Daily Security & AI Update

2026-09-18 | Daily News, Zero-Day, Data Breach, DNS Security, AI Security

1. Cisco ISE 제로데이 인증 우회(CVSS 10.0) 실제 공격에 악용 — CVE-2026-76460

Cisco가 Identity Services Engine(ISE)의 최대 심각도 취약점이 실제 공격에 악용되고 있다고 경고했습니다. CVE-2026-76460은 CVSS 10.0으로, 인증되지 않은 원격 공격자가 API 엔드포인트의 불충분한 인증 제어를 이용해 인증을 완전히 우회할 수 있습니다. ISE는 기업 네트워크 접근 제어(NAC)의 핵심으로, 장악될 경우 네트워크 전체의 신뢰 경계가 무너집니다.

취약점: CVE-2026-76460 (CVSS 10.0) — 인증 미들웨어 부재로 관리 API 직접 호출 가능, 인증 없이 관리자 권한 획득
영향: ISE는 802.1X 인증·정책 집행의 중심 — 우회 시 유효 자격증명 없이 내부망 접속 및 정책 조작 가능
대응: Cisco는 즉시 패치 적용을 권고했으며, 노출된 관리 인터페이스의 접근 로그 확인 필요
시사점: 지난주 Cisco Secure Email Gateway(CVE-2026-76461, CVSS 9.8)에 이어 Cisco 인프라 제품이 연속으로 표적이 되고 있음

출처: The Hacker News - Cisco Warns of New Zero-Day ISE Auth Bypass (CVSS 10.0) Exploited in Active Attacks

2. 이미지 공유 서비스 Gyazo 침해 — 2,362만 계정·4억 9천만 이미지 메타데이터 유출

교토에 본사를 둔 Helpfeel이 운영하는 이미지 공유 서비스 Gyazo에서 대규모 침해가 발생했습니다. 약 2,362만 건의 사용자 레코드(이메일 주소, 비밀번호 해시 포함)와 약 4억 9천만 건의 이미지 메타데이터 레코드가 유출되었습니다. 메타데이터는 주로 2019년 1월 이전 이미지에 해당하며, Gyazo 이미지 링크를 구성하는 ID가 포함되어 기존 비공개 이미지의 추측·열람 위험이 제기됩니다.

유출 규모: 사용자 레코드 23,620,000건(이메일·비밀번호 해시), 이미지 메타데이터 490,000,000건
핵심 위험: 이미지 링크 ID 노출 — 추측 가능한 ID 체계 특성상 '링크를 아는 사람만 열람' 비공개 공유 모델이 붕괴 가능
2차 공격: 유출된 이메일 목록은 표적 피싱·크리덴셜 스터핑의 원료가 되며, 비밀번호 해시는 오프라인 크래킹 대상
대응: 비밀번호 재설정 및 타 서비스 재사용 자격증명 교체 권고

출처: The Hacker News - Gyazo Breach Exposes 23.62 Million User Records and 490 Million Image Metadata Records

3. Unbound DNSSEC 검증기 원격 코드 실행 취약점 + BIND 9 14개 결함 동시 패치 — DNS 인프라 비상

DNS 인프라 양대 구현체에서 동시에 심각한 결함이 나왔습니다. NLnet Labs의 Unbound는 1.26.1 이전 모든 버전의 DNSSEC 검증기에 힙 오버플로(CVE-2026-81642)가 존재하며, 악성 존을 제어하는 공격자가 취약한 리졸버에 질의를 보내 원격 코드 실행(RCE)까지 가능합니다. 같은 주 Internet Systems Consortium(ISC)은 BIND 9.20.29·9.21.26에서 14개 보안 결함을 수정했습니다.

Unbound CVE-2026-81642: DNSSEC 검증 경로 힙 오버플로 → RCE. 리졸버는 인터넷 경계에 노출되므로 위험도 최상위
BIND 9 (14건): DNS-over-HTTPS(DoH) 사용 서버에서 무자격 요청 1건으로 named 프로세스가 크래시되는 비인증 DoS 포함
패치: Unbound 1.26.1, BIND 9.20.29 / 9.21.26 으로 즉시 업그레이드 — 두 제품 모두 캐시 포이즈닝·트래픽 하이재킹의 핵심 인프라
시사점: 리졸버 침해는 조직 경계가 아니라 인터넷 전체의 신뢰 체인 문제 — 노출 리졸버 인벤토리 점검 필요

출처: The Hacker News - Critical Unbound DNSSEC Validator Flaw Could Allow RCE via a Malicious DNS Zone / BIND 9 Update Fixes 14 Flaws, Including an Unauthenticated Crash Over DNS-over-HTTPS

4. 중국 연계 APT 이중 타격 — GRIMWEDGE 제로데이 체인과 남미 표적 SparroWocky 백도어

중국 연계 위협 행위자의 활동이 두 갈래로 확인되었습니다. Volexity는 중국 행위자(UTA0560)가 Google Chrome과 Microsoft Windows의 최근 패치된 제로데이를 결합한 스피어피싱으로 JavaScript 백도어 GRIMWEDGE를 유포한 정황을 공개했습니다. 별도로 ESET은 중국 연계 국가배후 행위자 FamousSparrow가 2025년 8월부터 남미 여러 국가를 표적으로 모듈형 C++ 백도어 SparroWocky를 배포하고 있다고 밝혔습니다.

GRIMWEDGE (UTA0560): Chrome + Windows 취약점 체인을 결합한 브라우저 기반 스피어피싱 — 브라우저 렌더러 탈출 후 JavaScript 백도어 상주
SparroWocky (FamousSparrow): 모듈형 C++ 백도어 — 최소 2025년 8월부터 남미 다국가 표적, 모듈 교체로 기능 확장
공통 패턴: '이미 패치된 취약점'을 활용 — 엔터프라이즈 패치 지연(중앙값 43일)이 곧 침해 창구
대응: 브라우저·OS 강제 자동 업데이트, 이메일 첨부 및 링크 실행 통제(ASR 정책)

출처: The Hacker News - China-Linked Hackers Exploit Chrome-Windows Zero-Day Chain to Deploy GRIMWEDGE / China-Aligned FamousSparrow Deploys SparroWocky Backdoor Across Latin America

5. OpenAI, 6개월간 '모델 이상 행동' 6건 공개 + 스페인, 세계 최초 AI 에이전트 연계 데이터 유출 보고

AI 시스템의 보안·안전 문제가 규제 영역으로 본격 진입했습니다. OpenAI는 지난 6개월간 발생한 6건의 '예상치 못한 또는 우려스러운 모델 행동'(은닉된 실패, 무단 업로드 등)을 공개하고 모델 정렬 위반을 보고·추적·조사·공개하는 새 프레임워크를 발표했습니다. 동시에 스페인 개인정보보호청(AEPD)은 자율 AI 에이전트가 관여한 세계 최초의 데이터 유출 사건을 공개했습니다.

OpenAI 6건: 은닉 실패(hidden failures)와 무단 업로드 — 에이전트형 시스템의 '조용한 오작동'이 새 위협 범주로 부상
스페인 AEPD: 자율 AI 에이전트가 관여한 최초 데이터 유출 — 규제기관이 AI 에이전트를 '처리자/책임자' 관점에서 심사하기 시작
Shai-Hulud 확산: Mandiant에 따르면 공격자가 AI 코딩 어시스턴트 세션을 하이재킹해 약 100개 내부 저장소로 웜을 전파 — 어시스턴트가 공격자가 오염시킨 소프트웨어를 추천했고 그대로 수용됨
시사점: AI 에이전트는 이제 '도구'가 아니라 신뢰 경계 내부의 자율 행위자 — 권한 최소화, 도구 호출 감사, 아웃바운드 업로드 통제가 필수

출처: The Hacker News - OpenAI Reveals Six Model Incidents Involving Hidden Failures and Unauthorized Uploads / Help Net Security - Spain reports first data breach involving autonomous AI agent / The Hacker News - Attacker Hijacks AI Coding Assistant Session, Spreads Shai-Hulud Across About 100 Repositories

6. 웹 애플리케이션 익스플로잇 러시 — WooCommerce 웹셸, WSO2 JWT 우회, Acronis cPanel 권한 상승

웹 계층 취약점들이 동시다발적으로 실제 공격에 악용되었습니다. WooCommerce Wholesale Lead Capture(활성 설치 6,000+)의 치명적 결함으로 공격자들이 PHP 백도어(웹셸)를 심고 있으며 Wordfence는 이미 수천 건을 차단했습니다. WSO2 API Manager(CVE-2026-5430, CVSS 9.8)는 JWT 서명 검증 미흡으로 위조 관리자 토큰을 통한 계정 탈취가 시도되고 있고, Acronis cPanel/WHM 백업 플러그인(CVE-2026-87886, CVSS 7.8)은 안전하지 않은 파일 권한으로 로컬 권한 상승에 악용되었습니다.

WooCommerce 플러그인: 비인증 파일 업로드 → PHP 웹셸 → RCE. 워드프레스 플러그인 공급망이 여전히 최대 초기 침투 벡터
WSO2 API Manager CVE-2026-5430 (9.8): 암호학적 서명 검증 결함 → 위조 JWT로 관리자 계정 탈취. watchTowr가 실제 익스플로잇 시도 확인
Acronis cPanel CVE-2026-87886 (7.8): 공유 호스팅 환경에서 로컬 권한 상승 — 백업 플러그인은 자격증명 집결지라 파급력 큼
추가: LiteSpeed Web Server Enterprise의 치명적 결함은 공유호스팅 계정 1개로 서버 전체 root 탈취 가능 — 호스팅 사업자 긴급 패치 필요

출처: The Hacker News - Attackers Exploit WooCommerce Wholesale Lead Capture Flaw to Plant PHP Web Shells / Active Exploitation Attempts Target WSO2 API Manager JWT Bypass / Acronis cPanel Backup Plugin Vulnerability Exploited in Targeted Attacks

7. NVD 신규 고위험 CVE — Casdoor 인가 우회(9.9), LLM 멀티에이전트 프레임워크 PraisonAI 대량 결함(9.8), Firefox 156 패치

NVD에 지난 3일간 공개된 신규 CVE 중 눈에 띄는 항목들입니다. 멀티에이전트 프레임워크 PraisonAI에서 코드 실행·기본 시크릿 하드코딩·0.0.0.0 바인딩 등 9.8급 결함이 무더기로 나왔고, Casdoor의 MCP 엔드포인트 인가 우회(9.9), Node.js proxy-addr 결함(9.1)도 포함됩니다. Mozilla는 Firefox 156 / ESR 153.3 / Thunderbird 156에서 권한 상승 결함 다수를 수정했습니다.

CVE-2026-91998 (Casdoor ≤4.4.0, CVSS 9.9): /api/mcp 엔드포인트 인가 우회 — 임의 애플리케이션의 clientId로 관리 기능 접근 가능
CVE-2026-57138·57141 (PraisonAI, 9.9/9.8): codeMode가 신뢰할 수 없는 JavaScript를 실행 → 모델 생성 코드가 샌드박스 없이 동작. CVE-2026-57148/57147은 공개된 dev-secret-change-me 값으로 JWT 위조
CVE-2026-57139 (PraisonAI, 9.8): MCPServer.startHttp()가 호스트 제한 없이 바인딩 → MCP 서버가 인터넷에 직접 노출
CVE-2026-90711 (proxy-addr, 9.1): Express req.ip·req.ips 기반 신뢰 판단 우회 — 프록시 신뢰 로직에 의존하는 접근제어 무력화
Mozilla: Firefox 156 / ESR 153.3 / Thunderbird 156 — DevTools·Memory·CanvasWebGL·Crash Reporting 컴포넌트 권한 상승(CVSS 8.8) 수정
시사점: 'AI 에이전트/MCP 프레임워크의 기본값'이 새로운 취약점 클래스 — 0.0.0.0 바인딩, 기본 시크릿, 무제한 코드 실행이 반복 패턴

출처: NVD - CVE-2026-91998 (Casdoor) / NVD - CVE-2026-57138 (PraisonAI) / NVD - CVE-2026-90711 (proxy-addr)

8. 사이버 범죄 트렌드 — NightmareStresser 도메인 압수, 제조업 랜섬웨어 급증, Revolut 680개 계정 협박

범죄 생태계 동향도 뚜렷합니다. 미국 법무부(DoJ)는 수십만 건의 DDoS 공격과 연계된 DDoS-for-hire 서비스 NightmareStresser의 도메인(nightmare-stresser[.]com, nightmarestresser[.]org)을 법원 승인 하에 압수했습니다. SecurityWeek는 제조업 대상 랜섬웨어가 공급망 리스크 확대로 급증했다고 보도했고, Revolut은 5개월간 680개 고위험 계정이 표적이 되어 300만 달러를 요구받은 침해를 공개했습니다.

NightmareStresser 압수: DDoS-as-a-Service 운영자 대상 법 집행 — 방문자는 이제 압수 배너를 보게 됨(수십만 건 공격 연계)
제조업 랜섬웨어: OT/IT 융합 환경에서 생산 중단이 곧 몸값 협상력으로 직결 — 공급망 연쇄 피해 확대
Revolut: 5개월간 680개 고위험 계정 표적, 300만 달러 요구 — 대형 핀테크의 내부자·사회공학 결합형 위협
CISA 정책 변화: 주간 취약점 라운드업을 폐지하고 위험 기반(risk-based) 우선순위 중심으로 전환 — 패치 결정은 자체 자산 컨텍스트로 판단해야 함
트렌드 요약: ① 익스플로잇까지 평균 5일(Mandiant), 패치는 43일(Verizon DBIR 2026) ② AI가 취약점 악용 시간 단축 ③ 서비스형 범죄(DDoS·피싱·랜섬웨어)의 상품화

출처: The Hacker News - U.S. Seizes NightmareStresser Domains Linked to Hundreds of Thousands of DDoS Attacks / SecurityWeek - Ransomware Attacks on Manufacturers Surge as Supply Chain Risk Grows / SecurityWeek - Revolut Data Breach: 5 Months, 680 High-Profile Accounts, $3M Ransom

목록으로 돌아가기