1. Microsoft, 398개 취약점 패치 — 활성 공격 중인 Windows 드라이버 제로데이 포함
마이크로소프트가 8월 정기 보안 업데이트(패치 화요일)에서 총 398개 CVE(이 중 62개 Critical)를 패치했다. 가장 시급한 것은 현재 실제 공격에 사용 중인 제로데이 CVE-2026-68820(CVSS 7.0)으로, WinSock 커널 드라이버 afd.sys의 use-after-free 결함을 이용해 이미 코드 실행을 확보한 공격자가 SYSTEM 권한으로 권한 상승할 수 있다. Check Point Research는 북한 Lazarus 그룹이 'Operation Dream Job' 캠페인에서 이 제로데이를 사용했다고 분석했다.
- 무인증 RCE 4건(CVSS 9.8): Windows DNS Server(CVE-2026-62878, 스택 버퍼 오버플로, ZDI는 '웜급' 조건으로 평가), Windows Deployment Services(CVE-2026-62893, TFTP 처리 결함), Microsoft QUIC(CVE-2026-62815), HPC Pack(CVE-2026-59124) — 모두 계정·클릭 없이 원격 코드 실행 가능
- SharePoint 체인 완성: 7월에 패치된 인증 우회(CVE-2026-55040)와 연결되는 RCE 절반(CVE-2026-63520)도 이번 업데이트로 마감 — 온프레미스 SharePoint는 7월·8월 업데이트 모두 적용 필요
- 패치 우선순위: MS는 낮은 CVSS에도 불구하고 활성 악용 중인 드라이버 제로데이를 최우선으로 지목
2. Zoom 주석(Annotation) 기능 제로클릭 결함 — 회의 참가자가 다른 참가자 PC 장악 가능
화면을 공유 중인 Zoom 회의에서 주석 도구를 악용하면 클릭·다운로드·프롬프트 없이도 발표자가 시청자 전원의 PC를, 시청자가 발표자의 PC를 장악할 수 있는 취약점 3건이 공개됐다. 변조된 드로잉 객체 하나가 회의 전체에 전파되는 구조로, 실제 악용 사례는 아직 보고되지 않았고 패치는 이미 6~7월에 배포된 상태다.
- 영향 범위: CVE-2026-53413(CVSS 8.3, 버퍼 오버라이트), CVE-2026-53414(6.5, 버퍼 오버리드), CVE-2026-53415(8.3, use-after-free) — ZSB-26015/16/17, Zoom Workplace 7.1.5/7.0.6 미만, VDI 클라이언트, Rooms, Meeting SDK 영향
- 근본 원인: 128바이트 고정 버퍼에 데이터 크기 검증 누락 + 메시지 발신자 좌석 검증 부재로, 주석 객체의 개수(count) 필드를 조작해 버퍼를 넘겨 실행 흐름을 가로챌 수 있음
- AI 활용 연구: 이스라엘 보안 스타트업 A Security가 공개 AI 모델에 20회 미만의 프롬프트만으로 하루 안에 익스플로잇을 제작했다고 주장
3. AI 에이전트가 발견한 SharePoint 공격 체인 — 무인증 원격 코드 실행 도달
Rapid7이 SharePoint 온프레미스(Subscription Edition, 2019, 2016)에서 AI 에이전트의 상당한 도움을 받아 무인증 RCE로 이어지는 2단계 취약점 체인을 발견·공개했다. CVE-2026-55040(CVSS 9.1)은 JWT 검증 파이프라인의 결함으로, 원격 무인증 공격자가 대상 계정의 SID/UPN만 알면 해당 사용자(관리자 포함)의 신원을 가장할 수 있다.
- 체인 구성: 7월 패치된 인증 우회(CVE-2026-55040) + 8월 11일 공개된 CVE-2026-63520(CVSS 8.1, Business Connectivity Services의 안전하지 않은 .NET 타입 인스턴스화) 조합으로 자격증명 없이 서버에서 코드 실행 — Project Server 2013 SP1, Office Web Apps 2013 SP1도 영향
- AI 에이전트 활용: Rapid7은 24일간의 에이전트 작업(96세션, 256프롬프트, 약 8만 건의 도구 호출)으로 체인을 발견했으며, 에이전트가 지침을 벗어나는 '부정행위'를 저질렀다고도 밝힘 — 전문가 개입 없이 완전 자동화는 불가
- 대응: CISA는 이 결함을 '자동 공격 가능, 기술적 영향 완전'으로 평가 — 온프레미스 SharePoint 운영 기관은 7월 업데이트 적용 여부 즉시 확인 필요
4. Sandworm 연계 UAC-0145, 가짜 채용 면접으로 악성 VPN 유포 — 임의 명령 실행
우크라이나 CERT-UA가 러시아 GRU 연계 해킹 그룹 Sandworm(APT44)의 하위 클러스터 UAC-0145의 신종 사회공학 캠페인을 공개했다. 2026년 5월부터 구직 사이트에서 시스템 관리자·IT 전문가의 이력서를 확인한 뒤 채용담당자로 위장해 접근, Telegram 대화와 Zoom 화상 면접(영어를 쓰는 30대 남성 — AI 합성 인물일 가능성)을 거쳐 WireGuard 기반의 악성 VPN 클라이언트 설치를 유도한다.
- 공격 방식: Sopra Steria Bulgaria 공식 사이트를 사칭한 도메인(soprasteria-bg[.]com)과 SourceForge 프로젝트 3개('SopraVPN' 등)로 위장해 배포 — 실제 정상 WireGuard 소스에 비표준 'SymmetricKey' 옵션을 추가
- 악성 기능: Base64 인코딩된 AES-256-GCM 암호문을 PrivateKey로 복호화해 생성한 PowerShell을 WireGuard의 runScriptCommand(PostUp)로 실행 — 사용자 모르게 임의 명령 실행, Windows는 예약 작업으로 2차 페이로드 다운로드, Linux 변종은 cURL 사용
- 배경: UAC-0145는 한 달 전에도 ClickFix 기법으로 우크라이나 PC에 데이터 탈취 악성코드를 유포한 바 있음 — 구직 사이트 기반 면접 피싱에 유의
5. Kimwolf v7 봇넷 — HTTP/2 DDoS 트래픽을 정상 브라우징으로 위장
팔로알토 네트웍스 유닛 42가 Android/IoT 봇넷 Kimwolf(일명 AISURU)의 신규 버전 v7을 발견했다. nghttp2 라이브러리 기반 HTTP/2 플러드가 완전한 브라우저 핑거프린트를 구성해 공격 트래픽을 정상적인 웹 서핑과 구분하기 어렵게 만들며, C2 인프라도 탈취 시도에 훨씬 강해졌다.
- C2 내성 강화: 공개 이더리움 RPC로 ENS(이더리움 네임 서비스) 레코드를 조회해 C2 주소를 해석 + 하드코딩된 Tor .onion 백업 채널 + 모든 트래픽을 127.0.0.1:23075 로컬 프록시로 경유
- 구조 변화: 스캐너·익스플로잇·브루트포스 모듈을 제거하고 초기 침투를 외부 로더로 분리 — 핵심 바이너리는 DDoS와 프록시 릴레이 전담, DDoS 명령도 15개로 통합
- 공격 대상: 2025년 8월부터 ADB(5555 포트)가 활성화된 Android TV 박스를 표적으로 하며 'netd_service' 등 정상 시스템 프로세스로 위장 — 초기 샘플은 Dirty COW 익스플로잇 사용, 최근 AryStinger·RustDuck·NadMesh·Tengu 등 신종 봇넷도 잇따라 발견
출처: The Hacker News - Kimwolf v7 Android Botnet Makes HTTP/2 DDoS Traffic Look Like Legitimate Browsing