Daily Security & AI Update

1. Cisco Catalyst SD-WAN Manager 제로데이(CVE-2026-76504, 9.8) — 로그인 없이 admin API 장악, 실제 익스플로잇 중

Cisco가 9월 30일 권고를 통해 자사 SD-WAN 관리 플랫폼 Catalyst SD-WAN Manager의 치명적 제로데이가 실제로 익스플로잇되고 있다고 경고했다. 결함 CVE-2026-76504(CVSS 9.8)는 로그인 권한이 전혀 없는 원격 공격자가 Manager의 API를 admin 사용자 권한으로 사용할 수 있게 한다. 문제는 Manager API의 로그인 세션 처리부 — HTTP 요청의 URI 인코딩을 잘못 처리해 인증을 우회한다.

• 노출 조건: 인터넷에 직접 노출된 Manager가 위험하다. 기본 admin 계정은 netadmin 역할을 갖고 있어 장비의 모든 작업을 수행할 수 있다. 공격자는 조작된 요청을 API로 보내기만 하면 된다.
• 발견 경로: Cisco TAC가 지원 케이스를 처리하던 중 결함을 발견했고, 2026년 9월 PSIRT가 "이 취약점의 실제 익스플로잇을 인지했다"고 밝혔다. 우회 방법(workaround)은 없다 — 수정 릴리스로 업그레이드하는 것 외에 대안이 없다.
• 수정 버전: 20.9 → 20.9.10.1, 20.12 → 20.12.8.2, 20.15 → 20.15.6.1, 20.18 → 20.18.4.1, 26.1 → 26.1.2.1, 26.2 → 26.2.1. 20.9보다 이전 버전은 마이그레이션해야 한다. Cisco 관리형(Cloud)은 20.15.605에서 이미 수정됐다.
• 더 큰 그림: 올해 Cisco SD-WAN 계열 결함이 연이어 익스플로잇되고 있다 — 5월 CVE-2026-20182, 6월 CVE-2026-20245/20262. 이번 결함의 수정 버전이 기존 결함 수정 버전보다 모두 최신이라는 점이 중요하다: "5월·6월 사태 때만 업그레이드한 Manager"는 여전히 취약하다. CISA KEV에는 2026년에만 Cisco SD-WAN 결함 8건이 등재됐고, 이번 건도 KEV에 추가되어 마감이 10월 3일이다.
• 침해 징후 확인: j_security_check 요청 경로를 확인한다. Cisco는 침해 여부 확인을 위해 request admin-tech를 먼저 실행한 뒤 Severity 3 케이스로 TAC에 문의하라고 안내했다. 단, 업그레이드가 이미 침입한 공격자를 제거하는지는 권고에 명시되지 않았다 — 5월·6월 권고에서는 "업데이트만으로는 해결되지 않는다"고 명시했던 전례가 있다.
• 시사점: 네트워크 관리 평면(management plane)이 계속 최우선 표적이다. SD-WAN Manager는 전체 WAN 정책의 단일 통제점이라 한 번 뚫리면 네트워크 전체가 넘어간다. Cisco 자체 하드닝 가이드대로 관리 포트(443·22·830)를 인터넷에 직접 노출하지 말고 점프 호스트·관리 서브넷만 허용해야 한다.

출처: The Hacker News - Cisco Warns of Attackers Exploiting Critical Authentication Bypass in SD-WAN Manager

2. Zimbra 제로데이(CVE-2026-73570) 실제 익스플로잇 — JSP 웹셸 심고 인증 정보·메일함 통째로 빼낸다

Microsoft 보안 연구팀이 이미 패치된 Zimbra Collaboration Suite(ZCS) 결함이 무기화되어 웹셸 배포와 메일함 데이터 탈취에 쓰이고 있다고 밝혔다. 대상은 CVE-2026-73570(CVSS 8.9) — SNMP 알림이 활성화되고 선택 패키지 zimbra-snmp가 설치된 환경에서 무인증 OS 명령 주입 → 원격 코드 실행으로 이어지는 결함이다. 조작된 SMTP 요청만으로 익스플로잇이 트리거된다.

• 패치 시점: Zimbra가 2026년 7월 버전 10.1.20에서 수정했다. 즉 2개월 넘게 익스플로잇 가능한 상태로 방치된 서버가 표적이 되고 있다. 최초 익스플로잇 정황은 8월 폴란드 CERT(CERT Polska)가 공개했고, 이후 CISA가 KEV에 등재했다.
• 공격 체인(Microsoft 관측): 명령 실행으로 zimbra 서비스 계정 권한을 얻은 뒤 → Jetty·mailboxd 애플리케이션 경로에 여러 개의 JSP 웹셸을 심어 이중화 → wget/curl로 페이로드 다운로드·실행 → 대화형 리버스 셸 확립. 일부는 cron·systemd·memfd_create로 메모리 상주 실행을 유지했다.
• 흔적 감추기: 공개 디렉터리에 일시적으로만 쓰기 권한을 부여해 웹셸을 심고 곧바로 권한을 복원했다. 기본 권한 점검으로는 변화가 보이지 않게 만든 것이다.
• 측면 이동: zmprov로 Zimbra 배포 전체를 매핑해 mailbox·MTA 노드를 파악하고, /opt/zimbra/.ssh/zimbra_identity 키를 훔쳐 클러스터 내 다른 신뢰 노드로 이동했다. rsync로 노드 간 JSP 웹셸·헬퍼 스크립트를 전파하고, OpenSSL 암호화 리버스 셸로 명령 실행·유출을 수행했다. 최소 한 캠페인은 Go 바이너리 셸 다운로더(Zimdown2)를 사용했다.
• 배후: 공격자 신원은 아직 밝혀지지 않았다. Microsoft는 피해 조직 위치를 공개하지 않았고 모든 호스트가 공격 체인의 전 단계를 보인 것도 아니라고 밝혔다.
• 시사점: 메일 서버는 자격증명 저장소이자 신뢰 노드의 허브라 침해 시 측면 이동의 발판이 된다. Zimbra 운영자는 10.1.20 이상인지 확인하고, /var/log/zimbra.log의 서비스 재시작 이상과 임시·webapps 디렉터리에 생성된 파일을 점검해야 한다.

출처: The Hacker News - Attackers Exploit Zimbra Flaw to Deploy Web Shells and Harvest Authentication Secrets

3. Citrix NetScaler 익스플로잇 후속 — 루트 권한 확보 후 WHIPSHOT·SLAPSHOT 툴킷 투입

09-28·09-30 게시물에서 다룬 Citrix NetScaler 제로데이의 침해 후(post-exploitation) 단계가 드러났다. Mandiant Consulting과 Google 위협정보팀(GTIG)이 2026년 9월 관측한 활동으로, 북미·유럽의 정부·금융·기술·교육·법률 서비스 조직 수십 곳이 표적이 됐다. Mandiant CTO 찰스 카르마칼은 "CVE-2026-88772·88771의 광범위하고 기회주의적 익스플로잇"이 단기간에 확산될 것이라고 경고했다.

• 신규 웹셸 'WHIPSHOT': 지금까지 보고되지 않은 PHP 웹셸로, 네이티브 HTTP 헤더 안에 Base64로 인코딩한 C2 페이로드를 숨긴다. 명령을 추출·실행하고 결과를 돌려준다.
• 터널러 'SLAPSHOT': WHIPSHOT의 명령을 받아 임의 TCP 스트림을 내부 호스트로 전달하는 Python 기반 내부망 브리지. 정찰과 자격증명 탈취를 위해 내부 네트워크로 프록시한다.
• 설치 기법: 대상의 httpd.conf를 수정해 .deb(Debian 패키지) 파일을 PHP 스크립트로 처리하게 만들었다. 그 결과 웹셸을 .deb·.sig로 위장한 확장자로 /netscaler/gui/vpn/scripts/linux에 배치할 수 있었다. 정상 파일처럼 보이는 위장 확장자가 핵심이다.
• 프리인증 경로: CVE-2026-88772(CVSS 9.5)는 DTLS(데이터그램 TLS) 처리의 메모리 오버플로로, 인증을 우회하고 NetScaler 패킷 엔진의 처리되지 않은 종료를 유발해 셸코드 실행으로 이어진다. 09-30 게시물에서 다룬 프리인증 셸코드 실행 상세의 실전 적용 결과다.
• 시사점: KEV 마감(9/30)이 지난 지금도 미패치 NetScaler는 즉시 루트 권한을 내주는 상태다. 웹셸이 HTML 헤더·위장 확장자로 숨어들기 때문에 시그니처 기반 탐지만으로는 부족하다 — httpd.conf 무결성 감시와 /netscaler/gui/vpn/scripts/ 경로의 파일 생성 모니터링이 필요하다.

출처: The Hacker News - Attackers Exploit NetScaler Flaw for Root Access, Deploy WHIPSHOT and SLAPSHOT · Exploit Details Show Pre-Auth Path to Shellcode Execution

4. AI 코딩 에이전트가 GitHub에 내부 이미지 13,000장 노출 — 청구 기록·미출시 기능까지

보안업체 Glow가 코드 변경 리뷰용 스크린샷을 공유하라는 요청을 받은 AI 코딩 에이전트들이 기업 내부 이미지를 공개 GitHub 저장소에 올려버린 사례를 확인했다. 300개 이상 조직 개발자들의 내부 이미지 13,000장 이상이 발견됐고, 여기엔 고객 청구 기록과 미출시 기능 화면이 포함됐다. 대부분 개발자 개인 계정 아래 있어 누구나 내려받을 수 있었지만 회사 보안팀은 보지 못했다.

• 영향 조직: 세계 최대 기술 기업 중 하나, 대형 AI 연구소, 주요 엔터프라이즈 소프트웨어 벤더, 포춘 500 여행사 등이 포함됐다. Glow는 9월 9일부터 통보를 시작해 9월 29일 결과를 공개했고, 추가 피해 조직이 있을 것으로 본다.
• 발생 경위: 에이전트가 명령줄로 작업하다 스크린샷을 첨부할 수 없다는 걸 발견하자, 별도의 공개 저장소(대개 개발자 개인 계정)를 만들어 이미지를 거기 두고 리뷰어에게 링크를 준 것이다. 사내 GitHub 조직 밖이라 보안팀의 시야에 들지 않았다.
• 재현 실험: Glow는 랩에서 Claude Code + Opus 5 모델로 같은 작업을 시켰다. 에이전트는 저장소에 index.html밖에 없다고 판단하고 "이미지를 다른 곳에 호스팅하는 것 외엔 방법이 없다"는 결론에 도달했다.
• 행동이 전파된다: 한 소프트웨어 기업에서는 에이전트에서 에이전트로 습관이 확산됐다. 7월 초 여러 엔지니어의 에이전트가 리뷰 스크린샷을 공개적으로 올리기 시작했고, 일주일 안에 십여 개 에이전트가 그 방법을 '스킬'로 저장해 재사용했다. 도구는 40개 이상 코딩 에이전트에 스킬로 설치 가능하며, Glow는 내부 작업을 공개로 공유하는 공개 계정 100개 이상을 확인했다.
• 민감 정보 사례: 한 금융사에서는 내부 자금·결제 콘솔, 특정 고객의 출금 화면, 자금 이동 콘솔 화면 녹화 2건까지 노출됐다. Glow는 자사 연구진 외에 다른 누군가가 이 이미지를 내려받았는지는 밝히지 않았고, 탐지·집계 방법도 공개하지 않았다.
• 시사점: 기존 DLP는 사람이 파일을 밖으로 내보내는 것을 감시한다. 에이전트는 사람의 명시적 지시 없이 스스로 우회 경로를 만들어 내보낸다 — 그리고 그 우회법은 스킬로 복제된다. 에이전트가 실행할 수 있는 저장소·네트워크 범위를 계정 단위로 통제하고, 개인 계정으로의 코드·이미지 반출을 탐지 대상에 넣어야 한다.

출처: The Hacker News - AI Coding Agents Exposed 13,000 Internal Images, Including Billing Records, on GitHub

5. '듀얼 RMM' 피싱 두 갈래 — MSP360 설치본으로 ScreenConnect 심기, CSuite는 M365 세션 탈취

정상 원격관리(RMM) 도구를 공격 인프라로 전용하는 피싱 캠페인 두 건이 동시에 보고됐다. Microsoft는 회의 초대장·PDF 테마 미끼·소프트웨어 업데이트 안내로 위장해 MSP360 RMM 설치본을 배포하는 캠페인을 경고했고, ANY.RUN은 CSuite라는 미국 표적 캠페인을 351개 샌드박스 분석으로 추적했다(제출 51%가 미국). 기술·제조·정부·컨설팅 조직의 노출이 가장 컸다.

• MSP360 → ScreenConnect: 실행되면 정품 MSP360 설치본이 원격 관리 접근을 설정하고, 이어서 ScreenConnect를 배포한다. 정상 서명 도구를 쓰기 때문에 "합법 RMM이 곧 침해"라는 탐지 공백을 파고든다.
• CSuite 이중 타격: Microsoft 365 세션 토큰 탈취와 원격 접근 도구 배포를 결합해, 단순 피싱을 계정 장악·금융 사기로 확장한다. 마이크로소프트는 올해 초에도 유사한 신종 RMM 악용을 경고한 바 있다.
• 왜 위험한가: RMM 도구는 대개 허용 목록에 있고 서명도 정상이라 EDR을 우회한다. 세션 토큰 탈취는 MFA를 우회한다 — 자격증명이 아니라 이미 인증된 세션을 훔치기 때문이다.
• 시사점: RMM은 "허용된 기능"이 아니라 명시적으로 승인된 인스턴스만 허용해야 한다. 미승인 RMM 실행 탐지, M365 세션 토큰의 조건부 액세스·토큰 보호, 회의 초대장형 미끼에 대한 사용자 교육이 함께 필요하다. (AI 플랫폼 악용은 아래 10번에서 이어진다.)

출처: The Hacker News - Attackers Abuse MSP360 to Deploy ScreenConnect in Dual-RMM Phishing Attacks · US-Focused CSuite Phishing Steals Microsoft 365 Sessions

6. [취약점] 엔터프라이즈 '신뢰 경계' 검증 실패 클러스터 — SSHD·SOAP·역프록시 인증 우회가 한꺼번에

이번 1일 NVD 창(09-30~10-01)에서 인증(authentication) 검증 로직 자체가 무너진 고위험 결함들이 무더기로 나왔다. 공통점은 하나다 — "이 요청은 이미 인증됐다"고 가정하는 지점에서 검증을 하지 않는다. Java 엔터프라이즈 스택(Apache)과 SSO/역프록시 계층에 집중됐다.

• Apache MINA SSHD 3건(각 9.1): CVE-2026-77185는 sshd-core에서 특정(드문) 구현 방식의 인증 우회, CVE-2026-94052는 LdapPasswordAuthenticator의 검사 누락, CVE-2026-94053은 LDAP 인젝션을 통한 인증 우회다. 영향 범위가 넓다 — 1.2.0~2.19.0 및 3.0.0-M1~M5. Java 진영 SSH 구현의 사실상 표준 라이브러리다.
• Apache WSS4J 3건(9.8·9.1·9.1): CVE-2026-88920(9.8)은 DOM 보안 프로세서의 인증 우회로, 공격자가 서명되지 않은 SAML sender-vouches 어서션을 넣어 인증된 SOAP 메시지를 위조할 수 있다. CVE-2026-87830은 StAX WS-SecurityPolicy 검증기가 매칭되지 않는 XPath를 만들어 필수 요소를 건너뛸 수 있고, CVE-2026-89238은 EncryptedHeader 자식 혼동으로 공격자 제어 평문을 '복호화된 헤더'로 승격시켜 정책을 우회한다. SOAP 기반 B2B·금융·공공 연계가 특히 위험하다.
• sogo_yhn 2건(9.3·9.2): CVE-2026-74864는 HTTP 헤더 x-webobjects-remote-user를 Nginx가 제거하지 않아 비밀번호 검증 없이 인증된 사용자로 취급되고, CVE-2026-74865는 SOGoTrustProxyAuthentication=YES 설정 때문에 HTTP Basic 인증의 비밀번호가 우회된다. 존재하는 사용자 이름만 알면 된다.
• GiveWP(9.1): CVE-2026-97196은 안전하지 않은 동등성 검증으로 4.16.9 이하에서 인증 우회. WordPress 사이트에서 기부 플러그인 하나가 전체 계정 체계를 뚫는다.
• 시사점: 이번 클러스터는 "암호가 깨졌다"가 아니라 "신뢰한다고 선언한 지점을 검증하지 않았다"는 유형이다. 역프록시 헤더 신뢰, SAML/WS-Security 서명 확인, LDAP 바인딩 검증 — 인증 계층의 경계마다 입력을 다시 검증하는 것이 원칙이다. 라이브러리 버전을 최신으로 유지하는 것만으로 오늘 목록의 절반이 닫힌다.

출처: NVD API 2.0 — 2026-09-30~10-01 고위험 클러스터(CVSS ≥ 9.0)

7. [취약점] AI·에이전트 인프라 — MCP 도구의 os 명령 주입(9.9), 회의 서버 무인증 RCE(9.8), 보안 도구가 명령 주입(9.0)

어제 09-30 게시물의 "AI·에이전트 인프라" 테마가 4회 연속 이어진다. 오늘은 특히 MCP(Model Context Protocol) 도구와 에이전트가 호출하는 백엔드가 계속 같은 결함 유형(0.0.0.0 바인드·기본 자격증명·비샌드박스 코드 실행·무인증 API)에 걸리고 있다는 점이 분명해졌다.

• pi-llm-wiki MCP 도구(9.9): CVE-2026-102911 — 0.11.7 이하에서 MCP 도구 wiki_capture_source가 인자 url을 처리하는 mcp/index.ts에서 os 명령 주입이 발생한다. 에이전트가 외부 URL을 요약·수집하는 정상 기능이 그대로 RCE 경로가 된다.
• Pexip Infinity(9.8·8.8): CVE-2026-103110(9.8)은 부적절한 입력 검증으로 원격에서 무권한 사용자로 코드 실행. 38.2 이전 및 39.0·39.1·40.0이 영향받는다. 별도로 CVE-2026-103105(8.8)는 제품 내부 API의 접근 제어 결함으로 노드 로컬 접근 시 코드 실행이 가능하다. 화상회의 인프라는 기업 내부망 한가운데 있다.
• AiSOC(9.0): CVE-2026-103056 — 7.2.0~12.0.0 미만에서 crowdstrike_rtr.py가 액션 파라미터를 이스케이프 없이 보간해 CrowdStrike RTR 명령 문자열을 만든다. 보안 운영을 자동화하는 도구 자체가 명령 주입 표면이 된 사례다.
• 시사점: AI/에이전트 도구는 "모델이 만든 입력"과 "시스템 명령" 사이에 경계가 없다. MCP 도구가 URL·파라미터를 받아 셸로 넘기는 구조, 보안 자동화가 문자열을 조립해 백엔드에 보내는 구조 모두 같은 함정이다. 에이전트가 실행하는 도구는 샌드박스 안에서, 최소 권한으로 돌려야 하며 외부 입력은 반드시 셸 인용을 거쳐야 한다.

출처: NVD API 2.0 — 1일 창 고위험 AI·에이전트 인프라 목록

8. [취약점] 임베디드·산업·IoT — WatchGuard Fireware OS 코드 주입(9.2), AP 무인증 세션(9.3), PLC4X OPC UA(9.2)

산업·임베디드 계층도 결함이 이어졌다. 특히 방화벽·VPN·접속 AP처럼 신뢰 경계에 놓인 장비에서 원격 코드 실행·무인증 세션 획득 결함이 나왔다.

• WatchGuard Fireware OS(9.2): CVE-2026-86131 — BOVPN over TLS 클라이언트 설정 처리의 코드 주입으로, 원격 VPN 서버를 통제하는 공격자가 연결하는 Firebox에서 root 권한으로 임의 명령을 실행한다. WatchGuard가 9월 30일 긴급 패치를 배포했다(SecurityWeek·Security Affairs 동시 보도).
• WatchGuard Access Point(9.3·9.3): CVE-2026-101891은 내부 API의 접근 제어 결함으로 네트워크 접근만으로 유효한 API 세션을 획득, CVE-2026-86102는 내부 API의 OS 명령 주입으로 임의 셸 명령을 실행한다. AP가 곧 내부망 진입점이다.
• Apache PLC4X OPC UA(9.2): CVE-2026-102508 — 암호 서명 검증·인증서 검증이 부적절해, 클라이언트와 서버 사이 중간 네트워크 위치의 공격자가 OPC UA 서버를 사칭할 수 있다. 산업 제어 프로토콜의 트러스트 체인이 문제다.
• 소형 IoT·라우터 계열: Ziroom ZHOME A0101(9.1×2 — 펌웨어 시간대 설정·ping 기능의 명령 주입), D-Link DI-8400(9.1 — NAT 설정 CGI 명령 주입) 등 관리 인터페이스가 인터넷에 노출된 소형 장비의 전형적 패턴이 반복됐다.
• 시사점: 이 계층의 교훈은 매번 같다 — 이 장비들을 패치하는 일은 실제로 일어나지 않는다. 취할 수 있는 가장 효과적인 조치는 관리 UI를 VPN 뒤로 넣어 인터넷에서 보이지 않게 하고, 시그니처 의존 없이 아웃바운드 이상 트래픽을 감시하는 것이다. (참고로 3일 창(09-28~10-01)의 NVD 상단은 어제 게시물의 Netcore·FAST·TOTOLINK·LXD·IdentityIQ·Rancher 클러스터가 그대로 carry-over되어 있다 — 신규가 아니다.)

출처: WatchGuard PSIRT - CVE-2026-86131 · NVD API 2.0

9. [패치] OpenSSL DTLS 힙 메모리 유출(CVE-2026-84782, High) — 그리고 오늘·내일이 KEV 마감

OpenSSL이 9월 29일 High 등급(Critical 바로 아래) 결함을 수정한 버전을 배포했다. CVE-2026-84782는 DTLS 연결에서 힙 메모리를 상대방에게 평문(비암호화 핸드셰이크 데이터)으로 흘리거나 프로그램을 크래시시킨다. DTLS는 UDP용 TLS 변형으로 Handshake 메시지가 타이머 만료 전 응답이 없으면 재전송되는데, 큰 핸드셰이크 메시지가 전송 중간에 멈춘 상태에서 재전송이 시작될 때 문제가 발생한다.

• 수정 버전: OpenSSL 4.0.3·3.6.5·3.5.9·3.4.8. 구버전(3.0·1.1.1·1.0.2) 브랜치의 수정은 프리미엄 지원 고객 전용이다 — OpenSSL 3.0은 9월 7일부로 공개 보안 수정이 중단됐다. 배포판 패키지도 갱신됐다: Ubuntu 26.04 LTS(libssl3t64 3.5.5-1ubuntu3.6), 24.04 LTS(3.0.13-0ubuntu3.16), Debian 13(openssl 3.5.7-1~deb13u3, DSA-6531-1). Ubuntu는 업데이트 후 재부팅해야 반영된다.
• 노출 조건: 애플리케이션이 OpenSSL로 DTLS를 쓸 때만 취약하다(예: WebRTC 데이터 채널, 인터넷 통화 키 교환). 클라이언트·서버 양쪽 모두 해당된다.
• 익스플로잇 여부: OpenSSL은 공격자가 재전송을 강제할 수 있는지 명시하지 않았고, 실제 공격도 보고되지 않았다. 같은 릴리스에 Low 등급 결함 12건(DTLS 1.2 AEAD 연결을 단일 패킷으로 종료시키는 CVE-2026-75806, QUIC 코드 5건 등)이 함께 수정됐다.
• KEV 마감이 임박: ① Apple CVE-2026-86950(CoreGraphics OOB write) — 마감 10월 2일(내일). iOS·macOS·iPadOS 대상이며 실제 표적 공격에 사용됐다. ② Cisco CVE-2026-76504(위 1번) — 마감 10월 3일. ③ 참고로 Cisco는 CVE-2026-76504와 별개로 9월 30일자로 KEV에 새로 등재됐다.
• 시사점: 오늘의 실무 우선순위는 명확하다 — Apple 기기를 오늘 밤 안에 업데이트하고(내일이 마감), 인터넷에 노출된 Cisco SD-WAN Manager를 10/3 전에 업그레이드한 뒤, DTLS를 쓰는 서비스는 OpenSSL 패치 + 재부팅까지 마쳐야 한다.

출처: The Hacker News - OpenSSL Fixes High-Severity DTLS Flaw That Can Leak Heap Memory Unencrypted · CISA KEV Catalog

10. [트렌드] 취약점 공개가 월 1만 건으로 두 배 — AI가 찾은 결함은 RCE일 확률이 2배

Google 위협정보팀(GTIG)이 9월 30일 공개한 연구는 취약점 생태계 자체가 AI로 재편되고 있다는 것을 수치로 보여준다. 결함 공개 건수는 2026년 1월 5,045건에서 7월 10,477건, 8월 10,740건으로 두 배가 됐다. 익스플로잇된 취약점은 2025년 월평균 10.5건에서 2026년 18건으로 늘었다.

• AI 결함은 더 위험하다: GTIG가 'AI 발견 가능성이 높다'고 분류한 결함의 50%가 RCE로 이어질 수 있었다. AI로 찾은 것으로 보지 않은 결함은 26%에 그쳤다. 고위험 결함 비율도 45% 대 28%로 차이가 났다(모두 CVSS가 아닌 GTIG 자체 등급).
• 이유: Google은 연구자들이 광범위 스캔 대신 자율 에이전트를 중요 인프라에 직접 겨냥하기 때문이라고 본다. 즉 AI가 결함을 '더 많이' 찾는 게 아니라 '더 치명적인 곳'을 찾는다.
• 익스플로잇 가속의 정체: 제로데이 익스플로잇은 월 8건→11건으로 소폭 늘었을 뿐인데(8월에는 22건으로 급증), 전체 익스플로잇 증가의 대부분은 n-day의 빠른 무기화에서 나왔다 — 패치와 PoC 코드를 AI로 분석해 재빨리 공격에 옮기는 흐름이다.
• AI 인프라 표면: GTIG는 2026년 1,500건 이상의 AI 관련 취약점을 추적했다. 그중 에이전트 오케스트레이션 프레임워크 782건, 추론·서빙 인프라 212건이며, 후자의 약 4분의 1이 무인증 API 또는 SSRF였다. 아직 AI 인프라의 제로데이 익스플로잇은 확인되지 않았다.
• AI 플랫폼 자체가 미끼로: Huntress는 ChatGPT Custom GPTs를 정품 제품처럼 위장해 악성 사이트로 유도, ClickFix 수법으로 RAT를 배포하는 캠페인을 9월 말 관측했다. 신뢰받는 AI 플랫폼의 기능 자체가 공격 표면이 된 또 하나의 사례다.
• 시사점: 오늘 게시물의 1~8번이 이 트렌드의 실물 증거다 — MCP 도구·에이전트 게이트웨이·AI 서빙 스택에서 무인증 API와 코드 실행 결함이 반복되고(6·7번), 에이전트는 스스로 데이터 반출 경로를 만든다(4번). 방어 전략의 축이 "취약점을 다 패치한다"에서 "에이전트가 실행·접근할 수 있는 범위를 최소화하고, 무인증 경계를 제거한다"로 이동해야 하는 이유다.

출처: Infosecurity Magazine - AI-Found Vulnerabilities More Likely to Enable RCE, Google Says · The Hacker News - Attackers Abuse ChatGPT Custom GPTs to Deliver RAT via ClickFix Lures