서버 파일 탈취·변조 가능
- securityweek - CISA Warns of Node2Shell Exploitation as Honeypots Log Attack Attempts
- 데일리시큐 - AI 코딩 에이전트 오픈핸즈에 치명적 취약점…인증 없이 관리자 권한 명령 실행 가능
- securityweek - Long-Hidden Flaws Patched in EPICS Research Facility Control Software
- securityweek - Hackers Start Probing Fresh Oracle EBS Vulnerability
- securityweek - China-Linked Hackers Exploit PHP2Shell to Root Firewalls
금고가 아니라 금고로 향하는 복도가 뚫렸다
최근 사고 5건의 침투 지점을 나열하면 대신증권 투자일임 비대면 계좌 개설 연계서버, 컨버트르가 쓰는 이용 분석 프로그램 플로저블 스크립트, 코펜하겐대 행정시스템 워크존·님버스, 빗썸 사내 모바일 그룹웨어, 텔레그램·위챗 위장 설치 앱까지 핵심 거래·업무 시스템은 한 곳도 없다. 대신증권은 17일 연계서버의 비정상 접근 징후를 잡아 공격 IP와 우회접속 IP를 차단하고 관계기관에 신고했지만 고객 3만8490명의 개인(신용)정보 8개 항목 유출까지는 막지 못했고, 28일 발표에서 2차 피해 정황과 핵심 업무시스템 불법 접근을 확인하지 못했다고 밝혔다. 빗썸은 거래소 서비스와 그룹웨어의 물리적 분리로 가상자산 탈취를 막아냈다. 임직원 개인정보는 이미 그룹웨어에서 빠져나갔고, 사내 메신저 업무용 파일에 회원정보가 들어 있었는지 지금도 분석 중이다. 컨버트르 사고에서 공격자가 건드린 지점은 결제 화면이 아니라 플로저블 스크립트였다. 삽입된 악성코드는 카드번호·유효기간·CVV·카드 소유자 이름·CPF를 외부 서버로 전송했고, 여러 쇼핑몰이 같은 스크립트를 쓰는 구조라 파일 하나의 변조로 다수 결제 페이지가 한꺼번에 공격 범위에 들어갔으며, 산섹이 침입 경로로 의심한 CVE-2026-8467은 서버 기록이 없어 악용 여부를 입증하지 못했다. 코펜하겐대는 52만5천 명 개인정보 노출 위험에 약 2만 명의 출입증 PIN 유출이 겹치고 10월 26일 새 공격까지 이어지자 워크존·님버스를 예방적으로 중단했고, 연구자 오비가 분석한 유크리에이터는 공식 장터 바깥 경로로 설치한 변조 앱에서 텔레그램 2단계 인증 비밀번호와 위챗 계정정보를 수집해 다른 범죄자에게 서비스 형태로 넘긴다. 물리 분리와 IP 차단은 침해 확산과 자산 탈취를 막아도 연결부에 이미 흐르는 개인·결제 데이터의 유출까지는 책임지지 못하고, 유출 항목을 특정해 공개하기 전까지 이용자는 피해 가능성과 보호 조치, 거래소·관계기관 사칭 위험을 판단할 재료가 없다. 비대면 계좌 개설 연계서버와 제3자 분석 스크립트, 사내 그룹웨어와 업무용 메신저까지 관리 대상 자산 목록에 올리고 각 지점의 접근 통제와 스크립트 변조 탐지, 업무용 파일의 데이터 분류 기준을 다시 세워야 한다.
관련 뉴스:
- 데일리시큐 - 텔레그램·위챗 위장 안드로이드 악성코드…메신저 계정·2단계 인증정보 탈취
- 보안뉴스 - 대신증권, 개인(신용)정보 유출 사고
- 데일리시큐 - 브라질 전자상거래 결제 플랫폼 해킹, 고객 카드번호·보안코드 탈취
- 데일리시큐 - 덴마크 코펜하겐대, 개인정보 52만5천 명 유출 이어 또 해킹…행정시스템 긴급 중단
- 데일리시큐 - 빗썸 사내 그룹웨어 해킹…임직원 개인정보 유출, 회원정보도 조사
기술 동향
99개국 냉장고가 인터넷에 걸려 있고, 벤더 신뢰는 질문지 답변 위에 서 있다
공급망 리스크의 절반은 인터넷에 열린 제어 설비에, 나머지 절반은 검증 안 된 서면 선언에 몰려 있다. 포어스카우트 위협연구 조직 베데레 랩스가 전 세계 99개국에서 인터넷에 노출된 냉장·냉동 설비 관련 서비스 12,976건을 식별했고, 인터넷 연결 장비 검색 서비스로 6,017개 공인 IP에 연결된 냉장설비 서비스를 짚어냈다. 프랑스를 강타한 사이버공격이 700개 이상 슈퍼마켓 냉장설비에 영향을 주어 설정 조작과 식품 손실을 유발했고, 이 사례가 온도 제어막 공격이 식품·의약품 공급망의 물리적 품질을 직접 무너뜨릴 수 있음을 현장에서 입증했다. 실사 축에서는 일부 GRC 팀이 한 해 200~300건의 보안 질문지를 처리하면서 자체 벤더에게 보낸 답변을 신뢰 증빙으로 보관하는 구조가 버티고 있고, Verizon 2025년 DBIR은 제3자 관련 침해 비중이 한 해 15%에서 30%로 올랐다고 집계했으며 IBM 2025년 보고서는 제3자·공급망 침해 사고당 약 490만 달러($4.9M)의 비용을 글로벌 평균 위로 잡았다. Target은 2013년 9월 PCI DSS 준수 인증을 받고도 같은 해 12월 4,000만 장 결제카드 유출을 공개했고, NYDFS는 2025년 10월 업계 서한에서 사전 벤더 검증, 리스크 기반 재평가, 독립 감사 보고서 확보를 주문했다. 인증서와 자기 진술이 커버하지 못하는 지점에서 냉장고 온도 조작 사고와 벤더 침해가 하나의 손익계산서를 동시에 두들긴다. 냉장·냉동 제어망의 외부 인터넷 직접 접근을 차단하고 원격관리 계정에 다중인증을 적용하는 동시에, 벤더 질문지 답변을 독립 감사 보고서와 외부 관측 데이터가 뒷받침하는 검증 가능한 증빙으로 갈아엎어야 한다.
관련 뉴스:
- 데일리시큐 - 전 세계 99개국 냉장·냉동 제어시스템 약 1만3천 건 인터넷 노출, 식품·의약품 공급망 보안 비상
- securityweek - Nobody Trusts the Security Questionnaire. We Rely on It Anyway.
유럽 시장의 구매 기준이 준수 서류에서 탐지·격리·복구 성적으로 바뀌었다
EU는 NIS2, DORA, 사이버복원력법(CRA)으로 기업의 보안 의무를 강화하며 사이버보안 경쟁의 기준을 규정 준수에서 탐지·격리·복구 성과 중심으로 옮겼다. 유럽연합이 2023년 제안한 사이버연대법(Cyber Solidarity Act)은 11억 유로 규모 행동예산으로 유럽 사이버 방패, EU 사이버보안 예비군, 공동 원인 분석 체계를 담았다. ENISA는 2023년 유럽 사이버보안 인력 부족 규모를 약 30만 명으로 추산했고 유럽의회는 2026년 1월 클라우드·AI·사이버보안 기술주권 결의안을 471대 68로 채택했다. 인력 공백과 기술주권 의제가 맞물린 유럽 시장은 법적 관할권과 공급망 투명성을 갖춘 검증 가능한 실전 대응 기술을 찾는다. 국내 정보보안 매출은 2024년 7조1244억 원까지 성장했는데 수출 비중은 1.7%에 그쳤다. 20여 년 침해사고 대응 경험을 AI 기반 성능 데이터로 전환해 유럽 공급망 투명성 요건을 통과하는 증빙 체계를 먼저 세워야 한다.
관련 뉴스:
- 보안뉴스 - [김혁준의 실전형 K-시큐리티] 해외 진출, 지금이 적기다... ‘유럽’ 시장 노려야
기업·투자·행사
AI가 취약점 찾는 속도에 패치가 못 미친다 — 돈과 인력은 이미 탐지·대응으로 이동했다
AI가 취약점을 찾아내는 속도가 공급망에 퍼진 버그를 패치로 따라잡는 속도를 앞질렀다는 진단이 3분기 실적 수치와 11월 채용 공고 목록에서 현실로 나타났다. 샘 올트먼 오픈AI CEO는 오라클 AI 월드 2026에서 기업이 AI로 해야 할 최우선 과제로 AI발 보안 위협의 이해와 차단을 꼽고, 공급망에 퍼진 버그의 패치 한계를 지적하며 트래픽 상시 감시 서비스를 언급했으며, 클레이 마고요크 오라클 CEO는 AI가 지난 50년간 축적된 문제를 찾아낸다는 진단과 함께 AI 시큐리티 메시를 통한 대응 자동화를 제시했다. 안랩 3분기 잠정 공시가 이 수요를 숫자로 옮겨 놓았다 — 연결 매출 795억원(전년 동기 대비 23.1% 증가), 영업이익 109억원(38.7% 증가)에 네트워크 보안 사업 매출은 세 자릿수 성장률을 기록했고 EDR과 MDR이 기업의 위협 탐지·대응 역량 강화 수요를 받아 실적 확대를 이끌었으며 해외 사업도 두 자릿수 성장을 달성했다. 채용 공고도 같은 방향을 가리킨다 — 엘세븐시큐리티가 AI 사업부 엔지니어를, 이스트시큐리티가 경력 5년 이상의 윈도우 패치 수집·배포 시스템 및 패치 관리 모듈 개발자를, 슈프리마가 경력 3년 이상의 풀스택 SW 엔지니어를 찾는다. 이 흐름 속에서 내년 예산 편성과 인력 계획은 패치 적용률 관리보다 EDR·MDR 같은 운영형 서비스와 내부 탐지·대응 역량을 상위 항목으로 올려 잡아야 한다. 트래픽 상시 감시 체계와 EDR·MDL 운영, 패치 수집·배포 자동화를 하나의 방어 파이프라인으로 묶는 아키텍처 재설계에 내년 예산의 무게중심을 실어야 한다.
관련 뉴스:
- 보안뉴스 - 2026년 11월, 보안업계 어떤 인재 찾고 있나?
- 정보통신신문 - 안랩, 3분기 영업익 38.7% 증가…AI 보안 성장세
- 디지털데일리 - 샘 올트먼, "당장 기업이 AI로 할 일은 보안 위협 대비" [오라클AI월드]
시크릿 관리에 6억 달러, 총판 넷 — 자본과 유통망이 AI 에이전트 운영 계층으로 몰린다
보안 시장의 판돈과 파이프라인이 AI 에이전트의 자격 증명 문제와 국내 지능형 보안 유통을 동시에 겨냥해 움직인다. Infisical이 4,000만 달러 Series B를 유치하며 기업가치 6억 달러를 평가받았고, 누적 조달액은 약 6,000만 달러에 도달했다. 이 회사 제품은 시크릿, 암호화 키, 디지털 인증서 관리와 PAM 기능을 클라우드·온프레미스·AI 인프라에서 통합해 제공하며 Airbus, Volkswagen, Hugging Face, Wise를 포함한 1,300개 이상 조직이 사용하고, Agent Vault는 AI 에이전트가 실제 자격 증명 없이 민감 시스템에 접근하게 지원하면서 모든 요청을 기록한다. 엑시스커뮤니케이션즈는 에스비정보기술을 믹스폴, 아이넷뱅크, 웨스코애닉스터코리아에 이어 네 번째 공식 총판으로 영입했고, 2014년 출범해 네트워크 인프라 구축·소프트웨어 개발·SI·보안 컨설팅을 해온 이 파트너와 국내 지능형 보안 솔루션 공급망을 넓힌다. 에이전트가 실제 암호나 API 키를 직접 소지하지 않는 운영 방식이 1,300개 조직 규모로 현장에 퍼졌고, 국내 조직 역시 네트워크 비디오 제품과 산업별 맞춤형 보안 솔루션을 연결하는 유통 경로를 네 곳 체제에서 선택할 폭이 넓어졌다. AI 에이전트에 실제 자격 증명을 그대로 쥐여주는 구간부터 전수 조사해 프록시 주입과 요청 단위 로깅으로 자격 증명 통제를 재설계해야 한다.
관련 뉴스:
- 보안뉴스 - 엑시스, 에스비정보기술과 총판 계약... 국내 지능형 보안 시장 공략 가속
- securityweek - Secrets Management Firm Infisical Valued at $600 Million After $40 Million Raise
기업 솔루션 및 기술
PHP2Shell 대응, 승부처는 업데이트 속도가 아니라 패치 전 노출 시간이다
PHP2Shell(CVE-2026-109618·CVE-2026-109619)이 관리자 인증 없이 조작된 HTTP 요청 한 번으로 웹 서버에서 임의 코드를 실행하는 구조인 만큼, 대응의 관심은 업데이트 완료 시점이 아니라 패치 적용 전 공백을 얼마나 짧게 끊느냐에 모인다. KISA 등 당국이 신속한 보안 업데이트를 권고했지만 공식 지원이 끝난 PHP 버전과 애플리케이션 호환성 탓에 레거시 환경은 서비스 장애와 검증 부담을 이유로 즉시 판올림에 나서지 못한다. SGA솔루션즈가 vAegis Host IPS와 RedCastle의 OS 커널 통제 기능을 결합한 가상패치로 이 공격을 무력화하는 긴급 지원에 1개월 무상 제공을 붙였고, 이스트시큐리티는 로컬·원격·컨테이너·이미지 4가지 방식을 지원하는 점검 스캐너를 무료로 풀며 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 이상 판올림을 권고했다. PHP 런타임 자체의 RCE라 특정 웹 애플리케이션 경계를 넘어 컨테이너와 이미지 안의 PHP 자산까지 공격 표면으로 확장하는 탓에 점검 범위는 호스트 한 대로 닫히지 않는다. 스캐너로 호스트·컨테이너·이미지를 통틀어 취약 PHP 형태를 먼저 짚어내고, 판올림 검증이 끝나는 구간까지 Host IPS와 커널 통제 기반의 가상패치가 공백을 메우는 이중 구조로 패치 전 기간을 통제해야 한다.
관련 뉴스:
- 보안뉴스 - SGA솔루션즈, 'PHP2Shell' 서버 침투 막는 '가상패치' 긴급 지원
- 보안뉴스 - “조작된 HTTP 요청 위협”... 이스트시큐리티, ‘PHP2Shell’ 스캐너 배포
카메라에 규정 준수를, AI 에이전트에 고유 신원을 — 통제의 단위가 '개별 주체'로 내려왔다
기업 보안의 통제 단위가 사람 계정을 넘어 카메라 단말과 AI 에이전트 하나하나로 내려오고 있다. 시놀로지는 AI 카메라 FC600과 BC800Z를 국내에 출시했는데, FC600은 6MP 피시아이 카메라로 360도 전방위 모니터링에 사람·침입·오디오 감지 분석을 단말 안에서 처리하고 BC800Z는 8MP 4K 가변 초점 불릿 카메라로 연기 감지, 사람·차량 계수, 자동 추적, 한국 번호판 인식까지 수행하며, 시놀로지는 두 제품을 서베일런스 스테이션으로 통합 관리하고 HTTPS·SRTP 암호화 통신과 ONVIF 표준, NDAA 규정 준수 기능을 제공한다. 클레이 마고요크 오라클 CEO는 오라클 AI 월드 2026 기조연설에서 AI 에이전트에 별도 신원을 부여해 최소 권한과 생체인증을 결합한 보안 전략을 공개했고, 오라클 AI 시큐리티 메시가 기업 시스템의 취약점을 찾으면 코딩 에이전트가 API를 수정하고 배포까지 수행하며 앱 컴포저는 직원이 만든 AI 앱의 보안·데이터 규칙을 점검한 뒤 오라클 클라우드에 배포하고 관리한다. 오픈AI와 파트너십으로 개발한 AI 워크스페이스는 오라클 DB, OCI, 퓨전·넷스위트, 슬랙, 오피스365, 사내 위키 데이터를 한 화면에서 처리하고, 오라클은 AI 활용으로 고객 지원 요청 평균 처리 시간을 3시간 30분에서 16분으로, 제품 아이디어의 서비스 출현 기간을 9개월 넘게에서 6주로 줄였다고 밝혔다. 자동화된 업무 주체가 이만큼 빨라진 조직에서는 사람 계정 남용 방지와 행위 추적이 당장의 실무 과제로 내려앉았고, 취약점 수정과 앱 배포까지 AI가 관여하는 구조에서 통제 범위는 코드와 API, 사내 앱의 생애주기 검증·추적으로 넓어졌다. 카메라 조달 기준에는 HTTPS·SRTP 암호화와 ONVIF 표준, NDAA 준수를 반영해 단말 인벤토리를 다시 짜는 동시에, 코딩·업무 에이전트마다 고유 신원과 최소 권한·적시 접근을 부여하고 직원 제작 AI 앱은 보안·데이터 규칙 점검 게이트를 통과한 뒤에만 배포하는 절차를 아이덴티티·배포 파이프라인에 묶어 세워야 한다.
관련 뉴스:
- 보안뉴스 - 시놀로지, AI 카메라 FC600·BC800Z 국내 출시하며 지능형 영상보안 라인업 확대
- 디지털데일리 - [오라클 AI 월드] AI 에이전트 신원과 AI 워크스페이스 공개
Security Desk 노트
방화벽이라는 경계의 상징이 FOFA 검색으로 골라낸 인터넷 노출 25대 중 24대에 root 웹셸을 품은 장면은 뉴스가 아니라 방어 체계의 부검 결과다. 패치 다음 날 이미 악용된 CVSS 9.8짜리 비인증 인젝션, 비대면 계좌 연계서버로 새어나간 고객 3만8490명 정보, 단 하나의 제3자 스크립트 오염으로 여러 쇼핑몰 결제 페이지를 동시에 잡은 카드·CVV 유출, 99개국에 인증 없이 내걸린 1만2976건의 냉장 제어 서비스까지, 이질적인 표면 아래 동일한 균열—연결된 것은 검증 없이 신뢰해도 된다는 이십 년 묵은 설계 신앙—이 관통한다. 그 신앙은 제3자 침해 비중이 15%에서 30%로 뛰어 사고당 490만 달러를 태우는 동안에도 벤더 자기진단 질문지를 증빙으로 밀어붙이는 조달 관행 속에서, 그리고 통제 단위가 사람 계정에서 에이전트와 카메라 단말로 내려앉은 마당에도 API 키를 AI 에이전트에 맨손으로 쥐여주는 관성 속에서 멀쩡히 생존해 있으니, 1,300개 조직이 자격 증명 없는 기록형 접근을 현장 표준으로 삼는 동안 정작 인증 체계는 여전히 인간만 사용자로 선포하고 있는 꼴이다. EU는 구매 기준을 준수 서류에서 탐지·격리·복구 성적으로 갈아엎고 패치 속도를 앞지는 AI 탐지 시대에 시장의 돈은 EDR·MDR로 흐르는데도 국내 보안 산업이 7조1244억 원 매출에 수출 1.7%로 20년 경험을 팔 만한 성적표로 환치환하지 못하는 현실에서, 연결부마다 인증과 검증을 다는 일을 다음 사이클로 미루는 조직은 다음 부검 대상을 자원하는 중이다.
📢 SecurityDesk 인사이트 운영 정책
최신 보안 동향을 생성형 AI 기술의 도움을 받아 독자적인 분석을 통해 인사이트가 제공됩니다.
기사 제목과 링크는 정보 공유의 목적으로 인용되었으며, 기사 원문에 대한 저작권은 각 언론사에 있습니다. 상세 내용은 반드시 [관련 뉴스] 링크를 통해 원문 기사에서 확인하시기 바랍니다.