BeyondTrust Remote Support 제로데이(CVE-2026-102764) 실공격, Fortinet 다중 제품 취약점과 함께 CISA KEV 등재

✅ 권고 조치BeyondTrust·Fortinet 즉시 패치, 웹셸·비정상 계정·지속성 흔적 점검

ConnectWise Cloud Backup(구 SkyKick) 자격증명 탈취, M365 테넌트 173곳 무단 접속

✅ 권고 조치사용 MSP·고객사는 앱 동의·권한 회수, 토큰 무효화, ConnectWise IOC로 로그인 기록 점검

OK저축은행 3일 만에 추가 해킹, 수신서비스 고객 268명 추가 유출(누적 518명)

✅ 권고 조치금융사 사칭 스미싱·보이스피싱 등 2차 피해 주의

프랑스 슈퍼마켓 약 700곳 냉장설비 원격관리 시스템 해킹, 온도 50도까지 상승

Candiru 스파이웨어, 표적 광고로 제로클릭 감염(알자지라 대상)

美 캘리포니아 공립학교 학생 700만 명 개인정보 유출, 교육부 위탁 비영리기관 해킹

SiteGuard Server Edition WAF OS 명령 주입 취약점 실제 악용공격자가 영향 서버에서 root·SYSTEM 권한으로 명령 실행

✅ 권고 조치SiteGuard Server Edition 사용 여부 확인 후 벤더 보안 업데이트 즉시 적용, 관리 인터페이스 외부 접근 제한 및 비정상 명령 실행 흔적 점검

OK저축은행 추가 해킹, 수신서비스 고객 268명 유출(누적 518명)

에베레스트 랜섬웨어, 태광네트웍정보 263GB 탈취 주장… 고객 기관 75곳 네트워크·보안설정 노출 우려

DB저축은행 임직원·외주인력 142명 개인정보 유출 추정, 탈취 정보로 대출한도 조회 시도

우리은행 21.7%·신한은행 10.4% 정보보호 예산 감액, 5대 은행 예산 공개

시청자미디어재단, 개인정보 3천여 건 담긴 감사자료를 외부 5,857명에 오발송

고팍스·빗썸 최신 보안패치 미적용 지적, 프라뱅 고객 약 20명 개인정보 유출

경찰, 공무원 개인정보 유출 의혹으로 예천군청 압수수색

식약처 국감자료 내 개인정보 노출 논란, 유출 범위 전수조사 요구

의료기관 침해사고, 약 90%가 랜섬웨어… 의원·중소병원에 피해 집중

개인정보 유출로 처분받은 기업이 '정보보호 투자 우수기업' 표시 유지, 국감서 지적

과기정통부, 화이트해커 취약점 점검 허용 제도화 추진

가상자산거래소에 보이스피싱 방지·피해구제 의무 부과 개정안 10월 시행 예정

5대 은행장 이번 주 국감 증인 출석, 금융권 연쇄 해킹·고객정보 유출과 정보보호 예산 감액 책임 질의 예정

은행 FDS에 걸린 보이스피싱 거래 지난해 8,760건으로 전년 대비 두 배, 5대 은행 관련 탐지 건수는 111만여 건(39.9% 증가)

개인정보위, 최근 과징금 부과 사건 10건 중 9건에 재량감경 적용… 국감서 감경 관행화 지적

시민단체·국회의원, 대규모 개인정보 유출 후 분쟁조정안 거부·과징금 불복소송 낸 기업에 소송 철회·피해 배상과 집단소송법 제정 요구

안랩, AI에 공격 대상 지정만으로 내부망 침투 수행한 정황 분석… 윈도·리눅스 넘나드는 스크립트·악성코드 51개와 쿠버네티스 활성 시스템 85대 스캔 결과 확보

신한은행 고객 2만5천명 정보 유출 사건과 연관 거론된 AI 공격 프로토콜 '아르텍스', 파생 소스코드 깃허브 공개 후 유료 판매 정황… 실제 유출 직접 수행 여부는 미확인

은행 보이스피싱 의심거래 55만건 탐지에도 이체 지연 등 임시조치는 12%에 그쳐… 금융당국, 은행이 고객 민원 우려로 거래 제한에 소극적이라고 지적

보험연구원, 보험사가 고객정보 처리를 위탁해도 수탁사 유출 사고에 대한 관리·감독 책임과 민사상 손해배상 책임은 남는다고 지적

수협은행 금융사기 피해액 9억원 넘어 2년 새 10배… 2023년 메신저피싱 1건에서 은행·공공기관 사칭, 대출사기, 파밍 등으로 유형 확대(국감 자료)

서울시 따릉이 회원 462만 명 개인정보 유출 사고, 국감서 서울시·서울시설공단의 대응·책임자 문책 부실 지적… 보상으로 준 5천 원 이용권 사용률은 0.38%

한전, '민감정보 노출 없다'던 해명과 달리 안면인증·CCTV 관련 정보까지 유출됐다는 국감 지적

금감원, 2차 해킹 발생한 OK저축은행 현장점검… 저축은행 개인정보 유출 잇따르자 점검 확대, 이번 주 업권 간담회 예정

대형병원 23% 보안관제 미흡 지적, 올해 1월 전남대병원 랜섬웨어 사고로 EMR·의료영상전송시스템(PACS) 영향 사례 거론

CJ ONE 통합회원으로 가입한 티빙 계정 863만개 개인정보 유출, 국감서 통합회원 운영사·지주사 책임까지 개인정보위가 추가 조사해야 한다는 주장 제기

OTT 개인정보 유출 보상, 탈퇴 회원은 재가입해야 받을 수 있고 '1년짜리 보험' 위주라 국감서 실효성 부족 지적

고팍스, 9월 초 해킹으로 고객 개인정보 유출됐으나 한 달 뒤인 10월 초에야 파악… 16일 공식 사과

개인정보위 조사 착수 전 증거 폐기에 대한 제재 공백 국감서 지적, 법 개정 요구… KT 서버 38대 BPF도어 감염 당시 네트워크 로그 부재로 추가 유출 확인 어려웠던 사례 거론

개인정보 유출 피해자 1,953만명에 1인 2만원 기준으로 산정한 3,906억원 보상비용, 이용권 보유 여부·요금제별 실제 혜택 차이 미반영 국감서 지적

보이스피싱 10억원 이상 초고액 피해자 지난해 77% 급증, 1억원 이상 피해자도 66% 늘어 3천명 육박… 검사 사칭에 11억 송금 사례도

성범죄 피해자가 삭제 요청 때 낸 정보가 美 하버드대 버크먼클라인센터의 콘텐츠 삭제 요청 연구 데이터베이스로 넘어가 외부에 노출, 개인정보위가 이를 '인적 오류'로 본 데 대해 국감서 지적

강남언니 운영사 대표 정무위 국감 출석, 미용·의료 정보 플랫폼 이용자 개인정보 유출 관련 이용자 증가에도 보안 투자는 제자리였다는 책임론 제기

신한은행, 보안 전담반 구성·정보보호 예산 증액 등 보안체계 보강 착수… 랜섬웨어 등 위협 대응해 최신 보안 패치를 전산시스템에 신속 적용하고 보안 작업 효율화 추진

할리스 멤버십 해킹, 2020년 2월 11일 이전 가입 고객 아이디·비밀번호·주소 등 개인정보 유출… 9월 3일~10월 7일 해킹 추정, 16일 확인 후 비밀번호 변경 권고

尹 정부 시기 날린 대북풍선에 탈북민 131명 개인정보 실린 정황, 나머지 풍선의 행방과 SD카드 내 개인정보 저장 여부가 확인되지 않아 유출 가능성 배제 어려워

광주·전남 학교 학생 구글 워크스페이스 계정 해킹, 타 지역 학교 계정 침해에 이어 발생… 개인정보 유출 등 2차 피해는 아직 미확인

AI 활용 해킹으로 홈캠이 2시간 반 만에 뚫린 사례 소개, 삼성·LG는 이상 징후 시 기기 연결 차단으로 대응하나 보안 인력 부족한 중소 제조사 저가형 기기는 여전히 취약

국내 항만에 중국산 하역장비 도입되나 통신장치 통한 정보 유출 막을 법 규정 없어… 자동화 부두는 크레인·무인이송장비가 터미널운영시스템(TOS)과 연계돼 사이버 공격 시 항만 운영 전반 차질 우려

수술실 CCTV 해킹 피해 두고 개별 병·의원은 전문 인력·보안 인프라 확보에 물리적·재정적 한계가 있다며, 국가 차원 기술·재정 지원 없이 보안 책임만 의료기관에 부과해서는 안 된다는 지적 제기

CVE-2026-102764 BeyondTrust Remote Support 제로데이中 연계 공격자 실공격, CISA KEV 등재

CVE-2026-110447 Collabora CODE RCENextcloud 서버 백도어 설치에 실제 악용

CVE-2026-103849 Magento·Adobe Commerce 'BlockStrap'최고 심각도, 임의 PHP 코드 실행

Drupal 치명적 RCE 2건지원 버전 전체 영향, 곧 익스플로잇 등장 경고

CVE-2026-104246 WordPress Contact Form 7 Signature Addon ≤4.2.2비인증 경로 탐색 임의 파일 읽기

CVE-2026-103376 WordPress PeachPay 1.117.9~1.120.69비인증 주문 키 노출로 고객정보 조회

CVE-2026-111110 WordPress GetPaid ≤2.8.61비인증 Stored XSS

CVE-2026-111927 등 Coder 다수 취약점워크스페이스 프록시 호스트명 접두 일치로 자격증명 탈취, 조직 간 Terraform 모듈 파일 노출(CVE-2026-111929), 조직에서 제외된 사용자의 ACL 권한 잔존(CVE-2026-111928) 등, 2.34.8·2.35.4 등에서 패치

CVE-2026-111911 phpMyFAQ 4.0.0~4.1.8비인증 WebAuthn 패스키 등록으로 임의 계정 인증 우회, 첨부파일 권한 우회 등도 함께 공개(4.1.9 패치)

CVE-2026-111923 Fleet 4.89.0 미만비인증 공격자가 약 150바이트 조작 plist로 Apple MDM 등록 엔드포인트를 통해 서버 다운, gzip 압축 DoS(CVE-2026-111924)도 공개

CVE-2026-111865 THU-MIG yoloe AutoBackend 모델 로딩 eval 인젝션ultralytics/nn/autobackend.py에서 imgsz·names·kpt_shape 인자 조작으로 코드 주입 가능(커밋 40cd606까지 영향)

CVE-2026-111868 DataStax pulsar-jms 9.0.3 이하 PulsarObjectMessage decode 역직렬화 취약점원격에서 공격 가능

CVE-2026-74580 리눅스 커널 vhost '브이고스트'약 9년간 잠복한 결함으로 로컬 사용자가 루트 권한 획득 가능, 텐센트 주췌랩이 공격 2종 시연 분석 공개(8월 3일 수정 코드 배포)

CVE-2026-111869 makeplane Plane 1.4.2 이하 API 엔드포인트X-Forwarded-For 헤더 조작으로 신뢰할 수 없는 입력에 보안 판단이 의존, 원격 공격 가능하며 익스플로잇 공개

CVE-2026-96534 등 WordPress Modern Events Calendar(Lite·Pro) 7.37.0 미만구독자 권한으로 SQL 인젝션, 임의 게시물 수정(CVE-2026-110070), 예약·참석자 이름·이메일·결제금액 노출(CVE-2026-110069) 등

CVE-2026-110031 등 WordPress Salon Booking System 10.31.11 미만살롱 스태프 권한으로 임의 계정 관리자 권한 상승·사이트 장악, 관리자 역할 강등(CVE-2026-110032), Stored XSS·SSRF(CVE-2026-110033) 등

CVE-2026-111986 AUTOMATIC1111 stable-diffusion-webui 1.10.1 이하모델 인스턴스화(sd_models.py get_obj_from_str) Target 인자 조작으로 코드 주입, 원격 공격 가능

CVE-2026-112021 snac2 2.93 미만JSON 파서 힙 버퍼 오버플로, 비인증 원격 공격자가 널 문자 이스케이프를 담은 ActivityPub POST 한 건으로 힙 메모리 손상

CVE-2026-112051 Xinference 4.0.1 이하(윈도)사용자 정의 모델 등록 model_name 경로 탐색, 비인증 공격자가 임의 .json 파일 쓰기·삭제

CVE-2026-112062 lwIP 2.2.1 이하mDNS 응답 처리 스택 범위 밖 쓰기, 로컬 링크 공격자가 조작한 mDNS 응답으로 스택 메모리 손상

CVE-2026-112063 libstrophe 0.14.0 이하SCRAM 인증 스택 버퍼 오버플로, 악성 XMPP 서버가 과대 SCRAM salt 전송으로 128바이트 스택 버퍼 초과

CVE-2026-112060 등 librtmp(RTMPDump) 2.6 이하AMF3 디코딩 힙 범위 밖 쓰기, 악성 RTMP 서버·중간자 공격으로 힙 메모리 손상(AMF0 범위 밖 읽기 CVE-2026-112061도 공개)

CVE-2026-112017 JeecgBoot 3.9.5 미만줄바꿈 삽입으로 SqlInjectionUtil 키워드 차단을 우회하는 SQL 인젝션, 인증된 공격자가 사전·온라인 리포트 엔드포인트 악용

CVE-2026-110024 @fastify/jwt 10.2.5 미만호출별 옵션 지정 시 전역 기본값이 병합되지 않고 대체돼 토큰 만료 등 검증 설정이 누락될 수 있음(10.2.5 패치)

CVE-2026-111991 WongKinYiu yolov9 0.1 ONNX 메타데이터 처리 코드 인젝션models/common.py DetectMultiBackend의 names·stride 인자 조작으로 코드 주입, 원격 공격 가능

CVE-2026-98858 등 리눅스 커널 취약점 다수 공개io_uring SQPOLL task_work use-after-free, net/packet TX_RING 바이트 카운트 오버플로(CVE-2026-98850), TPM null key 이름 불일치 시 장치 미비활성화로 리셋 공격 방어 무력화(CVE-2026-98845) 등 수정