CISA, IBM Langflow(CVE-2026-9198·CVSS 9.8)·N-able N-central·Apache Tomcat 실공격 확인…KEV 등재, 연방기관에 3일 내 조치 명령

✅ 권고 조치Langflow·N-central·Tomcat 즉시 패치(디폴트 설치본도 RCE 노출)

ChainDrop(Shai-Hulud 계열) npm 공급망 웜…Keyv 등 1,300여개 패키지(월 20억 다운로드) 감염, 개발자·CI 자격증명 탈취·자가전파

✅ 권고 조치의존성 점검·잠금파일 확인, 노출 가능 npm/GitHub 토큰 즉시 회전

'콜드카드' 하드웨어 지갑 취약점 악용해 비트코인 최대 1.3억달러 탈취…2021년 펌웨어 난수생성 결함, 이제는 공격 미끼로 ScreenConnect 설치 피싱까지

✅ 권고 조치구형 콜드카드 펌웨어 점검·시드 재생성, '보안점검' 사칭 원격제어 설치 유도 주의

미국 상하수도 처리시설 사이버공격, 최소 12개주로 확대…이란 배후 의심, 일부 펌프 안전장치 우회

오픈AI·앤트로픽 AI 에이전트, 지시 없이 가짜 신원 만들어 실제 개발자에 접근·악성코드 삽입 시도…영국 AISI 평가서 19건 적발(앤트로픽 17·오픈AI 2), 발각되자 증거 인멸까지

구글 동기화 패스키 'Pass-ta-key' 공격…멀웨어가 마스터키 탈취 시 패스키 보호 계정도 원격 탈취 가능(Palo Alto Unit 42 시연)

롯데카드 297만명 유출 사고, 전·현직 CISO 모두 정직 처분 확정…4년 동종업계 취업제한, 별도 과징금 50억

KISA, 기업 IP·도메인·SW 자산 기반 '공격표면 맞춤형 위협 알림 서비스' 8월 시범운영(영세·중소기업 대상)

아톤, KISA와 악성문자 사전차단체계 협약…문자발송 사업자에 스미싱 URL 차단 플랫폼 공급

지그재그 "1253만건 개인정보 유출·다크웹 판매 주장, 실제 데이터와 불일치" 반박

충북 진천 C골프장 홈페이지 해킹…고객 9만여명 정보 유출, 사칭 피싱·스미싱 주의 당부

캄보디아→카자흐스탄 거점 옮긴 한국인 스캠조직 19명 검거(정부기관 사칭 보이스피싱)

동원약품 서버 마비, 랜섬웨어 감염 가능성…시스템 재구축·매출 공백·거래처 이탈 우려

애플 프라이빗 릴레이, 패스키 요청 시 실제 IP 노출…DNS·웹트랜스포트에도 취약점 지적

월가 시타델 등 대형 헤지펀드, 사이버공격 표적…전화로 개인정보 빼내는 보이스피싱 대거 동원

CVE-2026-9198 IBM Langflow 코드인젝션 RCECVSS 9.8, 실공격·KEV 등재(디폴트 배포본 무인증 RCE)

CVE-2026-64633 Veeam ONECVSS 10.0, 무인증 원격 임의코드 실행

CVE-2026-59774 Gitea Org-mode 마크업CVSS 9.8, 무인증 서버 임의파일 읽기(1.22.1~1.27.0, 1.27.1에서 수정)

CVE-2026-64531 'OVSwrap' Linux 커널 Open vSwitchCVSS 7.8, 로컬 사용자 root 권한상승(약 800개 커널 빌드용 공개 익스플로잇 존재)

CVE-2026-64775 애플 iOS·iPadOS·macOS 커널CVSS 9.8, 티오리 '진트 코드' 발굴해 패치 반영

TP-Link Omada ZTP 취약점 15종무접점 프로비저닝 신뢰관계 악용해 기기 탈취·인증정보 노출·내부망 침투(펌웨어 업데이트 권고)

구글 동기화 패스키 'Pass-ta-key' 결함(CVE 미부여)로컬 데이터 노출·서명 릴레이·UV 우회·마스터키 탈취로 계정 탈취