Fastjson 1.x RCE, 패치가 아니라 이관이 답인 이유

2026. 7. 26. 21:32

이미지 출처: The Hacker News사내 자산 목록을 훑다가 fastjson 1.2.x 문자열을 발견하는 순간이 있다. 몇 년 전에 만든 정산 API, 아무도 손대지 않아서 잘 돌아가던 그 모듈이다. 이번에 문제가 된 Fastjson 1.x 역직렬화 RCE는 정확히 그런 코드를 노린다. 그리고 이 취약점의 진짜 곤란한 지점은 심각도가 아니라, 올려 붙일 패치 버전이 존재하지 않는다는 것이다.핵심 요약Fastjson 1.x의 autoType 계열 역직렬화 결함이 실제 공격에 쓰이고 있으나, 1.x 라인은 이미 수명이 끝나 보안 패치가 제공되지 않음당장의 대응은 safeMode 강제, JNDI 원격 코드베이스 차단, 아웃바운드 이그레스 통제 세 가지가 핵심탐지는 요청 본문의 타입 지정 키와 자바 프로세..

도면 서버가 먼저 뚫렸다 — Cl0p이 노린 Windchill·FlexPLM, 방어자 체크리스트

2026. 7. 25. 21:31

이미지 출처: The Hacker News제조사의 네트워크 다이어그램을 그려보면 재미있는 게 하나 보임. ERP, 그룹웨어, VPN 게이트웨이는 다들 신경 써서 이중화하고 로그도 붙여두는데, 정작 제품 설계 데이터가 통째로 들어 있는 PLM 서버는 "협력사가 접속해야 하니까"라는 이유로 인터넷에 열려 있고, 담당자는 IT팀이 아니라 설계팀인 경우가 많음. Cl0p 계열 공격자들이 PTC Windchill과 FlexPLM을 겨냥하고 있다는 이야기가 나왔을 때, 개인적으로 제일 먼저 떠오른 게 이 그림이었음.핵심 요약Cl0p 제휴 조직이 인터넷에 노출된 PTC Windchill·FlexPLM을 표적으로 삼아, 인증 없이 원격 코드 실행이 가능한 결함을 악용하는 정황이 보고됨.이 계열의 전형적 목표는 암호화가..

제로데이를 찾아낸 건 연구원이 아니라 에이전트였다 — Redis RCE, 방어자는 어디를 봐야 하나

2026. 7. 24. 19:01

이미지 출처: The Hacker News보안 뉴스 한 줄이 눈에 오래 남는 날이 있음. 이번엔 사람이 밤새 퍼징을 돌려 찾아낸 결함이 아니라, AI 에이전트가 스스로 Redis의 미공개 취약점(제로데이)을 짚어내고, 거기에 얹어 원격 코드 실행(RCE)까지 이어지는 익스플로잇을 조립했다는 연구 보고였음. 도구가 코드를 읽고, 가설을 세우고, 검증까지 반복하는 루프를 사람 손 없이 돌렸다는 대목에서 잠깐 멈칫하게 됨. 공격이 자동화되는 속도가 한 단계 더 빨라졌다는 신호이기 때문임.핵심 요약AI 에이전트가 Redis의 제로데이를 자율적으로 발굴하고 RCE 익스플로잇까지 구성했다는 연구가 공개됨.핵심은 특정 CVE 하나가 아니라, 취약점 발견-무기화 사이의 시간이 급격히 짧아진다는 점임.방어자는 노출 최소..

CVE-2026-50522, SharePoint 역직렬화 결함을 EDR 로그에서 먼저 잡아내기

2026. 7. 23. 19:02

이미지 출처: CISA KEV사내 문서, 결재 양식, 부서 포털, 협업 위키까지 — 규모 있는 조직에서 SharePoint는 대개 '없어서는 안 되는' 자리에 앉아 있음. 그만큼 인증된 사용자가 서버로 보내는 데이터의 종류도 많고, 그중에는 사람이 읽으라고 만든 게 아니라 서버끼리 주고받는 직렬화된 객체도 섞여 있음. CVE-2026-50522는 바로 그 지점, 즉 '신뢰하지 않은 데이터를 서버가 되살리는 과정'에서 벌어지는 문제임.핵심 요약CVE-2026-50522는 신뢰되지 않은 데이터의 역직렬화(CWE-502) 계열 결함으로, 조작된 직렬화 객체가 SharePoint 서버에서의 코드 실행으로 이어질 수 있음.가장 확실한 방어는 벤더 패치 적용이고, 탐지 관점의 핵심은 SharePoint 앱풀 프로세..

정책을 쥔 손을 위조하다: Check Point SmartConsole 인증 결함 CVE-2026-16232 탐지·완화 가이드

2026. 7. 23. 13:01

이미지 출처: CISA KEV방화벽 그 자체보다 무서운 건, 그 방화벽에게 "무엇을 허용하고 무엇을 막을지" 지시하는 손이다. Check Point 환경에서 그 손이 바로 SmartConsole임. 관리자가 SmartConsole을 열어 관리 서버(Security Management Server)에 접속하면, 조직 전체 게이트웨이의 정책·규칙·객체가 한 화면 안에서 편집됨. 그런데 이 접속 과정에서 상대가 정말 정당한 관리자인지 제대로 확인하지 못하는 결함이 이번 CVE-2026-16232의 핵심임. 이름 그대로 Improper Authentication, 즉 인증을 '느슨하게' 처리한 지점이 문제라는 뜻.핵심 요약SmartConsole이 관리 서버 접속 시 신원 검증을 제대로 하지 않아, 정당한 관리자..

관리자 페이지 요청 하나로 공유기가 넘어가는 순간, DD-WRT 스택 오버플로 CVE-2021-27137 방어 관점 정리

2026. 7. 22. 21:32

이미지 출처: CISA KEV사무실 구석이나 창고 랙 위, 초록 불빛을 깜빡이며 몇 년째 조용히 돌아가는 공유기 한 대. 대부분의 사람에게 그건 '한 번 설정하고 잊는 물건'입니다. 그런데 공격자에게 그 상자는 회사 안팎을 잇는 관문이자, 한 번 잡으면 트래픽을 훔쳐보고 내부로 발을 들이는 발판이 되죠. 오늘 볼 CVE-2021-27137은 오픈소스 라우터 펌웨어인 DD-WRT에서 보고된 스택 기반 버퍼 오버플로 취약점입니다. 화려한 제로데이 이야기는 아니지만, '방어자가 임베디드 장비를 어떻게 바라봐야 하는가'를 연습하기에 이만한 교보재가 없다고 생각합니다.핵심 요약DD-WRT의 웹 관리 인터페이스가 입력값을 고정 크기 스택 버퍼로 복사하는 과정에서 경계 검사가 부족해 스택 오버플로가 발생하는 결함임...

Langflow는 '어디서 온 기능'까지 믿는가 — CVE-2026-0770이 드러낸 신뢰 경계의 균열

2026. 7. 22. 19:02

이미지 출처: CISA KEV노코드로 LLM 파이프라인을 조립하는 도구를 처음 써 보면 신기함이 앞선다. 블록 몇 개를 선으로 잇고 '실행'을 누르면 프롬프트가 오가고 결과가 뜨니, 마치 레고로 AI를 짓는 기분이 든다. 그런데 그 편리함의 뒤편에는 늘 같은 질문이 숨어 있음. 지금 이 플랫폼이 실행하는 코드와 기능은, 정말로 내가 신뢰하기로 한 곳에서만 왔는가? CVE-2026-0770은 바로 그 지점을 건드린다.핵심 요약CVE-2026-0770은 Langflow에서 신뢰할 수 없는 통제 영역의 기능을 끌어다 실행하는 결함(CWE-829 계열)으로 분류됨.노코드 AI 빌더 특성상 외부에서 주입된 구성·컴포넌트가 서버 측 실행으로 이어질 수 있어, 파급이 단순 버그를 넘어섬.방어는 '패치 적용 + 네트워..

로그인 창을 지나치기도 전에 코드가 돌아간다 — ServiceNow AI 플랫폼 무인증 코드 실행 파헤치기

2026. 7. 21. 19:01

이미지 출처: The Hacker News사내 포털에서 "휴가 신청 어떻게 하나요"를 AI 비서에게 물어보는 장면을 떠올려 보자. 직원은 그저 문장을 던졌을 뿐인데, 그 문장이 서버 깊은 곳에서 인증 절차를 건너뛴 채 코드로 실행된다면 어떨까. 이번에 공개된 ServiceNow AI 플랫폼(Now Assist 계열) 결함이 딱 그런 그림이다. 로그인 화면 앞에 서 보기도 전에, 바깥에서 던진 요청 하나가 내부 실행 경로로 새어 들어간다.핵심 요약ServiceNow AI 플랫폼에서 인증 없이도(unauthenticated) 원격 코드 실행이 가능한 심각도 높은 결함이 확인됨.사람이 입력한 자연어를 처리하는 AI 워크플로가 신뢰 경계 밖 입력을 그대로 실행 경로에 흘려보내는 것이 뿌리.공격 재현보다 중요한 ..

한 주 동안 워드프레스·SonicWall·SharePoint가 동시에 뚫린 이유 — 방어자가 챙겨야 할 우선순위 정리

2026. 7. 21. 08:01

이미지 출처: The Hacker News보안 담당자의 월요일 아침은 대개 밀린 취약점 공지를 여는 일로 시작함. 그런데 이번 주는 유독 무거웠음. 워드프레스 플러그인에서 원격 코드 실행이 터졌고, SonicWall 장비에서는 아직 패치가 준비되기도 전에 공격이 관측되는 제로데이가 나왔으며, 마이크로소프트 SharePoint에서도 실전 악용이 확인된 결함이 보고됐음. 여기에 요즘 급격히 늘어난 AI 서비스 자체를 겨냥한 공격까지 겹쳤음. 개별 사건을 따로 보면 각각 무섭지만, 방어자 입장에서 진짜 중요한 건 "이 많은 불 중 어디부터 끌 것인가"임.핵심 요약워드프레스 플러그인 RCE, SonicWall 제로데이, SharePoint 악용 결함이 한 주에 몰림 — 공통점은 '외부에서 바로 닿는 경계면'.패..

판정 장비의 관리 요청 한 줄이 운영체제로 새어 나가는 길 — FortiSandbox 명령 주입 CVE-2026-39808 점검 노트

2026. 7. 17. 21:32

이미지 출처: CISA KEV보안팀 랙 한 켠에는 하루에도 수천 개의 의심 파일을 열어보고 "이거 악성입니다" 판정을 내려주는 장비가 조용히 돌아간다. FortiSandbox가 그런 역할을 한다. 그런데 이번에 공개된 CVE-2026-39808은 바로 그 판정 장비 자신의 관리 기능을 겨눈다. 파일을 검사하러 들어온 값이 아니라, 장비를 운영하려고 넣은 명령 한 줄이 엉뚱하게 운영체제 명령으로 흘러가는 구조라는 점에서 결이 조금 다르다.핵심 요약CVE-2026-39808은 FortiSandbox OS의 명령 주입(OS Command Injection) 계열 결함으로, 특정 입력이 시스템 명령에 그대로 실려 실행될 수 있음.샌드박스는 악성코드 분석의 '최종 판정자'라, 이 장비가 뚫리면 탐지 신뢰 자체가 ..

악성코드를 해부하는 장비가 정작 자기 셸을 내주는 자리 — FortiSandbox 명령 주입 CVE-2026-25089

2026. 7. 17. 19:02

이미지 출처: CISA KEV운영 현장에서 FortiSandbox는 좀 특이한 위치에 있는 장비다. 메일 게이트웨이나 방화벽이 "이거 수상한데?" 싶은 첨부파일·URL을 넘기면, 이 장비가 격리된 가상 환경 안에서 실제로 파일을 터뜨려 보고 행위를 관찰해 악성 여부를 판정한다. 말하자면 위험한 걸 대신 만져주는, 방어팀 입장에서는 손이 하나 더 있는 셈인 장비다. 그런데 이번에 공개된 CVE-2026-25089는 바로 그 "위험을 다루는 장비" 자신에게 OS 명령 주입(OS Command Injection) 결함이 있다는 이야기다. 남의 악성코드를 뜯어보던 도구가, 어떤 조건에서는 자기 운영체제에 공격자의 명령을 그대로 흘려보낸다는 것.핵심 요약FortiSandbox의 특정 입력 처리 경로에서 운영체제 ..

서버가 남이 보낸 객체를 의심 없이 '되살릴' 때 — SharePoint 역직렬화 결함 CVE-2026-58644를 방어자 손에서 읽는 법

2026. 7. 17. 13:02

이미지 출처: CISA KEV웹 애플리케이션은 생각보다 많은 것을 객체로 저장했다가 다시 꺼내 쓴다. 세션 상태, 뷰의 구성 값, 컨트롤의 속성 같은 것들을 문자열이나 바이트 뭉치로 납작하게 눌러 두었다가(직렬화), 요청이 들어오면 그걸 원래 형태의 객체로 부풀려 되살린다(역직렬화). 여기서 조용히 어긋나는 전제가 하나 있음. "되살릴 데이터는 우리가 만든 것"이라는 믿음. CVE-2026-58644는 바로 그 믿음이 깨지는 지점, 즉 Microsoft SharePoint가 신뢰할 수 없는 데이터를 역직렬화하는 경로에서 생긴 문제임.핵심 요약SharePoint가 외부에서 온 직렬화 데이터를 검증 없이 되살리는 과정에서 발생한 역직렬화 취약점으로, 성공 시 서버 측 코드 실행으로 이어질 수 있음.온프레미스..