📊 10/4 통합 브리핑

📊 10/4 통합 브리핑

FortiMail은 패치 없이 기한이 오늘이다. NetScaler는 패치해도 웹셸이 남고, Cisco SD-WAN은 어제 이미 기한이 지났다. AI 이야기는 두껍지만, 오늘 리스크는 여전히 경계면이다.

—— 오늘 먼저 ——

① 🔴 Fortinet FortiMail — 패치 없음, KEV 기한 오늘(10/4)
CVE-2026-104286 CVSS 9.8. path traversal+NULL → 비인증 임의 파일 쓰기. 공격면은 IBE(POST /ibe). 수정본 "upcoming 8.0.2" — 미출시.
IBE 비활성 + 웹메일·관리면 신뢰망 제한 + WAF에서 ../ 포함 /ibe POST 차단. LD_PRELOAD·메일 아카이빙 재설정 IoC 확인.

② 🔴 Citrix NetScaler — 기한 9/30 경과, 패치≠침해 종료
CVE-2026-88771/88772. Unit 42: "패치는 이미 확보한 지속성을 제거하지 않는다." 노출 약 5만 대.
nsg64/nsgclient18/nsgsupport/nsgbuild.deb·.ctxs.receiver·receiver.min.css 위장 httpd.conf 별칭부터 사냥.

③ 🔴 Cisco Catalyst SD-WAN Manager — 기한 10/3 경과
CVE-2026-76504 CVSS 9.8, 비인증 admin API. 우회책 없음 — 고정 릴리스만.
j_security_check·viptela-reserved- 사용자명·URL 인코딩 POST IoC 동시 점검.

④ 🟠 Zammad — KEV 기한 내일(10/5)
CVE-2026-102489/102490. 세션 고정→zammad RCE + 로컬→root. 외부 노출 헬프데스크면 오늘 버전 확인.
7.2.0+ 업그레이드 + 세션·권한 상승 흔적 조사.

⑤ 🟠 자체 호스팅 GitLab AI Gateway — CVSS 9.9
CVE-2026-90970. Duo 플로우 프롬프트 샌드박스 탈출→임의 명령. SaaS·Dedicated는 조치 완료.
게이트웨이 19.2.4 / 19.3.2 / 19.4.1 적용(자체 호스팅만).

—— AI ——

────────
▣ Gemini 4 Argon — 제한 배포, 벤치마크는 전부 자가보고

핵심: 출력 64K→100만. Fairwind 선별 배포·정부 사전 평가 후 점진 확대. 도입가 $2/$10 → 인상 후 $4/$20. DeepSWE·AutomationBench 등 수치는 구글 자체 보고.
왜 중요한가: 경쟁축이 범용 점수에서 사이버 방어·장기 엔지니어링으로 이동. 지금은 일반 접근 불가 — 비용은 인상가 기준으로.
https://t.co/PbvRzv1jNB

────────
▣ OpenAI — 추론(reasoning) 추출 캠페인 차단, Moonshot 연관 지목

핵심: 암호화 추론을 다른 대화로 복사·복호화 요청하는 조직적 증류. 7/24–25 정점 약 1.6만 요청 → 7/28 완전 차단. 암호화 자체 파괴·사용자 데이터 유출은 아니라고 설명.
왜 중요한가: 모델 증류가 약관 분쟁에서 경쟁사 실명 보안 공표로 올라감. 본사 API와 Azure 등 호스팅 간 패치 격차가 실무 리스크.
https://t.co/GpoCeM3Wm8

────────
▣ 반도체 설계 에이전트 — EDA 3사 같은 주 진입

핵심: OpenAI–Synopsys GPT-Synopsys 공동 개발. Cadence ChipStack AI Super Agent(고객 발언 "약 10배"). Siemens–TSMC Calibre DRC 자동 수정 에이전트.
왜 중요한가: 에이전트가 도구 API를 넘어서 도메인 전문가가 되는 구조. "10배"는 독립 벤치 없음 — 방향은 실제, 숫자는 인용 주의.
https://t.co/wrJtco3MK9

────────
▣ NVIDIA Open Agent Safety Platform — 런타임·실리콘 계층

핵심: OpenShell(Apache 2.0) 커널 격리 샌드박스 + Sentry·BlueField-4 DPU 대역외 모니터링·정책 집행.
왜 중요한가: 에이전트 보안이 약관·프롬프트에서 런타임+하드웨어로 내려감. 온프레·네오클라우드 에이전트 배포 시 샌드박스 기준선 후보.
https://t.co/NzJ9DyLUDA

────────
▣ Meta Muse Spark — 수학 논문 6편 공동 저술

핵심: Thinking Mode로 인간 수학자와 공동 저술 6편 중 5편이 미해결 문제에 답했다고 발표. AI/인간 작성 구간 표시·외부 수학자 검토 동반.
왜 중요한가: 성과 주장보다 검증 가능한 공개 관행이 의미. 자사 블로그·자사 모델 한계는 남음.
https://t.co/a0S59o8ygR

────────
▣ Anthropic Claude Frontier Academy — $1억, 배포 인재 1만 명

핵심: 2027년 말까지 Frontier Deployed Engineer 1만 명 목표. 1기 Accenture·Bain·Deloitte·McKinsey·Morgan Stanley 등. 첫 인증 2027년 초.
왜 중요한가: 벤더가 "배포 인력"이 병목임을 공식 인정. 올해 실적이 아니라 목표치.
https://t.co/hGAkEWt2hw

────────
▣ Microsoft MAI 음성 3종 — STT·TTS 수직통합

핵심: MAI-Transcribe-2-Streaming(60개 언어 연속 전사), MAI-Voice-2.1(23개 언어·단일 보이스), 2.1-Flash. Foundry·Playground·Azure Voice Live 경로.
왜 중요한가: 듣기→말하기 파이프라인을 Microsoft 자체 모델로 채울 수 있어 OpenAI 음성 스택 의존도를 낮추는 선택지.
https://t.co/dBDakw515S

—— 클라우드·데이터센터·인프라 ——

────────
▣ 데이터센터 입지 반발 — Loudoun 최대 12개월 승인 일시정지

핵심: Loudoun County 보드가 DC·변전소 최종 표결을 최대 12개월 일시정지하는 결의안을 10/20 심의 예정(소급 9/15 의도). 유럽 1–4월 70건+ 거부·제한. 서울 금천구는 반경 200m 주민 동의 추진.
왜 중요한가: AI 확장 크리티컬 패스가 용량·PUE에서 그리드·인허가로 이동. US-East 의존 일정이면 10/20이 체크포인트.
https://t.co/jXYDmE4tLI

────────
▣ Amazon Built Together $10억 — 금액보다 NDA·공시 변화

핵심: 5년 $10억+, 교육·전기요금·물·유연 자금. 정부기관 NDA 중단 + 에너지·물 사용량 연 1회 공개. water positive 2030(2025 기준 75%).
왜 중요한가: 지역 반발이 입지 리스크로 가격화. 실질은 규모(AI 인프라의 약 0.1%)가 아니라 공시 기준선 상승.
https://t.co/aXUy41Q1QI

────────
▣ 유럽·아시아 DC 반발 — 투자 지연·취소 규모 보도

핵심: CNBC, 유럽 약 $420억·미국 약 $770억 지연·취소 규모 보도(집계 방법 상이·직접 비교 주의). 덴마크 계통 후순위화, 스페인 재생에너지 의무 제안 등 개별 조치 병행.
왜 중요한가: 모델 성능과 무관하게 AI 확장 속도를 결정하는 변수. 그리드 연결과 인허가가 병목.
https://t.co/PSqd9pJANx

────────
▣ TrendForce — DC 전력수요 2026년 161GW(+31%)

핵심: 2025 122.9GW → 2026 161GW. AI 서버 비중 25%→33.4%. 2030 수요 490.7GW 대비 그리드 가용 222.6GW, 격차 268GW 전망(온사이트 발전 미포함 주의).
왜 중요한가: 수급 괴리가 2026부터 시작해 2028 이후 확대된다는 시나리오. 용량 계획이 아니라 전력 조달 계획.
https://t.co/UXgWU9AefB

—— 보안·규제 ——

────────
▣ 코네티컷 CART Act 1단계 발효(10/1)

핵심: AEDT 고용 결정 프레임·내부고발자 보호·월 100만+ 제공자 합성 콘텐츠 프로브넌스 의무·WARN 통지 시 AI 관련 감원 공시. 나머지 조항은 2028/1까지 단계 시행.
왜 중요한가: 연방 선점 교착 속 주 규제가 집행 단계로. 프로브넌스는 EU AI Act 50조와 수렴 — 엔지니어링 백로그 후보.
https://t.co/82yNP84GRf

────────
▣ 캘리포니아 — Newsom AI 법안 11건 추가 서명

핵심: 2026년 약 30건 규모. 직장 감시·감정 데이터, 헬스케어 챗봇, 고등교육 조달, 프로브넌스 강화, 기술 대체 90일 고지, 디지털 레플리카 등.
왜 중요한가: 미국 주 AI 규제의 사실상 기준 패키지. CA 사업·원격 근로자·B2C 챗봇에 직접 영향.
https://t.co/XPZFHREvoI

────────
▣ 주별 AI 법 패치워크 — 27개 주 85개 법(중간 집계)

핵심: 펜실베이니아 13세 미만 AI 장난감 3년 모라토리엄 청문. MI·PA·MA·OH·NJ·NC 회기 지속. 일리노이 특별회기 잠정 11/17–19.
왜 중요한가: 연방 단일법 부재 속 제품 공개·아동·고용·의료 고지 의무가 주별로 분산.
https://t.co/T4rDknYBEs

────────
▣ KillSec 랜섬웨어 — 16세 운영자 포함 3명 체포

핵심: 함부르크 주도, 스페인·영국·루마니아. 유출 사이트 통제권 확보, 최소 110TB·서버 5대·도메인 5개. 약 500건 성공 공격·피해자 280+.
왜 중요한가: 침투 경로로 취약점·허술한 클라우드 스토리지 접근이 지목. 클라우드 스토리지 ACL이 실질 점검 항목.
https://t.co/ByDWffisKk

────────
▣ MS 디지털 방어 보고서 — 정부 부문 위협 영향 +27%

핵심: 정부 부문 사이버 위협 영향이 27%로 전년 대비 증가. 공공 공급망·연계 리스크 관리 강화 필요.
왜 중요한가: 공공·공급망 경계가 민간 리스크로 바로 이어짐. KEV·BOD 프레임과 같은 축.
https://t.co/8h8ikQbjAC

—— 취약점·해킹 ——

────────
▣ 🔴 FortiMail CVE-2026-104286 — 패치 미출시, 기한 오늘

핵심: CVSS 9.8. 영향 8.0.0–8.0.1 / 7.6.0–7.6.6 / 7.4.0–7.4.8 / 7.2.0–7.2.9. 실악용 확인(LD_PRELOAD·웹셸·메일 아카이빙 유출). KEV 등재 10/1, 기한 10/4.
왜 중요한가: 메일 게이트웨이는 경계 노출 장비인데 우회 설정이 유일한 방어선. "패치하면 끝"으로 처리하면 노출 유지.
https://t.co/9nrF2XxLFh

────────
▣ 🔴 Citrix NetScaler CVE-2026-88771/88772 — 지속성 사냥

핵심: CVSS 9.5(v4.0). 8/21부터 핑거프린팅, 9월 실악용. Xpanse 노출 50,277. KEV 기한 9/30 경과.
왜 중요한가: 패치 완료 여부가 아니라 웹셸·httpd.conf 변조를 직접 찾아야 함. 자격증명·KEK·SSL 전부 회전 전제.
https://t.co/w7sZksHGNa

────────
▣ 🔴 Cisco SD-WAN CVE-2026-76504 — 기한 경과

핵심: CVSS 9.8. URI 인코딩 인증 우회→admin API. 올해 KEV Cisco SD-WAN 8건 규모. 우회책 없음.
왜 중요한가: 단건 대응이 아니라 제품군 노출면 재검토. 기한 준수가 아니라 침해 점검이 남은 과제.
https://t.co/2JM9AR9Z1Z

────────
▣ 🟠 GitLab AI Gateway CVE-2026-90970 — 프롬프트=코드

핵심: CVSS 9.9. 인증된 Duo 사용자가 커스텀 flow 템플릿으로 샌드박스 탈출. 패치 19.2.4/19.3.2/19.4.1. KEV 미등재·현재 악용 없음.
왜 중요한가: LLM 게이트웨이를 CI/CD에 넣으면 프롬프트가 RCE 면. 자체 호스팅만 직격.
https://t.co/B4nmkYXs7T

────────
▣ 🟠 Zammad CVE-2026-102489/102490 — 기한 10/5

핵심: 세션 고정→zammad RCE + 로컬→root 체인. KEV 등재 10/2, 기한 내일. BOD 26-04 포렌식 트리아지 요구.
왜 중요한가: 티켓 시스템은 외부 노출이 흔해 권한 상승이 곧 데이터 유출 경로.
https://t.co/RP8j71RpF5

────────
▣ ICS·OT — Armatura One·Monta 충전 인프라

핵심: Armatura One CVSS 9.8 역직렬화 등(4.7.2 미만, 출입통제). Monta CVSS 9.4 인증 누락·세션 만료(충전소 제어·중단).
왜 중요한가: 물리 보안·EV 충전 인프라가 IT 취약점과 같은 주기로 들어옴. OT 자산 매핑 대상.
https://t.co/kOSvOk3EwT

—— 개발자·엔터프라이즈 ——

────────
▣ GitHub SSH — 10/14부터 최소 키 크기·PQ 확대

핵심: 새 RSA SSH key 최소 크기 강화, post-quantum key exchange 확대. 이후 구형 알고리즘 brownout 예정.
왜 중요한가: 날짜가 확정된 호환성 작업. 오래된 CI runner·Git client는 조용히 깨짐 — 10/14 전 점검.
https://t.co/nRRJywPIym

────────
▣ BigQuery — Rust SDK GA·분석 에이전트 확대

핵심: Rust SDK for BigQuery GA. Data Engineering Agent에 gemini-3.7-flash 추가. conversational analytics 그래프 기반 대화 GA.
왜 중요한가: DW 쪽 에이전트가 데모에서 GA 라인으로. 저지연 파이프라인에서 BigQuery가 1급 타깃.
https://t.co/bXYLjSl55I

────────
▣ Meta Enterprise Platform — Muse·Business Agent 축 신설

핵심: Muse agent·Business Agent·Muse API·Muse Code. 전 MongoDB CEO CJ Desai를 Chief Enterprise Platform Officer로 영입.
왜 중요한가: 광고·SMB를 넘어 엔터프라이즈 구매 채널·에이전트 생태계 경쟁 진입.
https://t.co/k1TkuPKrIg

기한은 오늘이고 패치는 아직이다. IBE·웹셸·admin API부터 닫아라.

#IT브리핑 #FortiMail #NetScaler #Cisco #SDWAN #Zammad #GitLab #Gemini #OpenAI #Loudoun #BuiltTogether #CARTAct #KillSec #GitHubSSH #BigQuery