Daily Security & AI Update

2026-09-09 | Daily News, Patch Tuesday, Microsoft, CVE-2026-75650, StyleSmuggler, Magento, Liquid Network, FreeIPA, CVE-2026-76560, CVE-2026-81963, ChatGPT, WeChat, 제로클릭, AI, TeamPCP, DoppelCart

1. Microsoft 9월 Patch Tuesday 역대 최대 규모 — 966~974개 취약점 패치, 야생 악용 제로데이 2종 포함

마이크로소프트가 9월 패치 화요일(현지 9월 8일)에 역대 최대 규모의 보안 업데이트를 발표했다. BleepingComputer 집계로 패치 화요일 당일 발표분만 966개, SecurityWeek·Krebs on Security는 약 974개(거의 1,000개)로 기록했다. 이는 종전 대규모 릴리스였던 7월 570개, 8월 400개를 크게 웃도는 수치로, MS가 AI 기반 취약점 탐지 시스템을 도입해 더 많은 결함을 식별하게 된 영향이 큰 것으로 분석된다.

출처: BleepingComputer - Microsoft September 2026 Patch Tuesday fixes 966 flaws, 2 zero-days · SecurityWeek - Microsoft Patches Record 974 Vulnerabilities, Including Two Exploited Zero-Days

2. Adobe, 악용 중이던 Magento 제로데이 CVE-2026-75650(CVSS 10.0) 패치 — 'StyleSmuggler'가 Rust 백도어·PHP 웹셸 배포 (9/6 보도 후속)

Adobe가 Adobe Commerce·Magento Open Source의 최대 심각도(CVSS 10.0) 제로데이 CVE-2026-75650을 수정하는 패치를 발표했다. Sansec이 9월 4일 22:20 UTC 첫 악용을 확인하고 'StyleSmuggler'로 명명한 이 결함은, Magento 자체의 템플릿 처리·의존성 주입(DI) 코드를 무인증 원격 코드 실행(RCE) 체인으로 전환한다. 지난 9월 6일 포스트에서 '패치 전 제로데이 악용'으로 다룬 사건의 후속이다.

출처: The Hacker News - Adobe Patches Magento Zero-Day Exploited to Deploy Rust Backdoor and PHP Web Shell · SecurityWeek - Adobe Patches Over 170 Vulnerabilities, Including Commerce Zero-Day

3. Liquid Network 공격자, 탈취한 3,400 BTC(약 2억 6,300만 달러) 반환 — 598 BTC(약 4,700만 달러)는 미반환, 네트워크 여전히 중단

9월 6일 비트코인 사이드체인 Liquid Network에서 약 3,967 BTC(약 2억 6,300만 달러)가 탈취된 가운데, 공격자가 다음 날 3,400 BTC를 되돌려줬다. 약 598.5 BTC(약 4,700만 달러)는 아직 반환되지 않았으며 네트워크는 일시 중단 상태여서 보유자들은 L-BTC를 비트코인으로 되돌릴 수 없다.

출처: The Hacker News - Liquid Hackers Return 3,400 Bitcoin Taken via Elements Bug, Still Holding $47M in BTC · SecurityWeek - Hackers Return $263 Million Stolen From Liquid Network

4. FreeIPA 결함 체인 — 로그인 이력 없는 익명 클라이언트가 '재사용 가능한 관리자 Kerberos 자격증명' 생성 (Red Hat)

Red Hat이 FreeIPA의 결함 체인을 공개했다. Linux 도메인 전역의 로그인 인증과 ID 관리를 담당하는 FreeIPA(389 Directory Server 기반 LDAP 저장소)에서, 한 번도 로그인한 적 없는 클라이언트가 임의의 Kerberos ID를 만들어 administrators 그룹에 도달하고 재사용 가능한 관리자 자격증명을 생성할 수 있다.

출처: The Hacker News - FreeIPA Flaw Chain Lets Anonymous Clients Create Reusable Administrator Credentials

5. ChatGPT 대화에 심은 프롬프트 한 줄, 사용자 Gmail 데이터를 다른 계정으로 유출 (Check Point Research)

Check Point Research가 ChatGPT 대화에 심은 단일 지시문(planted instruction)이 사용자 질문에는 정상적으로 답하면서 백그라운드에서는 연결된 Gmail 데이터를 읽어 제2의 ChatGPT 계정으로 은닉 채널을 통해 전달하는 공격 PoC를 공개했다.

출처: The Hacker News - ChatGPT Flaw Let a Planted Prompt Send a Victim's Gmail Data to Another Account · SecurityWeek - The Hidden Instructions That Can Hijack AI Agents

6. '제로클릭' WeChat 웜 — 수신 전화 한 통으로 iPhone·Android 계정 탈취 후 자동 전파 (Calif)

보안 업체 Calif가 수신 전화(incoming call) 한 통만으로 WeChat 계정을 탈취하고 자동 전파되는 제로클릭 웜을 개발, 테스트 폰 3대에서 전파 시연에 성공했다고 공개했다. 피호출자가 전화를 받지 않거나 휴대폰을 건드리지 않아도 동작하지만, 발신자는 피해자의 WeChat 연락처에 등록된 상태여야 한다.

출처: The Hacker News - WeChat Zero-Click Worm Took Over Accounts on iPhone and Android via Incoming Calls

7. 자율 AI 멀티에이전트 공격 프레임워크, 6시간 만에 수천 개 자격증명 탈취 — Google TAG가 TeamPCP 활동 공개

Google Threat Intelligence Group(GTIG)이 금전 동기 위협 행위자 TeamPCP(일명 Altered Spider, UNC6780)가 자율적 멀티에이전트 공격 프레임워크를 이용해 6시간 이내에 수천 개의 자격증명을 수확하는 대규모 캠페인을 벌였다고 공개했다. AI 코딩 어시스턴트 등 독점 AI 자산을 노리는 다양한 동기의 공격자들이 증가하는 흐름의 일부다.

출처: The Hacker News - Autonomous AI Agents Compromise Thousands of Credentials in Under Six Hours

8. 'DoppelCart' — 가짜 쇼핑몰 11만 9,000개로 카드정보 훔치는 사기 네트워크 적발 (Nebty)

사이버보안 업체 Nebty가 119,000개가 넘는 가짜 온라인 쇼핑몰로 구성된 대규모 카드정보 탈취 사기 네트워크 'DoppelCart'를 공개했다. 가짜 사이트들은 44,182개 브랜드를 사칭하며(브랜드당 평균 2개, 일부는 30개 이상 클론) 실제 브랜드 서버에서 에셋을 직접 로딩해 정교하게 위장하고, 최대 65% 할인을 미끼로 쇼핑객을 유인한다.

출처: BleepingComputer - DoppelCart fraud network uses 119,000 fake shops to steal credit cards

목록으로 돌아가기