NLTK 라이브러리에서 데이터를 온라인으로 내려받을 때, 다운로드가 끝난 뒤 압축을 풀기 전 단계에서 파일 무결성을 검증하지 않는 보안 취약점이 발견되었습니다. 공격자가 중간자 공격(MITM)이나 DNS 포이즈닝으로 악성 패키지를 주입하면 검증 없이 시스템에 풀려 실행되는 위험이 있습니다. CVE-2026-63310 개요: NLTK 다운로더의 무결성 검증 누락이란 CVE-2026-63310은 NLTK 3.9.3 이전 버전의 다운로더 모듈에서 발생하는 취약점입니다. 패키지를 내려받은 뒤 파일 … 더 읽기

AI 에이전트가 외부 리소스에 접근할 때 보안 사고를 방지하려면 인증 토큰의 교환, 범위 제한, 정책 평가로 이어지는 단계적 권한 통제 구조를 제어 평면에 설계해야 합니다. AI 에이전트 제어 평면의 필요성과 권한 통제 프로세스 기업 내 AI 에이전트 도입이 가속화되면서 에이전트가 자율적으로 API를 호출하거나 데이터베이스에 접근하는 사례가 늘고 있습니다. 이때 제어 평면(Control Plane)이 에이전트의 행동을 감시하고 … 더 읽기

시프트레프트 보안은 개발·빌드 단계에서 취약점을 조기에 발견해 보안 결함이 운영 환경으로 전이되는 것을 막습니다. 운영 부담을 덜어주는 셈이죠. 이 과정에는 Gitleaks와 Trivy 같은 자동화 도구가 활용됩니다. 시프트레프트 보안 운영이란 무엇인가 시프트레프트(Shift-Left) 보안 운영은 소프트웨어 개발 생명주기(SDLC) 후반부의 테스트나 운영 단계가 아니라, 초기 개발·빌드 단계로 보안 검증 프로세스를 앞당기는 전략입니다. 코드 레벨의 시크릿 노출과 인프라 구성(IaC) … 더 읽기

TrueConf Server의 CVE-2026-72529 취약점이 KEV 카탈로그에 추가됐습니다. 이미 실제 공격에 악용되고 있고, 공격자가 화상회의 참가자까지 감염시키는 공급망 위협으로 번졌다는 사실을 공식적으로 확인한 셈입니다. 2026년 8월 20일 CISA가 실제 악용 증거에 근거해 KEV에 등재하면서 연방 민간 행정기관(FCEB)에는 8월 23일까지 완화 조치를 적용하고 BOD 26-04를 준수할 의무가 생겼습니다. CVE-2026-72529이란: TrueConf Server 인증 누락 취약점과 4307/TCP 공격 경로 … 더 읽기

Zimbra Collaboration Suite(ZCS)에서 발생한 CVE-2026-73570 취약점은 SNMP 알림 처리 과정에서 입력 값 검증이 부적절해 생긴 OS 명령 주입 취약점입니다. 인증되지 않은 외부 공격자가 특수하게 구성된 요청을 보내 Zimbra 사용자 권한으로 임의의 OS 명령을 실행할 수 있습니다. CVE-2026-73570 취약점의 정의와 기술적 위험성 CVE-2026-73570은 Zimbra Collaboration Suite(ZCS) 10.1.20 이전 버전에서 발견된 심각한 보안 결함입니다. 핵심은 SNMP(Simple Network … 더 읽기

Microsoft Entra ID에서 발생한 CVE-2026-69836은 신뢰하지 않는 데이터의 역직렬화가 원인인 원격 코드 실행(RCE) 결함입니다. 인가되지 않은 공격자가 네트워크로 코드를 실행할 수 있어 위험도가 매우 높습니다. 다만 Microsoft가 이미 자체적으로 완화 조치를 완전히 마쳤습니다. 서비스 이용자가 추가로 취할 조치는 없습니다. CVE-2026-69836 개요: 무엇이, 어디서, 언제 발견되었나 CVE-2026-69836은 Microsoft의 클라우드 기반 ID 및 접근 관리 서비스인 Microsoft … 더 읽기

모바일 RASP는 애플리케이션 내부에서 보호 로직을 실행시켜 주변 환경의 보안 경계에 의존하지 않는 보안 방식이다. 다만 공격자가 런타임 시스템 인터페이스(특히 libc 함수 경로)를 소유하면 보호 체크도 공격자 디바이스의 공격자 CPU에서 실행되고 판정되어 무력화된다. 이 글은 2026년 8월 기준 공개된 기술 검증 사례를 중심으로, RASP의 내부 구조와 우회 기법의 원리, 검증 시 반드시 구분해야 할 해석 … 더 읽기

TrueConf Server의 CVE-2026-72530 취약점은 인증되지 않은 원격 공격자가 시스템 권한으로 임의 코드를 실행해 호스트 전체를 장악할 수 있다는 점에서 매우 위험합니다. CISA KEV 등재는 이 취약점이 이론적 가능성을 넘어 실제 공격에 악용되고 있음을 공식적으로 확인해 줍니다. CVE-2026-72530 취약점 분석: 무엇이 문제인가 TrueConf Server에서 발견된 CVE-2026-72530은 코드 인젝션(Code Injection) 취약점입니다. 핵심은 공격자가 특수하게 조작된 스크립트로 기존의 … 더 읽기

공공기관이 인공지능 전환(AX)을 추진할 때 참고할 문서가 개인정보보호위원회가 발표한 ‘공공 AX 프라이버시 보호 안내서’입니다. 이 글에서는 안내서를 바탕으로 AX 생애주기에 걸친 10대 핵심 점검사항과 기관의 AI 활용 유형에 따른 차등화된 보호 기준을 정리했습니다. 공공 AX 프라이버시 보호 안내서의 목적과 적용 범위 정부는 공공기관이 인공지능 전환(AX) 과정에서 생길 수 있는 개인정보 처리 이슈를 사전에 확인하고 대응하도록 … 더 읽기

MLflow 서버를 운영 중이라면 이번 CVE-2026-64849는 가볍게 넘길 문제가 아니다. 운영 중인 인스턴스의 자격증명을 실시간으로 유출시킬 수 있는 위협이다. MLflow 웹훅 전송 단계에서 발생하는 인증 없는 SSRF(Server-Side Request Forgery, CWE-918) 취약점으로, 공격자가 클라우드 인스턴스 메타데이터 서비스(AWS IMDS 등)에 서버가 HTTP 요청을 보내게 만들어 IAM 자격증명·시크릿을 탈취하거나 내부 전용 관리 서비스에 직접 접근하는 것이 핵심 위험이다. … 더 읽기