1. Lazarus, Windows 제로데이(CVE-2026-68820) 악용해 SYSTEM 권한 획득 — 신규 백도어 'Troy' 배포
북한 Lazarus 그룹이 새로 패치된 Windows 커널 드라이버 취약점을 제로데이로 악용해 프랑스·독일·브라질·인도 소재 방산·항공우주 기업을 노린 정찰 캠페인을 수행한 것으로 확인됐다. Check Point Research의 분석으로 Operation Dream Job의 일환으로 밝혀졌으며, 피해자 시스템에 신규 백도어 'Troy'를 설치해 원격 접근과 보안 통제 우회를 시도한다.
- 취약점: CVE-2026-68820 (CVSS 7.0) — Windows WinSock 보조 함수 드라이버(AFD.sys)의 권한 상승 결함, 8월 패치 화요일에 수정됨. Check Point가 7월 말 Microsoft에 신고했으나 실제 악용은 6월 초부터 가능했던 것으로 파악
- 공격 방식: 가짜 채용 제안(LinkedIn 리크루터 사칭)으로 악성 PDF 또는 트로이목마화된 PDF 뷰어 설치 유도 → DLL 사이드로딩 체인(libmupdf.dll)으로 백도어 배포 — 2022년부터 쓰인 검증된 수법
- 영향: 감염 시스템 완전 장악 및 보안 솔루션 우회 목적. Lockheed Martin·Enveil 등 방산 기업 채용 사칭으로 민감 데이터 탈취 시도
- 대응: 8월 패치 즉시 적용, 채용 제안을 가장한 사회공학 공격(가짜 면접·PDF 뷰어 설치)에 대한 사용자 인식 제고 필요
출처: The Hacker News - Lazarus Exploits Windows Zero-Day to Gain SYSTEM Access and Deploy Backdoor
2. Microsoft 8월 패치 화요일 — 총 398건 수정, 실전 악용 중인 드라이버 제로데이 포함
Microsoft가 8월 정기 보안 업데이트에서 398개 CVE(중대 62건)를 패치했다. 그중 Windows 커널 네트워크 소켓 드라이버의 권한 상승 결함(CVE-2026-68820, CVSS 7.0)이 이번 릴리스에서 유일하게 '실전 악용 중'으로 표시됐으며, 이미 Lazarus의 Operation Dream Job 캠페인에 활용된 것으로 알려졌다.
- 실전 악용 제로데이: CVE-2026-68820 — AFD.sys의 use-after-free로 로컬 공격자가 SYSTEM 권한으로 상승 가능. 드라이버의 레이스 컨디션을 유발해 악용
- 비인증 원격 RCE 4건 (CVSS 9.8): Windows DNS Server, Windows Deployment Services, QUIC 전송 프로토콜 구현, HPC Pack — 계정·비밀번호·클릭 없이 원격 코드 실행 가능, 아직 악용 보고는 없음
- SharePoint 연쇄 공격 완결: 7월에 패치된 SharePoint 인증 우회와 연계되는 RCE 절반도 이번에 수정 — 온프레미스 SharePoint 팜은 두 패치 모두 필요
- 패치 우선순위: ZDI 집계 398 CVE 중 Critical 62건. 낮은 CVSS여도 악용 중인 드라이버 결함을 최우선 적용, 이어서 4건의 9.8 비인증 RCE 패치 권고
3. Adobe, ColdFusion·Commerce·Campaign Classic 결함 3건 CVSS 10.0 포함 긴급 패치 배포
Adobe가 ColdFusion, Commerce, Campaign Classic을 대상으로 하는 다수의 치명적 취약점을 수정했다. 최악의 결함 3건은 CVSS 10.0 만점으로, 악용 시 임의 코드 실행 또는 권한 상승으로 이어질 수 있다. 아직 실전 악용 증거는 없지만 Priority 1 등급으로 72시간 내 패치가 권고된다.
- ColdFusion: CVE-2026-48362 (10.0) OS 명령 인젝션 → RCE, CVE-2026-48273 (9.9) eval 인젝션 → RCE, CVE-2026-71384 (9.6) 부적절한 인가 → DoS — 2025.0.12 / 2023.0.23에서 수정
- Commerce: CVE-2026-71362 (9.1) 부적절한 인가로 권한 상승 가능
- Campaign Classic: CVE-2026-71398 (10.0)·CVE-2026-27302 (10.0) 부적절한 인가 → RCE, CVE-2026-48381 (9.0) SQL 인젝션 → RCE — ACC v7 7.4.4 build 9400에서 수정 (Adobe 호스팅 인스턴스는 자동 조치 완료)
- 권고: 실전 악용 보고는 없으나 Priority 1 등급 — 가능하면 72시간 내 업데이트 적용, 특히 온프레미스/하이브리드 Campaign Classic 배포는 즉시 점검
출처: The Hacker News - Adobe Patches Three CVSS 10.0 ColdFusion and Campaign Classic Flaws
4. VMware vCenter 취약점(CVE-2026-59310) 실전 악용 — 47개국 361개 피해 IP 확인
Broadcom이 지난달 말 패치한 VMware vCenter의 치명적 디렉토리 트래버설 취약점(CVE-2026-59310, CVSS 9.8)이 실전에서 적극 악용되고 있다. 독일 보안 기업 QUIRSO의 사고 대응 조사에서 공개 5일 만인 8월 3일부터 악성 cron 작업과 reverse_ssh 도구로 지속적 원격 접근을 구축하는 공격 체인이 확인됐다.
- 취약점: CVE-2026-59310 — vCenter Server의 디렉토리 트래버설로 네트워크 접근권 공격자가 임의 코드 실행 가능
- 공격 체인: 경로 트래버설 악용 → reverse_ssh(오픈소스 역방향 SSH 도구) 기반 악성 cron 작업 배포 → 호스트 영속성 확보 → 공격자 C2 도메인과 통신
- 피해 규모: 47개국 361개 고유 피해자 IP — 독일·미국·터키·이란·프랑스 순. 공개 시점과 악용 시작의 강한 상관관계로 공개 직후 시작된 캠페인으로 추정, 의심 APT 세력 배후
- 전례: VMware 어플라이언스는 중국계 위협 그룹(UNC5174 등)의 주요 표적 — 노출된 vCenter는 즉시 최신 패치 적용 필수
출처: The Hacker News - Attackers Exploit VMware vCenter Vulnerability to Gain Persistent Remote Access
5. OpenAI·Anthropic·Google API 설계 결함 — 약한 AI 모델로 강한 모델의 '숨은 추론' 복호화 가능
OpenAI·Anthropic·Google의 추론 API가 API 호출 간 숨은 추론 상태를 전달하는 방식에서 설계 결함이 발견됐다. 연구진은 암호화된 추론 블록을 다른 세션으로 재생(replay)하거나 같은 계열의 약한 모델에 넘겨 숨겨진 사고 과정과 API 키·비밀번호 등 비밀 정보를 복구하는 데 성공했다.
- 연구: 'Stealing Reasoning Traces from Proprietary LLM APIs' — 4가지 악용 경로 입증: 모델 증류를 위한 추론 탈취, 공개된 추적에서 타 사용자 데이터 추출, 안전한 답변 뒤 숨은 유해 콘텐츠 복구, 불투명 추론 블록에 프롬프트 인젝션 은닉
- 피해 규모: 공개된 6,708개 에이전트 궤적에서 315,320개 추론 블록 복호화 — 62개 API 키, 33개 비밀번호, 24개 액세스 토큰, 7개 개인 키 포함 704건의 프라이버시 아티팩트 확인
- 제약: 암호화된 추론 블록(예: 에이전트 로그에 공개된 것)과 동일 공급자의 호환 모델 API 접근이 필요 — 임의의 비공개 채팅 접근은 불가
- 현황: 해당 공급사·Microsoft·Hugging Face에 공개 후 완화 조치로 2026년 8월 기준 주 공격 경로 재현 불가, 실전 악용 보고 없음 — 공유 로그에서 추론 블록·불투명 추론 필드 제거 권고