BeyondTrust Remote Support 제로데이(CVE-2026-102764, CVSS 9.3) 8월 말부터 악용, 중국 연계 Armory Castle 첩보 공격

✅ 권고 조치BeyondTrust RS 최신 패치를 즉시 적용하고, 8월 이후 침해 흔적과 로그 삭제 여부를 점검

OK저축은행 사흘 만에 또 해킹, 대출신청에 이어 모바일 수신서비스까지 뚫려 누적 518명 유출(계좌번호·잔액 포함)

✅ 권고 조치금융사 사칭 스미싱·맞춤형 피싱 등 2차 피해에 주의

건보공단 직원, 억대 받고 가입자 개인정보 판매 후 파면. 피해자에게는 3개월째 통보하지 않음(국정감사 지적)

클릭 없이 광고만 떠도 감염되는 '애드펙션', 칸디루 스파이웨어가 알자지라 기기 45대 이상을 표적

방산업체 BAE Systems 사이버 공격으로 미 연방 파산법원 통지 시스템 중단

버거킹재팬 앱 회원 기록 1,118만 건 유출

OK저축은행 누적 518명 유출, 금융권 연쇄 침해 16개사로 확대

건보공단 직원 개인정보 판매·파면, 피해자 미통보

예가람저축은행 4만3,246명 개인정보 유출, 해킹 14일 만에 인지

[단독] '샤이니헌터스 창립자' 자칭 계정, 국방부·방첩사 데이터 1TB 판매 주장(진위 미확인)

금융권 해킹에 악용된 AI 도구 '아르텍스', 중국서 유료 상용화

[단독] 금융권 연쇄 해킹 IP 추적, 해킹범의 '한국 직장 근무' 흔적

시청자미디어재단, 개인정보 3천여 건 담긴 감사자료를 외부 5,857명에게 오발송

경찰, 공무원 개인정보 유출 정황으로 예천군청 압수수색

'보복대행' 일당에 개인정보 넘긴 경기도 공무원 구속 송치

금융사 555곳 중 130곳, 자체 보안점검에서 '미흡' 보고

우리은행 21.7%·신한은행 10.4%, 정보보호 예산 감액

KISA 침해대응 시스템 50.7%가 교체 대상, 유지보수 예산은 4년 새 25.1% 감소

제주항공 여권정보 유출 조사 지연, 해킹범 아직 못 잡아

정부, AI 활용 사이버 공격 대응 위해 화이트해커 취약점 점검 활동 제도적 허용 추진(보안 특화 AI 개발·중소기업 보안관제 지원 포함)

티빙 해킹 피해 보상 신청률 14%, 보상 혜택 상당수가 유료 구독 전제이고 탈퇴 회원은 제외

경찰 바디캠 '중국산' 논란, 보안 지침 없이 현장 착용 지속. 영상·개인정보 유출 우려 제기

카메라·통신 기능 갖춘 중국산 전기차 190여대 군 핵심시설 출입 차량으로 등록, 국방부는 4월 영상정보 수집 위험을 판단하고도 출입 통제를 하지 않아 군이 보안 지침 마련 착수

직원의 정보 반출과 공유 폴더 노출이 잇따르며 기업 내부자 통제 허점 지적, 서울경찰청은 국제 공조로 유출정보 유통 텔레그램 채널을 폐쇄하고 피의자 주거지 압수수색

G7, AI 활용 사이버 공격에 대비한 금융 시스템 대응 능력 점검 모의훈련 실시 승인

美 캘리포니아 공립학교 학생 700만 명 개인정보 유출, 주 교육부와 계약한 학생평가 위탁 비영리기관 해킹

중국, AI 모델·에이전트 기술 수출 통제 발표. AI 기반 악성코드 생성·변이 기술은 수출 금지, AI 보조 취약점 탐지 기술은 수출 제한 항목에 포함

[단독] 에베레스트 랜섬웨어, 국내 네트워크 통합 보안기업 태광네트웍정보 데이터 263GB 탈취 주장. 의료·금융·공공기관 등 고객사 네트워크 구성·보안장비 설정 정보 포함 가능성(진위 미확인)

DB저축은행 임직원·외주인력 등 142명 개인정보 유출 추정, 탈취 정보로 대출 가한도 조회 시도. 디지털채널 고도화 사업 외주인력이 유출 경로로 지목

앤트로픽 프런티어 레드팀, 자율 확산형 'AI 웜' 실험 결과 공개. 소형 AI가 스마트 오븐·저가 TV 박스 같은 가전으로 스스로 퍼질 수 있는 단계까지 얼마나 남았는지 분석

이소희 의원, 식약처가 개인정보 유출 관련 국감자료 삭제를 요구했다고 주장. 피해 기업 즉시 통보·유출 범위 전수조사, 등록 단계부터 공개·비공개 항목 분리, 개인정보 자동 비식별 체계 구축 요구

일본서 철도·여행·외식·물류·언론사 등 개인정보 유출 잇따라, 외부 위탁업체가 뚫리며 여러 기업 고객정보가 함께 유출

의료기관 사이버 침해사고 약 90%가 랜섬웨어, 의원급·중소병원에 피해 집중. 국회서 정부 보안관제 지원 확대와 진료 연속성 확보 대응체계 강화 필요성 지적

여의도순복음교회·사랑의교회 등 국내 대형교회 해킹 노출 정황, 교인 개인정보 보호 우려

침해사고 난 고팍스에 이어 빗썸도 최신 보안패치 미적용 등 '보안 미흡' 지적, 프라뱅은 외부인 비정상 접근으로 고객 약 20명 개인정보 유출 확인

개인정보 유출로 정부 처분을 받은 기업이 '정보보호 투자 우수기업' 표시를 계속 사용, 국정감사에서 유출 기업 사후관리 공백 지적

가상자산거래소에 금융회사 수준의 보이스피싱 방지·피해구제 의무 부과하는 개정안 10월 시행 예정, 로맨스스캠 피해 구제 절차는 불명확

하드웨어 지갑 세큐엑스 앱에 복구 문구 입력을 유도하는 피싱 알림 포착, 이후 이용자들의 접속 장애 제보 이어져

CVE-2026-102764 BeyondTrust Remote SupportCVSS 9.3, 제로데이 실제 악용

CVE-2026-76519 시스코 시큐어 이메일 게이트웨이CVSS 9.8, 인증 없이 루트 명령 실행, 실제 악용·KEV 등재

CVE-2026-0322 팔로알토 PAN-OS 관리 인터페이스 RCECVSS 8.6, 실제 악용·KEV 등재

CVE-2026-21589 Atlassian 임의 파일 접근CVSS 9.3, KEV 등재

CVE-2026-104935 Ivanti Connect Secure인증 우회·RCE, 실제 악용

CVE-2026-110447 Nextcloud용 Collabora 내장 CODE 서버명령 실행 취약점, 백도어 설치에 악용

CVE-2026-99999 리눅스 커널 'PwnEscape'게스트 VM에서 호스트 메모리 유출·탈출 가능, 호스트 커널 패치 필요

CVE-2026-15176·CVE-2026-93479 F5 NGINX비인증 RCE(치명적)

CVE-2025-61624 FortiOS 경로 조작PEERSTITCH 악성코드 배포에 악용

CVE-2026-111711 Netcore NR256CNCVSS 9.8, 인증 전 스택 오버플로

CVE-2026-102917 IBM i 7.3~7.6CVSS 7.8, QSECOFR 권한 상승

CVE-2026-108082 Symfony HeaderUtils ReDoS조작된 Cache-Control 헤더로 CPU 고갈

CVE-2026-111708 등 WhaTicket Community(cf04795까지)비인증 공격자가 /auth/signup으로 관리자 계정 자가 등록 가능(인증 우회), 에이전트 간 티켓·메시지 열람 IDOR(CVE-2026-111709)도 함께 공개

CVE-2026-111706 등 99AI 4.3.0 이하인증 없이 exportExcel 경로로 전체 사용자 채팅 로그 내보내기 가능, 순차 chatId 대입 IDOR(CVE-2026-111707)로 타인 대화 열람

CVE-2026-103849 Magento·Adobe Commerce 'BlockStrap'최고 심각도, 상점 서버에서 임의 PHP 코드 실행 가능, 연구진은 곧 악용될 수 있다고 경고

CVE-2026-96620 Claude Agent SDK(Python) 0.2.121 미만resume 옵션 값 검증 누락으로 인자 주입, --mcp-config 플래그 삽입을 통해 임의 명령 실행 가능

CVE-2026-108743 등 Apache Kylin 4~5.0.4Spark 작업 OS 명령 주입, 비인증 메타스토어 정리(CVE-2026-68573)·인증 우회(CVE-2026-108709) 등 다수 공개, 5.0.5에서 수정(공개망 노출 인스턴스 위주 영향)

CVE-2026-102607 등 ZoneMinder CCTV 소프트웨어내보내기 기능 OS 명령 주입으로 인증 사용자 원격 코드 실행, 모니터 장치 경로·이름 필드 명령 주입(CVE-2026-30971·CVE-2026-102608)도 함께 공개, 1.38.3 등에서 수정

CVE-2026-55796 등 Frappe HR(HRMS)Salary Payments via ECS 보고서 필터의 SQL 인젝션(인증된 HR 사용자), PWA API 권한 검증 누락으로 다른 직원 데이터 열람(CVE-2026-64862)도 함께 공개, 15.60.3·16.7.1에서 모두 수정

CVE-2026-96627 등 Arcane(Docker 관리 UI)users:update 위임 권한만으로 관리자 비밀번호를 바꿔 계정 탈취 가능. 레지스트리 URL 변경을 통한 저장 자격증명 유출(CVE-2026-96626), 에이전트 토큰으로 관리자 전용 /api/debug/pprof 접근(CVE-2026-96628)도 공개, 2.11.0에서 모두 수정

CVE-2026-96542 EA Javelin 안티치트 독립 설치 프로그램(Windows)권한 설정 오류로 일반 사용자가 EAAntiCheatService 서비스를 변조해 SYSTEM 권한 획득 가능

CVE-2026-62439 등 GIMP조작된 PowerVR(.pvr) 파일을 열거나 미리보기만 해도 정수 오버플로에 이은 힙 버퍼 오버플로로 코드 실행 가능, PAA 파일 처리 범위 밖 읽기(CVE-2026-62438)도 공개

CVE-2026-68498 jackson-core문자 기반 입력(ReaderBasedJsonParser)에서 속성명 길이 제한(maxNameLength)이 늦게 적용돼, 긴 속성명을 담은 JSON으로 메모리 고갈 서비스 거부 유발

CVE-2026-110753 등 Perl Text::CSV_XS 1.65 미만skip_empty_rows 사용 시 use-after-free. 숫자 플래그 문자열을 따옴표 없이 출력해 레코드가 분할되는 문제(CVE-2026-110757), RFC 7111 선택자 메모리 고갈(CVE-2026-110752) 등 8건 공개, 1.65에서 수정

CVE-2026-17591 libarchivearchive_entry_copy_mac_metadata() 처리 중 use-after-free 발생, 서비스 거부·정보 노출 가능

CVE-2026-111823 Mage OSS 0.9.80 이하(76c4f46 이전) OAuth 인증 우회CVSS 9.8 CRITICAL, 등록되지 않은 OAuth 제공자 요청에도 세션을 생성

CVE-2026-89096 nfs-utils rpc.statd 메모리 누수인증 없는 원격 공격자가 상태 알림 요청을 반복 전송하면 메모리가 계속 증가해 서비스 거부 유발(rpc.statd 외부 노출 시)

CVE-2026-111853 등 Tektronix 3 Series MDO 오실로스코프 1.21.1 미만SCPI FILESystem:MOUNT:DRIve 명령 처리기 OS 명령 주입으로 원격 공격자가 상승된 권한으로 명령 실행 가능, SCPI·웹 관리 인터페이스 경로 조작(CVE-2026-111854·CVE-2026-111855)도 공개, 1.21.1에서 수정

CVE-2026-110653 등 WordPress LatePoint(예약 플러그인) 5.7.4 이하OTP 시도 횟수 카운터 경쟁 조건으로 비인증 인증 우회 가능, customer[uuid] 파라미터 ORM 연산자 주입으로 비인증 민감정보 노출(CVE-2026-111602)도 공개

CVE-2026-107762 등 WordPress Kirki 6.3.2 이하'context' 파라미터 IDOR로 비인증 공격자가 민감정보 열람 가능, ZIP 템플릿 가져오기 역직렬화를 통한 관리자 권한 PHP 객체 주입(CVE-2026-104734)도 공개

CVE-2026-109208 WordPress LearnPress(LMS 플러그인) 4.4.10 이하'quantity'·'order_comments' 파라미터 입력 검증 미흡으로 비인증 저장형 XSS

CVE-2026-104736 등 WordPress LearnPress 4.4.10 이하'checkout-email' 파라미터 역직렬화로 비인증 PHP 객체 주입, 구독자 권한 이메일 주소 열거(CVE-2026-107744)도 공개

CVE-2026-108123 등 WordPress WP Booking System 2.1.0.3 이하권한 검증 누락으로 비인증 공격자가 이메일 로그 열람 가능, 구독자 권한 권한 상승(CVE-2026-109369)·예약 정보 노출(CVE-2026-109368)도 공개

CVE-2026-96660 등 WordPress User Registration & Membership 5.2.8 이하체크박스 필드 값을 통한 비인증 저장형 XSS, Referer 헤더 경유 임의 숏코드 실행(CVE-2026-92798)·CSRF(CVE-2026-92978)도 공개

CVE-2026-103899 WordPress EU VAT Assistant for WooCommerce 2.1.30.260413 이하'vat_number' 파라미터 입력 검증 미흡으로 비인증 저장형 XSS

CVE-2026-104246 WordPress Contact Form 7 Signature Addon 4.2.2 이하서명 필드 값 경로 조작으로 비인증 공격자가 임의 파일(wp-content 범위)을 폼 발송 메일에 첨부해 빼낼 수 있음

CVE-2026-81343 등 WordPress ACF Frontend Admin(DynamiApps) 3.29.13 이하폼 제출 동작 권한 검증 누락으로 비인증 방문자가 사이트 전역 ACF 옵션 값을 덮어쓸 수 있음, 관리자 권한 PHP 객체 주입(CVE-2026-81344)도 공개

CVE-2026-103376 WordPress PeachPay(WooCommerce 결제 플러그인) 1.117.9~1.120.69권한·소유자 확인 없이 주문 비밀키를 반환해 비인증 공격자가 타인 주문 키 획득 가능, 1.120.70에서 수정

CVE-2026-106470 WordPress WP Data Access 5.5.88 미만권한·CSRF 검증 누락으로 구독자 권한 사용자가 서버에서 내부망 포함 임의 호스트·포트에 접속하고 결과를 읽는 SSRF 가능

CVE-2026-91074 WordPress BSK PDF Manager 3.8.1 이하tags_specific 숏코드 속성 SQL 인젝션으로 기여자 권한 사용자가 관리자 비밀번호 해시 등 민감정보 열람 가능

CVE-2026-92433 등 WordPress Patreon 플러그인 1.10.0 미만계정 연결 시 nonce 미검증 CSRF로 관리자를 속여 사이트의 Patreon 연동을 공격자 계정으로 탈취 가능, 'state' 파라미터 오픈 리다이렉트(CVE-2026-92432) 등도 공개, 1.10.0에서 수정

CVE-2026-110384 WordPress Fancy Comments(Heateor) 1.2.21 이하CVSS 7.1 HIGH, 입력값 검증 미흡으로 반사형 XSS 가능

CVE-2026-111110 WordPress GetPaid(결제·인보이스 플러그인) 2.8.61 이하'mmdwqzpoxadd' 파라미터 입력 검증 미흡으로 비인증 저장형 XSS

CVE-2026-100316 WordPress European VAT Compliance Assistant for WooCommerce 1.36.10 이하CF-IPCountry 헤더 입력 검증 미흡으로 비인증 저장형 XSS

CVE-2026-110253 WordPress weForms(폼 빌더) 1.6.28 이하'wpuf_files' 파라미터 파일 경로 검증 미흡으로 비인증 공격자가 미디어 파일을 제한적으로 삭제 가능

CVE-2026-110889 WordPress Gantry 5 Framework 5.6.4 이하CVSS 7.5 HIGH, 오류 메시지에 민감정보가 포함돼 노출