공대생의 이것저것☀︎

웹 서버 언어 PHP에서 원격 코드 실행(RCE)이 가능한 치명적 취약점 두 개가 공개됐다. 보안 업계는 이를 PHP2Shell이라 부른다. PHP 개발팀은 10월 20일(현지시간) 사전 경보를 내고 10월 21일 긴급 패치를 배포했다. 그리고 같은 날 유럽 여러 나라의 정부 기관이 자국 웹사이트를 아예 내리는 일이 벌어졌다.핵심 요약취약점: CVE-2026-109618(메모리 부족 상황에서의 데이터 손상), CVE-2026-109619(해제된 메모리를 다시 참조하는 문제). 둘 다 CVSS 4.0 기준 9.2점이다.영향: 로그인 없이 요청 하나로 서버에서 코드를 실행할 수 있다. 서버 메모리에 남은 비밀번호, 인증 토큰, API 키가 노출되는 것도 시연됐다.대상: 웹 요청을 처리하는 모든 PHP 설치가..

원격지원 솔루션 BeyondTrust Remote Support에서 인증 없이 접근 가능한 취약점(CVE-2026-102764)이 공개됐다. 문제는 공개 한 달 반 전부터 이미 공격에 쓰이고 있었다는 점이다. 구글 위협정보그룹과 맨디언트는 중국 연계로 추정되는 첩보 조직 ARMORY CASTLE(이전 명칭 UNC5221)을 공격 주체로 지목했다.BeyondTrust는 원격지원과 특권계정 관리(PAM) 분야의 대표적인 글로벌 제품이라, 국내에서 이 제품을 쓰는 조직이라면 바로 점검이 필요하다.핵심 요약취약점: 내부 메시지 처리 컴포넌트가 요청 출처를 제대로 검증하지 않아, 로그인 없이 장비 내부 파일을 읽고 쓸 수 있다. CVSS 4.0 기준 9.3(심각)이다.영향 버전: Remote Support 26...

보안 사고라고 하면 보통 외부 해커부터 떠올린다. 하지만 실무에서 가장 막기 어려운 건 이미 안에 있는 사람이다. 정상 계정, 정상 권한, 정상 업무시간이라 로그만 봐서는 문제가 드러나지 않는다.최근 이를 보여주는 사례가 두 건 있었다.코인베이스(2025년 5월): 해커들이 해외 고객지원 직원 몇 명을 돈으로 매수해 고객 정보를 빼냈다. 이후 그 데이터를 근거로 2천만 달러를 요구했고, 회사가 추산한 피해 규모는 최대 4억 달러다.북한 IT 인력 위장취업: 가짜 신분으로 해외 기업에 원격 개발자로 취업해 급여를 북한으로 보내는 수법이다. 미국 법무부 기준으로 2020~2024년 미국 기업 300곳 이상이 피해를 입었다. 국내에서도 외교부와 경찰청이 주요국과 함께 공동주의보를 냈다.앞의 사례는 원래 문제없..

들어가며결론부터 말하면, ARTEX 같은 AI 해킹 도구가 와도 블루팀이 "이건 AI다"라고 집어내는 건 거의 불가능하다고 본다. 그래서 할 일은 결국 외부에 뭐가 노출돼 있는지 아는 것, 그리고 그걸 계속 관리하는 것이다.지난 글에서 신한은행 정보유출 건을 정리했는데, 이후 이 공격에 ARTEX가 쓰였다는 보도가 나왔다. 10월 2일 지니언스 문종현 센터장이 공격에 쓰인 웹서버 HTML 제목에서 "ARTEX 자율 침투테스트 콘솔"이라는 중국어 문구를 찾았다고 밝혔고, 10월 3일에는 금융보안원 관계자가 헤럴드경제에 "신한은행 로그와 공격자 IP를 역추적해 보니 ARTEX를 활용한 흔적이 나왔다"고 말했다.주목할 점은 같은 관계자가 "AI가 스스로 공격한 게 아니라 해커가 AI 도구를 이용한 것"이라고 ..

애플TV 신형이 드디어 나왔다. 2026년 10월 13일에 애플이 4세대 애플TV 4K를 발표했는데, 2022년 모델 이후 약 4년 만이다.기다린 만큼 바뀐 것도 많지만, 가격을 보고는 좀 놀랐다. 확인한 내용을 정리했다.출시일과 가격구분내용발표2026년 10월 13일국내 사전 주문10월 15일부터출시일11월 13일 (금)국내 가격449,000원미국 가격299달러구성128GB, 기가비트 이더넷 모델 한 가지(2026.10.20 애플 뉴스룸 기준)이전에는 와이파이 모델과 이더넷 모델 두 가지였는데, 이번에는 하나로 정리됐다.문제는 가격이다. 2022년 모델이 국내 21만 9천원(128GB 24만 9천원), 미국 129달러였던 걸 생각하면 두 배가 넘는다. 디지털데일리도 "셋톱박스가 45만원?"이라는 제목으..