취약점

암호화 하드웨어 지갑 제조업체 Keystone이 자사의 웹사이트에서 보안 취약점이 발생하여 무단 제3자가 고객의 이름, 연락처, 배송 주소 및 주문 상품 등의 정보를 획득했다고 밝혔습니다. Keystone은 접근을 차단하고, 취약점을 수정하며 조사를 시작했으며, 영향을 받은 고객에게 통지했지만 영향을 받은 인원 수는 공개하지 않았습니다.보안 연구원 Taylor Monahan은 유출된 배송 주소가 고객을 표적 사기 및 인신 공격의 위험에 처하게 할 수 있다고 경고했습니다. Keystone은 2023년에 고객 데이터 보유 기간을 180일로 단축하겠다고 발표했지만, 일부 고객은 장비를 구매한 지 2년이 넘은 후에도 여전히 유출 통지를 받았다고 주장했습니다.

로이터 통신 10월 23일 보도에 따르면, 오픈 소스 언어 PHP를 지원하는 비영리 단체 PHP 재단의 전무 이사 엘리자베스 배런은 금요일 이메일 인터뷰에서 재단의 자금이 심각하게 부족하다고 밝혔다. 그녀는 최근 사건들이 기업과 정부가 PHP에 크게 의존하고 있음을 보여주며, 이러한 의존성에 비추어 PHP의 자금이 명백히 부족하다고 말했다.배런은 재단에 현재 단 한 명의 전임 직원, 즉 그녀 자신만 있으며, 14명의 주로 파트타임 계약자가 있다고 전했다. 자금은 기부와 보조금에서 나온다. 인공지능 관련 코딩의 증가로 재단의 업무량이 약 두 배로 늘어났다. PHP 프로젝트에서 받은 코드 변경 제안은 거의 1년 전의 두 배에 달하지만, 기여자 수는 두 배로 늘지 않았다. 그녀는 코드 기여와 버그 보고서를 검토하는 데 많은 인력과 경험이 필요하다고 말했다.로이터 통신은 이번 주 PHP에서 발견된 두 개의 심각한 취약점이 전 세계 웹사이트의 긴급 수정을 촉발했으며, 이는 약 30년 된 이 오픈 소스 언어가 인터넷에 매우 중요하다는 것을 보여준다고 보도했다. 기사에서는 PHP가 전 세계 웹사이트의 약 70%를 지원할 수 있으며, 현재 이러한 취약점이 공개되기 전에 악용된 증거는 없다고 전했다. 보도는 기자 토비 스털링이 암스테르담에서 작성했다.

비트코인 뉴스에 따르면, 연구자들은 Tailscale에 심각한 취약점이 존재한다고 주장하며, 승인된 접근 권한을 가진 사용자가 내장된 SSH를 이용해 장치의 루트 권한을 획득할 수 있으며, 공격은 네트워크 내의 다른 장치로 확산될 수 있다고 합니다.Tailscale을 실행하는 노드의 사용자는 Tailscale SSH를 종료하고 패치가 발표된 후 즉시 업데이트해야 합니다. Tailscale은 아직 응답하지 않았습니다.

BlockSec의 모니터링에 따르면, X100 Global의 이더리움에서 발생한 의심스러운 거래로 약 475만 달러의 손실이 발생했으며, 관련 공격은 거버넌스 메커니즘 설계의 취약점에서 비롯되었습니다: 공격자는 플래시 론을 이용해 자금을 빌려 X 토큰을 구매하고, 토큰을 두 개의 제어 계약에 분배한 후 Freezer에 예치하여 동일한 거래에서 3명의 의원 자리 중 2개를 통제한 후 즉시 악의적인 금고 제안을 통과시키고 실행했습니다.구체적으로, 공격자는 먼저 PancakeSwap V3의 X-USDT 거래 풀에 유동성을 제공한 후, 확보한 거버넌스 다수 의석을 이용해 40만 개의 X 토큰을 해당 거래 풀로 교환하도록 승인하고, 최소 출력량을 0으로 설정하여 최종적으로 약 35.68 USDT만을 얻었습니다. 이후 공격자는 유동성을 철회하고 기존의 Uniswap V3 X-USDT 거래 풀에서 일부 회수한 X 토큰을 판매하고 플래시 론을 상환했습니다.

Succinct의 지식 증명 시스템 SP1에서 심각한 신뢰성 취약점이 발견되었습니다. 이 취약점은 GitHub 공지 GHSA-p7v2-jjv3-8p8f를 통해 공개되었으며, SP1의 원래 Rust 검증기 6.0에서 6.8.0 버전까지 영향을 미칩니다. 이로 인해 메인넷 Prover Network가 무효 증명을 수용할 가능성이 있으며, 악의적인 증명자는 무효 실행의 증명을 제출할 수 있지만 네트워크 검증기는 여전히 이를 수용합니다.취약점의 원인은 검증기가 데이터의 태그(선언 차원)만 읽고 실제 저장된 요소의 수가 차원 곱과 같은지 확인하지 않기 때문입니다. 공격자는 태그를 위조하여 무효 증명이 통과하도록 할 수 있습니다. 고정 형태의 wrap 증명을 사용하는 Groth16과 Plonk 검사는 영향을 받지 않으며, 체인 상의 Solidity 검사기도 안전합니다. Succinct는 9월 24일에 수정 버전 6.8.1을 발표하였으며, 메인넷에 배포되었습니다. 이 버전은 역직렬화 길이 검사를 추가하였습니다.취약점은 Vitalis Salis에 의해 발견되었으며, Immunefi 취약점 보상 프로그램에 보고되었습니다. 원래 Rust 검증기를 직접 실행하고 신뢰할 수 없는 증명자를 수용하는 사용자는 6.8.1로 업그레이드해야 합니다.

Initia는 X 플랫폼에 게시하여 공격자가 10월 23일 22:59(UTC+8)에 Initia MoveVM 스크립트 캐시 취약점을 이용해 보안 검사를 우회하고 MoveVM 상태를 위조하여 실제 지원 없이 WETH, iUSD 및 USDC를 자신에게 기록했다고 밝혔습니다. 관련 토큰의 총 공급량은 변동이 없었습니다; INIT는 추가 발행되지 않았으며, 총 공급량에 영향을 미치지 않았습니다.네트워크가 중단되기 전에 공격자는 약 270만 달러의 자산을 전송했으며, 여기에는 LayerZero를 통해 전송된 105개의 WETH와 약 140만 개의 AUSD0, 그리고 Noble과 CCTP를 통해 전송된 약 108만 개의 USDC가 포함되어 있습니다. 이후 이들은 1135.52개의 ETH로 교환되었으며, 현재 이더리움 주소 0x358ef0130f7a5aa516dcd81bdc80b18cde41cac8에 보관되어 있습니다. Initia는 보안 수리가 수일 내에 완료되고 감사가 진행될 것으로 예상하며, 자산 회수 작업은 보안 파트너와 함께 진행되고 있으며, L1 및 Rollup은 여전히 중단 상태에 있으며, 이후 전체 사후 분석 보고서를 발표할 예정입니다.

국가 정보 보안 취약점 공유 플랫폼(CNVD)은 "PHP 원격 코드 실행 취약점 분석 및 수정 제안에 대한 보안 공고"를 발표했습니다. 이 공고에서는 영향을 받는 사용자들이 공식 정보를 주의 깊게 살펴보고, 공식 경로를 통해 최신 버전으로 다운로드 및 업데이트할 것을 권장합니다. 현재 업데이트가 불가능한 사용자는 일부 공격 경로를 줄이기 위한 조치를 취하고, PHP 프로세스의 비정상 종료, 시스템의 비정상 명령 호출, 낯선 프로세스 생성, 비정상 파일 쓰기 등의 행동을 지속적으로 모니터링하며, 로그를 보관하여 추적 분석에 활용해야 합니다.CNVD는 방어 제안에서 정보 시스템 운영 단위가 보안 방어를 더욱 강화하고, 본 단위의 네트워크 자산을 전면적으로 정리하며, 필요하지 않은 경우 인터넷에 연결하지 않는 원칙에 따라 정보 시스템의 공공망 노출을 줄여야 한다고 밝혔습니다. 현재 수정 조건이 갖춰지지 않은 운영 단위는 네트워크 격리, 네트워크 접근 제한, 필요하지 않은 업무 시스템의 오프라인 등의 임시 대응 조치를 취해야 합니다.

슬로우 후의 유코인 모니터링에 따르면, 사용자는 iPhone 및 iPad 시스템을 즉시 업데이트하고, 설치된 일부 앱이 DarkSword의 공격을 받을 수 있으니 주의해야 합니다.DarkSword는 주로 iPhone 암호화폐 사용자들을 대상으로 정밀 공격과 암호화폐 도난을 진행하며, iOS 관련 취약점을 이용해 샌드박스를 우회하고 Keychain에 저장된 다양한 비밀번호와 같은 개인 정보, 지갑의 로컬 개인 키 파일, 메모 등 개인 정보를 탈취합니다.

OpenAI는 X 플랫폼에 게시하여 최근 레드 팀 훈련에서 널리 사용되는 압축 라이브러리 Brotli에 인증 없이 원격 코드 실행이 가능한 취약점이 발견되었다고 밝혔습니다. Node.js, Bun, Envoy 등 소프트웨어는 모두 이 라이브러리를 내장하고 있습니다. 공격자는 악성 압축 데이터를 전송하여 패치되지 않은 서버를 장악하거나, 악성 서버를 통해 압축 데이터를 수신하는 클라이언트를 장악할 수 있습니다.OpenAI는 이 문제의 근본 원인이 올해 2월에 Brotli 소스 코드에서 수정되었지만, 당시에는 보안 취약점으로 인식되지 않았으며, 이 라이브러리를 내장한 소프트웨어는 모두 동기 업데이트가 필요하다고 밝혔습니다. The Hacker News에 따르면, 이 취약점의 번호는 CVE-2026-111497이며, Node.js는 10월 21일에 수정 버전을 발표했습니다.

제로 지식 증명 기반 시설 Succinct이 SP1에서 하나의 보안 취약점을 수정했습니다. 이 취약점은 무효 증명이 유효한 것으로 판단될 수 있습니다.The Defiant의 보도에 따르면, 결함은 6.0에서 6.8.0 버전의 원주율 Rust 검증 경로에 존재하며, Solidity 검증기를 통해 실행되는 체인 상 Groth16 및 Plonk 검증은 영향을 받지 않습니다.

비트코인 핵심 개발자 Antoine Poinsot가 비트코인 개발 메일링 리스트에서 보안 취약점 공개 정책 조정을 발표했습니다. 그는 과거 취약점이 일반적으로 오랜 기간 비밀로 유지되어 사용자가 세부 사항 공개 전에 업그레이드를 완료할 수 있도록 했지만, 이로 인해 수정 사항이 이전 버전으로 되돌아갈 수 없게 되었고, 사용자는 다음 주요 버전 출시를 기다려야 한다고 밝혔습니다. Poinsot는 대형 언어 모델이 일부 취약점을 쉽게 재발견할 수 있게 하여, 수정을 지연시키는 것이 제공할 수 있는 보호가 매우 제한적이라고 지적했습니다.새로운 정책에 따르면, "발견하기 쉬운" 것으로 판단된 취약점은 가능한 한 빨리 모든 유지 관리되는 주요 버전에서 수정되며, 보안 공지가 동기화되어 발표됩니다. 이 분류는 극히 적은 노력으로 발견할 수 있는 취약점에 적용되며, 예를 들어 간단한 LLM 프롬프트를 통해 발견되는 경우입니다. 다른 취약점은 여전히 심각도에 따라 공개 일정에 따릅니다: 낮은 심각도 취약점은 수정이 포함된 주요 버전 출시 후 2주 후에 공개되며; 중간 및 높은 심각도 취약점은 마지막 영향을 받은 버전이 생애 주기 종료(일반적으로 수정이 새로운 주요 버전 출시 1년 후)에 도달한 후 2주 후에 공개됩니다. 주요 취약점은 표준 정책 범위에 포함되지 않으며, 임시 프로그램 처리가 필요할 수 있습니다.비트코인 생태계 보안 연구자 Luke de Wolf는 그가 과거에 Poinsot의 보안 전략에 동의하지 않았지만 이번 업데이트가 좋은 조정이라고 생각한다고 밝혔습니다. 올해 8월, 자원봉사 성격의 Bitcoin Red Team은 390개 프로젝트에서 거의 5000개의 잠재적 문제를 보고했으며, 당시 약 5분의 1만 재현되었습니다. 같은 달, Core Lightning 개발자는 여러 AI 생성 취약점 보고서를 받은 후 운영자에게 업그레이드를 하거나 노드를 오프라인 상태로 전환할 것을 촉구하고, 기술 세부 사항을 2주 동안 보관하도록 했습니다.

미국 뉴욕주 금융 서비스국은 두 가지 주요 PHP 취약점에 대한 경고를 발표하고, 규제 대상 기관들이 알려진 취약점을 신속하게 식별하고 수정할 것을 촉구했습니다.

블룸버그 통신에 따르면, 아마존 위협 정보 팀은 해커들이 PHP의 두 가지 보안 취약점이 공개되기 수일 전부터 관련 취약점을 이용하려고 시도했음을 발견했습니다. 취약점이 수요일에 공개된 후, 해커들은 활동을 더욱 확대했으며, 아마존은 관련 취약점이 광범위하게 이용되고 있다고 밝혔지만 구체적인 피해자 정보는 공개하지 않았습니다.사이버 보안 회사인 팔로 알토 네트웍스는 전 세계적으로 2,260만 개 이상의 노출된 인스턴스가 관련 취약점을 가지고 있다고 발견했습니다. Wiz 연구원들은 이 취약점이 약 70%의 인터넷에 영향을 미칠 수 있으며, 이미 10년 이상 존재해 왔다고 추정하고 있습니다. NCC 그룹의 사이버 정보 및 대응 부사장인 맷 헐은 일부 취약점이 있는 시스템이 이미 침해되었거나 심지어 백도어가 심어졌을 수 있다고 경고했습니다.

코인데스크에 따르면, XRP 레저의 취약점 수정 패치가 검증자 지원 수가 26개(총 35개)로 감소하면서 발효 카운트다운이 리셋되었고, 패치가 11월로 연기되었습니다.현재 지원 수는 31개로 회복되었지만, 2주 카운트다운이 재계산되어야 하기 때문에 이번 수정은 원래 발효될 예정이었던 시간 창을 놓쳤습니다.

중국 산업정보화부 사이버 보안 위협 및 취약점 정보 공유 플랫폼(NVDB) 모니터링 결과, PHP에 두 개의 원격 코드 실행 초위험 취약점이 발견되어 심각한 피해를 초래할 수 있습니다. PHP는 웹 개발에 널리 사용되는 오픈 소스 서버 측 스크립트 언어로, 인증되지 않은 공격자가 이 두 가지 취약점을 이용해 원격으로 임의의 코드를 실행할 수 있어 서버 제어, 민감한 정보 유출, 서비스 중단 등의 피해를 초래할 수 있습니다.영향을 받는 범위는 8.5 시리즈 8.5.12 미만, 8.4 시리즈 8.4.27 미만, 8.3 시리즈 8.3.36 미만, 8.2 시리즈 8.2.35 미만, 그리고 8.1 시리즈 및 이전 버전을 포함합니다. PHP 보안 팀은 취약점을 수정하고 보안 공지를 발표했습니다.NVDB는 관련 기관과 사용자에게 즉시 점검하고 최신 보안 버전으로 업그레이드하거나 임시로 오프라인, 세션 업로드 진행 기능 종료, 네트워크 격리, 네트워크 접근 제한 등의 임시 보호 조치를 취할 것을 권장하며, 모니터링 및 관리를 강화하고 계정, 비밀번호 및 키 등의 자격 증명을 즉시 수정할 것을 권장합니다.

Olaoluwa Osuntokun의 모니터링에 따르면, Lightning Labs의 최고 기술 책임자는 CVE-2026-111943 취약점의 영향을 받아 모든 lnd, btcd, tapd, litd 사용자에게 이진 파일을 업데이트하거나 Go 1.27.3을 사용하여 재구성할 것을 강력히 권장한다고 밝혔습니다.이 취약점은 인증 기관이 침해당한 것과 관련이 있으며, 관련 소프트웨어의 보안성에 영향을 미칠 수 있습니다.

BTCPay Server는 최근에 공개된 심각한 PHP 취약점에 대응하기 위해 Docker 설치 프로그램을 통해 선택적 WooCommerce/WordPress 배포를 업데이트했습니다. BTCPay Server에서 WooCommerce를 운영하는 사용자는 즉시 업데이트해야 하며, BTCPay Server 내에서 "Update"를 클릭하여 완료할 수 있습니다.

텐센트 클라우드 보안 센터에서 모니터링한 결과, PHP에서 원격 코드 실행 취약점이 공개되었습니다. 취약점 번호는 각각 CVE-2026-109618, CVE-2026-109619이며, 코드명은 "php2shell"입니다. 이는 인증되지 않은 원격 공격자가 특수한 multipart POST 요청을 전송하여 메모리 손상을 유발하고 궁극적으로 원격 코드 실행을 통해 서버를 완전히 제어할 수 있는 위험을 초래합니다.텐센트 클라우드 보안에서는 신속하게 보안 자가 점검을 수행할 것을 권장합니다. 영향을 받는 범위에 있다면, 외부 공격자에 의한 침입을 피하기 위해 즉시 업데이트 및 수정을 진행하시기 바랍니다.

느림안전예경고에 따르면, PHP는 10월 20일에 보안 공지를 발표하고 원격 코드 실행(RCE)을 유발할 수 있는 두 가지 심각한 보안 취약점, 번호는 각각 CVE-2026-109618과 CVE-2026-109619를 공개했으며, CVSS v4 점수는 모두 9.2입니다. 현재 PHP 공식은 수정 패치를 발표하지 않았으며, 취약점의 구체적인 영향을 받는 버전 및 이용 조건은 아직 확인되지 않았습니다.현재 정보에 따르면, PHP 공식은 10월 21일 14:00 UTC(베이징 시간 22:00)에 보안 업데이트를 발표할 계획입니다. 느림은 관련 기관이 서버 및 비즈니스 시스템의 PHP 버전을 신속하게 점검하고, 공공망에 노출된 PHP 서비스에 주의하며, 패치가 발표된 후 즉시 업그레이드할 것을 권장합니다; 일시적으로 업그레이드할 수 없는 시스템은 접근 출처를 제한하고 필요시 격리 조치를 취해야 합니다.

체인 데이터 플랫폼 DefiLlama가 예측 시장 플랫폼 Trueo와 협력하여 DefiLlama 데이터를 기반으로 한 새로운 예측 시장을 출시한다고 발표했습니다. 이 시장은 프로토콜 수익 및 취약점 발생 확률을 포함합니다.수익 관련 시장에는 Hyperliquid, Pump, Aero, Uniswap, Collector Crypt 및 Papertrade의 프로토콜 수익이 포함됩니다. 취약점 관련 시장은 DeFi 해커 공격 및 특정 프로토콜이 악용될 확률을 다루며, 이번 달 Aave와 Morpho의 취약점 발생 여부 및 최대 해킹 사건 규모의 주간 및 월간 시장을 포함합니다.기타 체인 지표 시장에는 Robinhood Chain의 RWA 시가총액 및 DEX 거래량, 그리고 Solana와 Base가 이번 주말에 더 높은 TVL을 보유하고 있는지에 대한 내용이 포함됩니다.