샤이훌루드 웜, 잠깐 공개됐을 뿐인데 벌써 변종 등장

💡Editor's Pick - 2025년 9월 첫 등장했던 샤이훌루드, 배후엔 팀PCP이 유력 - 하루도 안 되는 기간 동안 잠시 소스코드 유출되는 사고 발생 - 이미 NPM에 다양한 변종 등장...AI 바이브코딩과 결합된 듯 악명 높은 샤이훌루드(Shai-Hulud) 웜의 소스코드가 깃허브에 유출된 지 단 며칠 만에 아류들이 나타나기 시작했다. 보안

받은 편지함에서 시작된 Exchange 제로데이 CVE-2026-42897, OWA 세션을 노린다

💡Editor Pick - CVE-2026-42897은 On-Premises Microsoft Exchange Server의 Outlook Web Access를 겨냥한 제로데이 취약점 - 사용자의 OWA 브라우저 세션 안에서 악성 JavaScript 실행을 유도 - 취약점의 핵심 위험은 메일 본문 조회와 내부 커뮤니케이션 노출이 기업 정보 유출로 이어질 수 있다는 점 Microsoft Exchange Server에서 다시 긴급 대응이 필요한 제로데이 취약점이

윈도 제로데이 미니플라즈마, PoC 익스플로잇 코드도 공개

💡Editor's Pick - 윈도 cldflt.sys 드라이버에서 발견된 제로데이 취약점 - 사실 발견일자는 2020년인데 어쩐 일인지 패치가 무효화 돼 - 현재는 제로데이...해당 드라이버 비활성화가 유일하다시피한 대책 미니플라즈마(MiniPlasma)로 명명된 윈도 취약점의 개념 증명용 익스플로잇 코드가 공개됐다. 윈도 클라우드 파일 미니 필터 드라이버인 cldfit.sys에 영향을 미치며,

AI Workflow 도구는 어떻게 새로운 공격 허브가 되었는가

💡Editor Pick - Langflow 취약점 활용한 공격은 AI 시대의 ‘결제 권한’ 탈취 사건 - 서버보다 내부 AI 워크플로우와 자동화 구조를 이해할 수 있는 권한 탈취가 목표 - AI API Key는 단순 인증값이 아니라 기업의 AI 운영 구조에 접근할 수 있는 새로운 세션 토큰 AI 서버를 뚫은 것이 아닌, AI 사용권과

세계적 해킹 대회 폰투온, 19년만에 처음 겪는 난리로 진통

💡Editor's Pick - 실용성 앞세운 해킹 대회, 19년만에 주최측 곤란 겪어 - AI 도움 받은 전문가들, 대회 등록 시도 쇄도 - 참가 실패한 전문가들, 취약점 정보 공개하기 시작 긴급한 전화가 걸려왔다. 독일행 비행기 탑승 직전이었던 지인이었다. 문이 곧 닫혀 오래 통화할 수 없으니 간략히 설명한다며 그는 14일부터 열리는

ODINI가 보여준 에어갭 보안의 물리적 한계 : 물리적 망분리는 끝이아니다

💡Editor Pick - ODINI는 Air-gap 환경에서 CPU가 만드는 저주파 자기장을 이용한 데이터 유출 - Air-Gap을 완전한 단절로 이해 한다면 보안 사고의 시작점 - 물리적 망분리 정책은 “어떤 위협 모델을 기준으로 분리했는가”를 질문하고 답을 준비 망을 끊으면 정말 안전한가 우리나라의 보안 정책에서 물리적 망분리는 오랫동안 강력한 통제 수단으로 작동해왔다. 내부

AI와 하드웨어 사이에서, CODEGATE 2026이 묻는 보안 교육의 다음 단계

우리나라 보안 교육은 왜 깊어지기 어려운가? CODEGATE 2026은 “The Path Toward a Top 3 Global AI Power: Security”라는 방향을 내세우고 있다. AI 세계 3대 강국으로 가기 위해서는 보안이 함께 가야 한다는 문제의식이다. AI, 보안, 글로벌 경쟁력이라는 단어는 이미 많은 행사와 정책 문서에서 반복되어 왔다. 그러나 CODEGATE 2026 Training Session의

[TE머묾] 헝가리 통해 보는 보안 배척 레퍼토리

💡Editor's Pick - 초연결사회이기 때문에 보안 강화하라? 안 먹히는 논리 - 결국 귀와 마음을 열고, 체험에까지 이르게 해야 하는데 - 정면 반박보다는 방향만 살짝 비틀어도 효과 커질 수 헝가리 새 정부에 세계 언론들이 눈과 귀를 집중시키는 중이다. 16년 간 이어졌던 ‘사실상의 독재 체제’가 무너졌다는 사실 자체도 그렇지만,

[Hackyboiz 해킹짹짹 x TTE] Axios 공급망 공격이 보여준 AI 코딩 시대의 새로운 책임 문제

💡Editor Pick - 바이브 코딩은 조직 안의 코드 개발 환경 확산을 가져옴 - Axios 공급망 공격은 개발자 PC, 오래된 토큰, npm 배포 구조가 공격 경로로 사용되는 모습의 예시 - AI 시대의 보안은 누가 코드를 만들고 실행하며 책임지는지의 문제 같은 날 드러난 두 개의 실패 2026년 3월 31일, 개발자 생태계는 서로

허깅페이스 트렌딩 1위는 오픈AI 사칭한 악성 프로젝트

💡Editor's Pick - 인기 AI 모델 플랫폼 허깅페이스에서 악성 저장소가 1위 등극 - 오픈AI가 출시한 프라이버시 필터를 사칭한 것이 주효 - 저장소의 코드 소개 내용까지 그대로 복제해 구분 어렵게 해 인기 AI 모델 공유 플랫폼인 허깅페이스(Hugging Face)에서 오픈AI의 오픈웨이트(open-weight) 방식으로 배포된 '프라이버시 필터(Privacy

[포인트 콕콕] 디지서트의 투철한 서비스 정신, 보안 구멍 되다

💡Editor's Pick - 디지서트 직원, 4번의 보안 경고 무시하면서까지 '서비스 정신' 보였으나 - 때마침 보안 솔루션 미작동으로 감염 확산됐으나 보안팀은 인지 실패 - 외부 연구원이 수상한 멀웨어 제보해 기민한 대처 가능 지난 4월 2일 미국 정보 보안 기업이자 인증 기관 디지서트(DigiCert)이 사이버 공격의 표적이

키의 유효기간을 넘어, 자격 증명의 체류 시간을 줄여야 한다

💡Editor Pick - 국내, 암호키의 생명주기와 유효기간 언급 - 해외, 장기 자격 증명 자체를 줄이는 방향으로 고민/이동 중 - “키를 언제 교체할 것인가?”에서 “이 키가 꼭 오래 살아 있어야 하는가?”로 바꾸어야... Argemma Blog의 “You don’t want long-lived keys” 에서는 Long-lived key는 시간이 지날수록 위험이 누적되는 부채이며,