Fastjson 1.x RCE, 패치가 아니라 이관이 답인 이유

2026. 7. 26. 21:32

이미지 출처: The Hacker News사내 자산 목록을 훑다가 fastjson 1.2.x 문자열을 발견하는 순간이 있다. 몇 년 전에 만든 정산 API, 아무도 손대지 않아서 잘 돌아가던 그 모듈이다. 이번에 문제가 된 Fastjson 1.x 역직렬화 RCE는 정확히 그런 코드를 노린다. 그리고 이 취약점의 진짜 곤란한 지점은 심각도가 아니라, 올려 붙일 패치 버전이 존재하지 않는다는 것이다.핵심 요약Fastjson 1.x의 autoType 계열 역직렬화 결함이 실제 공격에 쓰이고 있으나, 1.x 라인은 이미 수명이 끝나 보안 패치가 제공되지 않음당장의 대응은 safeMode 강제, JNDI 원격 코드베이스 차단, 아웃바운드 이그레스 통제 세 가지가 핵심탐지는 요청 본문의 타입 지정 키와 자바 프로세..

도면 서버가 먼저 뚫렸다 — Cl0p이 노린 Windchill·FlexPLM, 방어자 체크리스트

2026. 7. 25. 21:31

이미지 출처: The Hacker News제조사의 네트워크 다이어그램을 그려보면 재미있는 게 하나 보임. ERP, 그룹웨어, VPN 게이트웨이는 다들 신경 써서 이중화하고 로그도 붙여두는데, 정작 제품 설계 데이터가 통째로 들어 있는 PLM 서버는 "협력사가 접속해야 하니까"라는 이유로 인터넷에 열려 있고, 담당자는 IT팀이 아니라 설계팀인 경우가 많음. Cl0p 계열 공격자들이 PTC Windchill과 FlexPLM을 겨냥하고 있다는 이야기가 나왔을 때, 개인적으로 제일 먼저 떠오른 게 이 그림이었음.핵심 요약Cl0p 제휴 조직이 인터넷에 노출된 PTC Windchill·FlexPLM을 표적으로 삼아, 인증 없이 원격 코드 실행이 가능한 결함을 악용하는 정황이 보고됨.이 계열의 전형적 목표는 암호화가..

지켜보기만 하다 놓친 손 — AI 에이전트가 '할 수 있는 일'을 좁히는 방어 설계

2026. 7. 24. 21:31

이미지 출처: The Hacker News한 금융권 보안팀이 사내에 붙인 AI 에이전트 대시보드를 자랑스레 보여준 적이 있다. 어떤 에이전트가 언제 켜졌고, 무슨 API를 몇 번 호출했는지 실시간으로 그래프가 흘렀다. 그런데 내가 물었다. "저 에이전트가 지금 당장 고객 DB 전체를 덤프하려 들면, 저 화면이 그걸 막나요?" 잠깐 침묵이 흘렀다. 답은 "아니요, 보이기만 해요"였다. 문제의 핵심이 바로 여기다. 보는 것(visibility)과 막는 것(enforcement)은 완전히 다른 이야기라는 것.핵심 요약AI 에이전트는 사람보다 빠르고 자율적으로 행동하므로, 로그를 '지켜보는' 방식만으로는 사고를 사후에 확인할 뿐 차단하지 못함.에이전트는 사실상 하나의 신원(non-human identity)이므..

제로데이를 찾아낸 건 연구원이 아니라 에이전트였다 — Redis RCE, 방어자는 어디를 봐야 하나

2026. 7. 24. 19:01

이미지 출처: The Hacker News보안 뉴스 한 줄이 눈에 오래 남는 날이 있음. 이번엔 사람이 밤새 퍼징을 돌려 찾아낸 결함이 아니라, AI 에이전트가 스스로 Redis의 미공개 취약점(제로데이)을 짚어내고, 거기에 얹어 원격 코드 실행(RCE)까지 이어지는 익스플로잇을 조립했다는 연구 보고였음. 도구가 코드를 읽고, 가설을 세우고, 검증까지 반복하는 루프를 사람 손 없이 돌렸다는 대목에서 잠깐 멈칫하게 됨. 공격이 자동화되는 속도가 한 단계 더 빨라졌다는 신호이기 때문임.핵심 요약AI 에이전트가 Redis의 제로데이를 자율적으로 발굴하고 RCE 익스플로잇까지 구성했다는 연구가 공개됨.핵심은 특정 CVE 하나가 아니라, 취약점 발견-무기화 사이의 시간이 급격히 짧아진다는 점임.방어자는 노출 최소..

방화벽을 지키던 콘솔이 먼저 열렸다 — 공격에 악용된 SmartConsole 제로데이, 탐지·완화 우선순위

2026. 7. 23. 21:31

이미지 출처: BleepingComputer방화벽 정책을 손보려고 SmartConsole을 켜는 건 관리자에게 하루의 시작 같은 일임. 규칙 하나 바꾸고, 로그 몇 줄 넘겨보고, 배포 버튼을 누르는 익숙한 화면. 그런데 그 익숙한 관리 화면 자체가 공격의 입구가 됐다는 소식이 들려왔음. Check Point가 실제 공격에 악용되던 SmartConsole 제로데이를 급히 패치했다고 밝혔고, "경계선을 지키는 도구가 먼저 뚫린다"는, 방어자 입장에선 가장 껄끄러운 시나리오가 또 한 번 현실이 된 셈임.핵심 요약방화벽 관리 클라이언트인 SmartConsole의 제로데이가 실제 공격에 쓰였고, Check Point가 긴급 패치를 배포함.관리 평면(management plane)이 뚫리면 정책·로그·인증이 한꺼번..

CVE-2026-50522, SharePoint 역직렬화 결함을 EDR 로그에서 먼저 잡아내기

2026. 7. 23. 19:02

이미지 출처: CISA KEV사내 문서, 결재 양식, 부서 포털, 협업 위키까지 — 규모 있는 조직에서 SharePoint는 대개 '없어서는 안 되는' 자리에 앉아 있음. 그만큼 인증된 사용자가 서버로 보내는 데이터의 종류도 많고, 그중에는 사람이 읽으라고 만든 게 아니라 서버끼리 주고받는 직렬화된 객체도 섞여 있음. CVE-2026-50522는 바로 그 지점, 즉 '신뢰하지 않은 데이터를 서버가 되살리는 과정'에서 벌어지는 문제임.핵심 요약CVE-2026-50522는 신뢰되지 않은 데이터의 역직렬화(CWE-502) 계열 결함으로, 조작된 직렬화 객체가 SharePoint 서버에서의 코드 실행으로 이어질 수 있음.가장 확실한 방어는 벤더 패치 적용이고, 탐지 관점의 핵심은 SharePoint 앱풀 프로세..

정책을 쥔 손을 위조하다: Check Point SmartConsole 인증 결함 CVE-2026-16232 탐지·완화 가이드

2026. 7. 23. 13:01

이미지 출처: CISA KEV방화벽 그 자체보다 무서운 건, 그 방화벽에게 "무엇을 허용하고 무엇을 막을지" 지시하는 손이다. Check Point 환경에서 그 손이 바로 SmartConsole임. 관리자가 SmartConsole을 열어 관리 서버(Security Management Server)에 접속하면, 조직 전체 게이트웨이의 정책·규칙·객체가 한 화면 안에서 편집됨. 그런데 이 접속 과정에서 상대가 정말 정당한 관리자인지 제대로 확인하지 못하는 결함이 이번 CVE-2026-16232의 핵심임. 이름 그대로 Improper Authentication, 즉 인증을 '느슨하게' 처리한 지점이 문제라는 뜻.핵심 요약SmartConsole이 관리 서버 접속 시 신원 검증을 제대로 하지 않아, 정당한 관리자..

관리자 페이지 요청 하나로 공유기가 넘어가는 순간, DD-WRT 스택 오버플로 CVE-2021-27137 방어 관점 정리

2026. 7. 22. 21:32

이미지 출처: CISA KEV사무실 구석이나 창고 랙 위, 초록 불빛을 깜빡이며 몇 년째 조용히 돌아가는 공유기 한 대. 대부분의 사람에게 그건 '한 번 설정하고 잊는 물건'입니다. 그런데 공격자에게 그 상자는 회사 안팎을 잇는 관문이자, 한 번 잡으면 트래픽을 훔쳐보고 내부로 발을 들이는 발판이 되죠. 오늘 볼 CVE-2021-27137은 오픈소스 라우터 펌웨어인 DD-WRT에서 보고된 스택 기반 버퍼 오버플로 취약점입니다. 화려한 제로데이 이야기는 아니지만, '방어자가 임베디드 장비를 어떻게 바라봐야 하는가'를 연습하기에 이만한 교보재가 없다고 생각합니다.핵심 요약DD-WRT의 웹 관리 인터페이스가 입력값을 고정 크기 스택 버퍼로 복사하는 과정에서 경계 검사가 부족해 스택 오버플로가 발생하는 결함임...

Langflow는 '어디서 온 기능'까지 믿는가 — CVE-2026-0770이 드러낸 신뢰 경계의 균열

2026. 7. 22. 19:02

이미지 출처: CISA KEV노코드로 LLM 파이프라인을 조립하는 도구를 처음 써 보면 신기함이 앞선다. 블록 몇 개를 선으로 잇고 '실행'을 누르면 프롬프트가 오가고 결과가 뜨니, 마치 레고로 AI를 짓는 기분이 든다. 그런데 그 편리함의 뒤편에는 늘 같은 질문이 숨어 있음. 지금 이 플랫폼이 실행하는 코드와 기능은, 정말로 내가 신뢰하기로 한 곳에서만 왔는가? CVE-2026-0770은 바로 그 지점을 건드린다.핵심 요약CVE-2026-0770은 Langflow에서 신뢰할 수 없는 통제 영역의 기능을 끌어다 실행하는 결함(CWE-829 계열)으로 분류됨.노코드 AI 빌더 특성상 외부에서 주입된 구성·컴포넌트가 서버 측 실행으로 이어질 수 있어, 파급이 단순 버그를 넘어섬.방어는 '패치 적용 + 네트워..

같은 문자열을 서버와 브라우저가 다르게 읽을 때 — WordPress 코어 해석 충돌 CVE-2026-63030 방어 노트

2026. 7. 22. 13:01

이미지 출처: CISA KEV보안 사고 분석을 하다 보면 "분명히 입력값 검사를 통과했는데 왜 터졌지?" 하는 순간이 온다. 대개 원인은 하나다. 검사하는 쪽과 실행하는 쪽이 같은 데이터를 서로 다르게 해석했기 때문이다. 이번에 정리하는 WordPress 코어의 CVE-2026-63030도 정확히 그 계열, 이른바 '해석 충돌(Interpretation Conflict)' 유형에 속한다. 한쪽은 안전하다고 판단해 흘려보내고, 다른 한쪽은 그 문자열을 명령이나 태그로 받아들이는 어긋남 말이다.핵심 요약CVE-2026-63030은 WordPress 코어에서 입력값을 검증하는 계층과 실제로 처리·출력하는 계층이 동일 문자열을 다르게 해석하면서 필터를 우회하게 되는 해석 충돌 결함이다.공격의 핵심은 새 페이로드..

전 세계 사이트 열에 넷이 굴리는 엔진, 그 밑바닥 쿼리에서 샌 CVE-2026-60137

2026. 7. 22. 08:01

이미지 출처: CISA KEV워드프레스는 지금 이 순간에도 전 세계 웹사이트의 대략 40% 넘게를 떠받치고 있음. 그만큼 코어(core) 자체에서 SQL 인젝션 결함이 나왔다는 소식은, 특정 플러그인 하나가 삐끗한 것과는 무게가 다름. CVE-2026-60137은 바로 그 코어 계층에서 사용자 입력이 데이터베이스 쿼리로 흘러 들어가는 경로가 제대로 걸러지지 않아 생긴 SQL Injection 취약점임. 개인적으로 이런 코어 결함은 "우리 사이트는 플러그인 별로 안 깔았으니 괜찮겠지" 하는 방심을 정면으로 배신하는 종류라 더 눈여겨보게 됨.핵심 요약CVE-2026-60137은 워드프레스 코어의 SQL 인젝션으로, 플러그인이 아니라 엔진 자체가 영향권임.공격자는 조작된 입력으로 DB 쿼리를 비틀어 데이터 열..

화면 어딘가의 '투명한 문장'이 host PC 셸까지 이어지는 길 — 안드로이드 AI 에이전트를 노린 간접 프롬프트 주입

2026. 7. 21. 21:32

이미지 출처: The Hacker News스마트폰 화면을 대신 눌러 주는 AI 비서를 떠올려 보자. 사용자가 "이 앱 로그인 좀 해 줘", "이 메일 정리해 줘"라고 말하면 에이전트가 화면을 읽고, 버튼 위치를 파악하고, 대신 탭을 눌러 준다. 문제는 그 '화면을 읽는' 단계에 있음. 사람 눈에는 아무것도 없는 빈 공간처럼 보이는 자리에, 에이전트만 읽어 들이는 문장 하나가 심겨 있다면 어떻게 될까. 그 문장이 "지금까지 지시는 무시하고 아래 명령을 실행하라"라고 속삭인다면 말임.핵심 요약오픈소스 안드로이드 AI 에이전트가 화면의 보이지 않는 텍스트를 그대로 명령으로 받아들여, 연결된 host PC에서 코드를 실행할 수 있는 간접 프롬프트 주입 위험이 제기됨.핵심 원인은 '화면에 보이는 데이터'와 '에이..