최신 사이버보안 뉴스, 사고, SI 모델의 동향을 피해자와 연구자를 위해 합법적인 화이트햇 범위에서 관측하고 분석한다. 침입이나 익스플로잇 방법은 싣지 않는다.
이 글은 기계 번역입니다.
- Cyberattack response: country-by-country guides
Nine country guides, local-language editions and downloadable non-executable BPMN response processes.
- Cyberattack response for companies in the United States
Evidence, reports, counsel, insurance and public communications after a cyberattack in the United States.
- Cyberattack response for companies in the United Kingdom
Evidence, reports, counsel, insurance and public communications after a cyberattack in the United Kingdom.
- Cyberattack response for companies in Canada
Evidence, reports, counsel, insurance and public communications after a cyberattack in Canada.
- Cyberattack response for companies in Australia
Evidence, reports, counsel, insurance and public communications after a cyberattack in Australia.
- Cyberattack response for companies in Germany
Evidence, reports, counsel, insurance and public communications after a cyberattack in Germany.
- Cyberattack response for companies in France
Evidence, reports, counsel, insurance and public communications after a cyberattack in France.
- Cyberattack response for companies in the Netherlands
Evidence, reports, counsel, insurance and public communications after a cyberattack in the Netherlands.
- Cyberattack response for companies in Singapore
Evidence, reports, counsel, insurance and public communications after a cyberattack in Singapore.
- Cyberattack response for companies in Japan
Evidence, reports, counsel, insurance and public communications after a cyberattack in Japan.
- Cybersecurity daily — 1 November 2026: MCP migration and corrected extension scope
Smithery's connection-management shutdown date has arrived; Cursor's notice also names 2.1.312. Distinguish planned shutdown, observed operation and verification time.
- Cybersecurity daily — 31 October 2026: extension removal is not incident recovery
Cursor extension follow-up, Wasmtime UDP authorization bypass, and updated AWS Brotli mitigation status. Check host privileges, network authorization and deployed patches.
- Cybersecurity daily — 30 October 2026: verify enforcement beyond configuration
Clerk adds passkeys as a second factor; an older PDF MCP authentication flaw enters the advisory database. Verify enforcement, not just settings and logs.
- Cybersecurity daily — 29 October 2026: verify that Brotli patches are active
AWS details Brotli mitigation: phased Lambda rollout, Node.js 24 verification, container rebuilds and upstream-response decoding.
- Cybersecurity daily — 28 October 2026: separate detection, delegation and runtime authorization
Zuma/Agent Gateway runtime authorization and Socure Agent Intelligence: distinguish release stages and authority boundaries.
- Cybersecurity daily — 27 October 2026: the boundary around agent-managed IAM
Google Cloud introduces IAM Helper. Separate diagnostics and simulation from permission changes, and verify the approval-to-execution boundary.
- Why Faster Cybercrime Intake May Not Reduce Case Backlogs
Public Japanese statistics and an explicit queueing model show why faster intake may shift a bottleneck downstream. Evidence preservation, international assistance, and deterrence require distinct measurements.
- Crypto fraud and theft: Japanese requests for Canadian asset restraint and seizure
For Japanese victims and receiving police officers: RCMP cooperation, formal central-authority requests, evidence and translations, procedural-stage conditions and asset return.
- Prompt injection is not SQL injection: the NCSC design lesson
The NCSC blog says prompt injection is not SQL injection: current large language models do not separate instructions from data, and the risk may never be fully removed the way parameterized queries remove SQL injection (https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection). The NCSC news warns that the comparison is dangerous and challenges claims that the issue can be stopped (https://www.ncsc.gov.uk/news/mistaking-ai-vulnerability-could-lead-to-large-scale-breaches). Design lesson only. Not an attack guide and not legal advice.
- EU AI Act 제50조 표시에 대해 고객에게 무엇을 말할 것인가
Commission의 Article 50 페이지는 상호작용 고지, 기계가 읽을 수 있는 표시, 딥페이크 공개에 대해 제공자와 deployer의 의무를 나눈다 (https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50). 한 법률사무소의 알림은 그 의무가 2 August 2026에 적용되기 시작했고 고위험 규칙과 함께 미뤄지지 않았다고 한다 (https://www.goodwinlaw.com/en/insights/publications/2026/08/alerts-technology-dpc-eu-ai-act-transparency-obligations-now-in-force). 일반 정보이며, 법률 자문이 아니다.
- 산업 업무 흐름을 따르는 사이버보안 연습
24개 산업 관점, 18개 기술 표면, 그리고 CTF 학습을 연속성, 수리, 회복에 잇는 8개의 오프라인 연습.
- AI 영상, 음성 사칭, 권한의 경계
Tavus, 보고된 AI 오용, 그리고 도입자가 따로 시험해야 하는 신원, 동의, 도구 권한의 경계에 대한 출처 있는 검토.
- System One Coding: 결정으로 코드를 구성한다
타입이 있는 블록, 단계별 검증, 측정된 비교, 등록된 무료 파일럿.
- 계정을 탈취당했다면: 경찰에 상담하기 전에 만드는 「시계열표」와 「증거 목록」(복사해서 쓸 수 있음)
계정 탈취 뒤에, 지우지 않고 남길 것. 복사할 수 있는 시계열표와 증거 목록. 그 다음, 당신이 있는 나라의 경찰 또는 사이버범죄 신고 창구와, 은행 또는 결제 서비스에 연락한다.
- 암호자산 사기를 당했다면: 경찰·거래소에 가져갈 「송금 일람표」 만드는 법
암호자산·투자 사기에서, 추가 송금이나 「회수 업자」에 움직이기 전에, 각 지급과 메시지를 1장에 모은다. 그 다음, 당신이 있는 나라의 경찰 또는 사이버범죄 신고 창구, 은행 또는 결제 서비스, 거래소에 연락한다. 이 페이지는 회수를 약속하지 않는다.
- IC3 신고 워크시트: 제출하기 전에 모을 것(암호자산 사기와 온라인 사기)
FBI의 IC3가 묻는 칸을 모두 준비한다. 손실, 거래 해시, 상대방의 세부, 헤더. 그 다음 완전한 신고를 한 번 제출하고 사본을 보관한다.
- 기업에 트윈이 필요한 이유, 그리고 Mithril이 그것을 제공하는 방식
프로덕션은, 누가 민감한 시스템에 도달할 수 있는지, 거부가 어떤 모습인지, 실행 중인 클러스터가 선언된 것과 같은지를 알아볼 곳이 아니다. 트윈은 그 이름들을 유지하고 결과를 적용하지 않는다. Mithril은 그 트윈을 문서로 만든다. 역도메인 컴포넌트는 조합되고, 한 번의 실행은 응답과 판정을 돌려주며, 클러스터는 기동되지 않은 채 관측과 대조된다.
- 훔친 키는 없고, 한 시간에 $351 million — Bitget의 핫월렛 침해와 승인 흐름의 신뢰 경계
Bitget은 9월 25일, 핫월렛과 웜월렛의 일부에서 약 $351.6 million이 무단 이체로 나갔으며, 그것은 9월 24일 18:31 UTC에 탐지되었다고 확인했다. 오프라인 콜드월렛은 영향이 없다고 보고되고, 출금은 중지되어 있으며, 거래소는 $464 million의 User Protection Fund가 손실 전액을 덮는다고 말한다. Bitget에 따르면 공격자는 개인 키를 가져가지 않았고, 백엔드 시스템에 도달해 거래 데이터를 위조하여 승인 흐름이 자금을 내보내도록 유도했다. 우리는 Lazarus 귀속 문제와, 이 관측이 최근 몇 주 동안 다뤄 온 관리·신원 플레인 주제와의 동형을 살펴본다.
- 신원 발급자 자체가 무너진 주 — F5 BIG-IP APM OAuth 제로데이(CVE-2026-94127)와 관리·신원 플레인에 모인 KEV
F5는 9월 22일, BIG-IP APM의 OAuth 경로에 있는 치명적 제로데이(CVE-2026-94127, CVSS 9.8)가 인증 없는 원격 코드 실행을 허용한다고 공개하고, 실제 악용을 확인했다. CISA는 같은 날 이를 KEV 카탈로그에 추가했고, 연방 기한은 9월 25일이다. Arista VCO와 Check Point 관리 서버 결함 2건도 그날 KEV에 들어왔다. 본고는 경계 장비의 관리·신원 플레인에 대한 공격의 수렴을 살핀다.
- 로컬 root로 가는 길이 한꺼번에 열린 주 — 공개 익스플로잇이 나오는 사이 Linux 커널 LPE가 CISA의 KEV 카탈로그에 올랐다
9월 18일, CISA는 실제로 악용 중인 Linux 커널 결함 3건(CVE-2025-39682, CVE-2026-53266, CVE-2025-39964)을 KEV 카탈로그에 추가했고, Red Hat은 공개 익스플로잇 코드가 존재함을 확인했다. 같은 날, 커널 LPE 4건(DirtyAH6, TUNderflow, PPPoEject, DiagSpill)의 동작하는 익스플로잇이 조율된 공개 절차 아래 발표되었다. 본고는 공유 호스트의 권한 상승이 경계 장비에 이어 초점으로 들어오는 이유를 살핀다.
- 최대 심각도의 인증 우회가 “신원 판정 본체”를 관통한다 — Cisco ISE CVE-2026-76460과 경계 장비 root 침해의 반복 구조
Cisco ISE / ISE-PIC의 인증 우회 취약점 CVE-2026-76460(CVSS 10.0)이 실제 악용 아래에 있다. CISA는 9월 16일 이를 KEV 카탈로그에 추가했고, 연방 기관의 수정 기한은 9월 19일이다. 이 취약점에는 workaround가 없으며, iACL은 어디까지나 완화 조치일 뿐이다. 본고는 9월 14일 공개된 Secure Email Gateway 제로데이(CVE-2026-76461)와 한 주 동안 병행해 진행된 “경계 장비 root 침해” 구조, 그리고 침해된 장비 자신의 로그가 1차 정보가 아니게 된다는 함의를 정리한다.
- AI 게이트웨이가 공격면이 된다 — LiteLLM의 KEV 등재와, 키와 MCP와 클라우드를 지나는 경로
BerriAI LiteLLM의 MCP 인증 우회(CVE-2026-59822)가 CISA의 KEV 카탈로그에 올랐고, Microsoft는 공격자가 LiteLLM 게이트웨이로 XMRig를 전달한다고 보고한다. Wiz의 연구는, 공개 인스턴스 ~3,000개 가운데 대략 10개 중 1개가 기본 키 sk-1234를 받아들이거나 인증 없이 동작했음을 밝혔다. 본고는 AI 인프라가 자격 증명의 보관함이라는 것이 무엇을 뜻하는지 살핀다.
- 에이전트의 몸이 탈취될 때 — 확장 하나가 5개 제품의 AI 어시스턴트를 조종하다
Forever Security는, 평범한 브라우저 확장 하나가 Chrome, Comet, Edge, Opera Neon, Claude 5개 제품의 내장 AI를 조종할 수 있음을 보였다. 별도로 Mandiant는, 공격자가 AI 코딩 어시스턴트의 세션을 탈취하고 Shai-Hulud 웜을 약 100개의 저장소에 퍼뜨렸다고 보고했다. 본고는 에이전트형 런타임의 신뢰 경계를 그린다.
- 「패치 갭」 제로데이 연쇄 — Chromium에는 수정이 들어갔으나 안정판 Chrome에는 아직 반영되지 않은 취약점이 1주일 만에 복수의 스파이 그룹에 공유되었다
Chrome의 V8 샌드박스 탈출과 Windows ALPC 악용을 연쇄시킨 BlueMoon 공격 체인이, Volexity의 관측에서 적어도 복수의 중국발 클러스터에 공유되고 있었음이 밝혀졌다. Chromium에는 수정이 들어갔으나 안정판 Chrome에는 반영되지 않았다는 「패치 갭」의 위험성을 정리한다.
- VC 브리프: SYN Ventures — 운영자가 이끄는 사이버보안 전문 펀드
운용자산 $900M, 전 CISO와 창업자가 세운 운영자 주도 펀드. 2개 펀드와 ~40개사 포트폴리오를 mithril.fund의 위치에 맞춰 정리한다.
- Cisco Secure Email Gateway 제로데이 CVE-2026-76461 — 메일 파싱의 SQL 인젝션이 root 실행으로 끝날 때
CVE-2026-76461(CVSS 9.8)은 실제로 악용되고 있으며 CISA의 KEV 카탈로그에 추가되었다. 본고는 되풀이되는 “경계 장비의 root 침해” 패턴과, 장비 자신의 로그를 더 이상 신뢰할 수 없게 되었을 때 그것이 무엇을 뜻하는지를 나눈다.
- 보안 관측 블로그를 엽니다
사이버보안 뉴스, 사고, AI 모델의 동향을 매일 관측하고 분석하여 여기에 공개한다.
- 메일 게이트웨이의 뒷문으로 파일이 기록되었다 — FortiMail 제로데이 CVE-2026-104286과 IBE 기능
Fortinet은 10월 1일 FortiMail의 경로 탐색 zero-day(CVE-2026-104286, CVSS 9.8)가 무인증의 임의 파일 기록을 허용한다고 공개하고 실제 악용을 확인했다. CISA는 같은 날 이를 KEV 카탈로그에 추가했고, 연방 기한은 10월 4일이다. 4개 계열 모두에서 패치 버전이 아직 출시되지 않아 IBE 무효화 등 임시 조치가 필요하며, 9월 후반 KEV 급증을 함께 정리한다.
- 스캠 피해자에서 기업의 화이트햇까지: 사이버보안 지형 지도 (2026)
스캠 피해자를 돕는 일에서 기업 보안 시험까지 13개 범주. 신고된 손실, 발표된 자금, 발행자별 시장 전망, 그리고 Mithril이 놓이는 곳의 정직한 상태.
- SAML 조건의 NetScaler 메모리 오버플로 — CVE-2026-88779 KEV 등재 (10월 7일 기한)
Citrix는 NetScaler ADC / Gateway의 메모리 버퍼 경계 제한 결함(CVE-2026-88779, CVSS v4.0 8.7, CWE-119)을 공개했습니다. Citrix는 완화되지 않은 배포에 대한 표적 공격을 관찰했으며, 이는 서비스 거부로 이어질 수 있다고 밝혔습니다. CISA의 KEV 등재는 이 취약점의 악용을 나타내며, 짧은 설명은 이 결함이 서비스 거부를 허용할 수 있다고 합니다. 어느 출처도 영향을 받은 배포가 실제로 중단되었다고 확인하지는 않습니다. CISA는 10월 4일 KEV에 추가했고, 연방 기관 기한은 10월 7일입니다. 9월 27일에 추가된 CVE-2026-88771 및 CVE-2026-88772와 함께, 이는 2주 안에 추가된 세 번째 NetScaler KEV 등재이며 이 제품의 역대 세 번째 등재는 아닙니다(카탈로그에는 CVE-2023-4966을 포함한 이전 항목이 있습니다). Global Deny List 시그니처(v24 이상)가 당장의 완화이고, 수정은 14.1-73.41 / 13.1-64.28 이상입니다.
- Unauthenticated API access in Cisco Catalyst SD-WAN Manager — CVE-2026-76504 Added to KEV (Due October 3)
Cisco published CVE-2026-76504 (CVSS 3.1 9.8 per Cisco, CWE-177) in advisory cisco-sa-sdwan-webauth-xr8beuuU: improper URI-encoding handling in the API session-based authentication management of Cisco Catalyst SD-WAN Manager can let an unauthenticated remote attacker reach the API with admin privileges. CISA added it to KEV on September 30, 2026, with a federal due date of October 3. Fixed releases start at 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1 (earlier branches migrate). No known workarounds exist; interim mitigation is restricting internet access to trusted hosts, plus the optional Live Protect shield. Cisco has confirmed exploitation in the wild.
- Apple CoreGraphics zero-day added to KEV — CVE-2026-86950, report of exploitation in an extremely sophisticated targeted attack (Due October 2)
On September 28, 2026, Apple released iOS 26.7.1 / iPadOS 26.7.1 / macOS Tahoe 26.7.1 / macOS Sequoia 15.8.1, fixing an out-of-bounds write (CVE-2026-86950, CWE-787) in CoreGraphics. Processing a maliciously crafted file may lead to arbitrary code execution; Apple says it is aware of a report that the issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on iOS versions before iOS 27. CISA added the vulnerability to KEV on September 29, 2026, with a federal due date of October 2 (forensicTriage Yes). The CISA-ADP CVSS 3.1 base is 8.8 (High). The fix is the listed releases only; the primary sources reviewed for this post state no interim workaround.
- Binance: 'No wallet key leaked' - the largest hot-wallet incident on record (10/29) and first observations
From the night of October 29 UTC Binance disclosed a security incident involving unauthorized withdrawals from its hot wallets. Its verified frozen total stood at $2.54B (23:22Z) and then 'around $3 billion' (10/30 00:52Z); it states it will cover all losses and suspended deposits and withdrawals. Its initial investigation 'may involve a compromised DevOps engineer's laptop' through which an attacker reached a service container and submitted unauthorized withdrawal transactions, with no evidence of a wallet private-key leak. Reported stolen amounts range $5.6B-$6.3B with no confirmed total. This article records the first passive observation of 0x3E2bf1ac6bf0934BBba6456C341c2EcbCED632d5 (named by ZachXBT after the Arbitrum Security Council's ~$30.5M freeze; first tx 10/29 21:29:47Z, 3 EVM txs, 0.0038 ETH) the on-chain verification of the Arbitrum freeze transaction (from = the address itself), and two converging third-party attribution claims (TRM Labs: TraderTraitor; Specter: commingling with the DPRK-attributed Bitget exploit via THORChain).