📊 11/6 통합 브리핑
오늘은 패치가 없어서가 아니라 패치를 안 올려서 뚫리는 날이다. WordPress 연방 기한은 오늘이고, GitLab은 닷새 전에 이미 지났다. OpenAI는 LPE 948건을 만들었고, Xen 크리티컬은 Claude가 찾았다.
—— 오늘 먼저 ——
① 🔴 WordPress 7.1.4 이상, 기한 오늘(11/06)
CVE-2026-119977, 코어 4.7~7.1.3, 실제 악용 확인.
업그레이드 창 자체가 공격면이다. 스테이징 경로 외부 접근도 같이 막는다.
② 🔴 GitLab 19.4.5 / 19.5.3 이상, 기한 이미 경과(11/01)
CVE-2026-97229, CVSS 10.0, KEV 등재 10/29.
10/12 패치만 올렸다면 아직 노출이다. CI/CD 경로라 빌드·배포까지 번진다.
③ 🔴 Xen 호스트 패치·재부팅 일정
XSA-523, 4.6 이상 전부 영향, 완화책 없음.
악성 VM이 다른 VM·dom0 메모리를 읽고 쓴다. Anthropic(Claude)이 발견했다.
④ 🔴 Zyxel GS1900 펌웨어 .3)C0 확인
CVE-2026-107441, 6월 패치가 우회됐다.
"6월에 올렸다"는 안전의 근거가 아니다. 지원 종료 모델은 관리면부터 분리한다.
⑤ 🟠 모바일 OS 업데이트 강제, Apple 기한 11/18
CVE-2024-27834, APT29가 n-day만으로 제로클릭 체인을 성립시켰다.
탐지 룰보다 단말 컴플라이언스가 실효 대응이다.
—— AI ——
────────
▣ 🔴 OpenAI, 파이프라인 한 번으로 Linux LPE 948건 생성
핵심: 후보 2,308건에서 동적 재현 1,724건, LPE 948건. API 비용 약 121만 달러, 건당 약 1,279달러. 스캔 10일 후 기준 업스트림 패치 61·스테이징 43·공개 논의 299건. 사용 모델은 "upcoming cyber model"로만 적혀 있다.
왜 중요한가: 찾았다는 사실보다 단가와 패치 초안까지 공개됐다는 게 더 무겁다. 커널 CVE 유입량이 당분간 평소보다 많을 것 같다.
https://t.co/xHV361XjB9
────────
▣ Anthropic, 모델 신원 증명 FlashProve 연구 공개
핵심: 가중치를 노출하지 않고 출력이 특정 모델에서 나왔음을 증명하는 오픈소스 연구다. 배포 계획은 없다고 명시했다.
왜 중요한가: 규제·감사의 전제 조건이지만 지금은 연구 단계다. 컴플라이언스 수단으로 계산에 넣을 때는 아니다.
https://t.co/W0y1GDLfd1
────────
▣ Google, XLA Serving Engine 오픈소스 공개
핵심: OpenXLA용 추론 런타임을 Apache 2.0으로 열었다. 내부에서 초당 600만 쿼리 이상 서빙한다고 한다. 처리량 2~5배는 전부 자체 측정이다.
왜 중요한가: vLLM·TGI 옆에 비교 대상이 하나 늘었다. 자체 벤치 없이 도입 근거로 쓰진 않으려 한다.
https://t.co/74yuY2x0Gw
────────
▣ Gemini Omni 1.2 Flash, 15초 클립·720p 초당 $0.07
핵심: 3~15초 네이티브 생성·편집, 이전 대비 30% 인하다. 저해상도 초안 후 부분 수정·업스케일 워크플로를 밀고 있다.
왜 중요한가: 재생성 대신 부분 편집으로 단가가 실제로 내려가는 구간으로 읽는다.
https://t.co/MwJkC9xHFa
────────
▣ 텐센트 Hy4 공개, "오픈소스"는 아직 선언
핵심: 시각 이해·컴퓨터 사용을 넣었다고 발표했지만 가중치는 미공개다. 파라미터·라이선스도 공식 페이지에 없다.
왜 중요한가: 집계 사이트의 770B·Apache 2.0 단정은 인용하지 않으려 한다.
https://t.co/eHBvLfJx12
────────
▣ Claude Personal Finance 베타, Plaid 읽기 전용
핵심: 계좌 연결은 읽기만 되고 이체·투자는 불가, 모델 훈련에도 쓰지 않는다고 한다.
왜 중요한가: 금융 데이터 연결의 최소 안전장치를 제품에 박아 둔 사례로 본다.
https://t.co/vbyPMOMBFs
────────
▣ AWS Bedrock AgentCore Web Answer
핵심: 단일 호출로 웹 근거·인용을 포함한 합성 답변을 돌려준다.
왜 중요한가: 에이전트 답변에 출처를 붙이는 쪽이 기본값이 되는 흐름이다.
https://t.co/n9I0m46lMi
—— 클라우드·데이터센터·인프라 ——
────────
▣ Google, 와이오밍 첫 데이터센터 170억 달러
핵심: 셰이엔에 702MW 연료전지+CCS, Bloom Energy 제조, 공기냉각, 사용 전력 100% 자사 부담. 착공·가동 시점은 공식에 없다.
왜 중요한가: 중간선거 직후 발표다. 지역 반발을 겨냥한 설계로 읽힌다.
https://t.co/SFFFABji6c
────────
▣ NTT DATA–Bloom Energy, 900MW 온사이트 발전
핵심: 연료전지를 주 전원으로 전 세계 복수 데이터센터에 900MW 배치. 초기 출하 2027년, 금액·기간 비공개.
왜 중요한가: 같은 주 Google 건과 같은 방향이다. 제약은 GPU가 아니라 전력 조달이다.
https://t.co/jonxEAdUTg
────────
▣ OpenAI, 데이터센터 커뮤니티 정책
핵심: 전력·인프라 비용 전액 부담, 사이트별 물 계획, 공직자 NDA 관행 중단을 선언했다. 이행 강제 주체는 없다.
왜 중요한가: 주민 반발이 인허가 리스크로 바뀌자 자율 규범으로 선회하는 신호다.
https://t.co/iIXpmUeMZ5
────────
▣ 한국 반도체 급락, 원인은 "규제"가 아니라 "규제 우려"
핵심: KOSPI -5.28%, 삼성 -7.57%, 하이닉스 -9.46%. 구체 법안·발의자·소관 기관은 어디에도 특정되지 않았다.
왜 중요한가: 확정 규제가 아니라 선거 해석이 가격에 반영된 상태다. 추적은 연방보다 주 단위 인허가·요금 배분이다.
https://t.co/cMyifc2Fr7
────────
▣ Google Cloud VRP, Root-in-Cloud 최고 포상 $250,000
핵심: 테넌트 격리 우회로 임의 GCP 조직/프로젝트 owner급을 증명하면 25만 달러. 사회공학·사전 접근은 불가.
왜 중요한가: 멀티테넌트 격리를 최고 가치 버그클래스로 공식화했다. Xen과 같은 주에 나왔다.
https://t.co/8m19XzHjU6
────────
▣ 엔비디아 Vera CPU, "와트당 에이전트 1.6배" 주장
핵심: 전부 벤더·파트너 수치다. 이번 주 "Vera Rubin 신규 발표" 서술은 사실과 다르다.
왜 중요한가: 추론 비용 논의가 GPU에서 호스트 CPU로 옮겨가는 흐름만 기억해 둔다.
https://t.co/fIori36g5K
────────
▣ 짧게: AWS Interconnect last mile·DynamoDB bulk put·S3 Tables Hive→Iceberg
핵심: 북부 버지니아 last mile 4중 중복·MACsec, DynamoDB 대량 쓰기, S3 Tables 관리형 마이그레이션이 같은 주에 나왔다.
왜 중요한가: 하이브리드 회선과 레이크하우스 이관 작업이 있는 팀이면 체크리스트에 올린다.
https://t.co/JZWwJsq9UJ
—— 보안·규제 ——
────────
▣ DigiCert, 아카이브 고객 데이터 무단 접근 — 잔여 시정 기한 오늘
핵심: 2025-02 이전으로 자체등록 엔드포인트가 노출됐고, 실제 접근은 2026-06-27~07-02. 신분증·여권 등도 일부 포함. 인증서·키 영향은 0이라고 밝혔다.
왜 중요한가: DigiCert를 쓰면 침해 통지 메일부터 확인한다. 제출한 신원 문서가 범위에 들어 있다.
https://t.co/CJHpln7RXE
────────
▣ CISA·NSA·ACSC, 양자내성암호 벤더 질문지
핵심: PQC 전환을 위한 벤더 체크리스트를 3개국이 공동 발표했다.
왜 중요한가: 추상 권고가 아니라 조달·계약 갱신에 바로 끼울 수 있는 형태다.
https://t.co/NQ3LhkFHln
────────
▣ Cisco 11/04 정기 권고 3건, Critical 없음
핵심: UCS Central 경로 탐색 RCE 7.6, Unified CM XSS 6.1, ISE 미인증 인증서 탈취 5.3. 세 건 모두 workaround 없고 공개 악용은 없다고 한다. 연내 추가 하드닝 권고 계획은 없다.
왜 중요한가: 이 중에선 UCS Central과 ISE가 먼저다. 다음 정기 발행은 2027-01-20이다.
https://t.co/4UDxx6XhwY
────────
▣ 미 국방부, 11월 중 AI 랩 적용 법령·규제 지형 공개 예고
핵심: CTO Emil Michael이 1~2주 안 공개를 말했고 세부 조문은 아직 없다.
왜 중요한가: 모델 API·클라우드 사업 컴플라이언스 일정에 수주 내 영향이 올 수 있다.
https://t.co/PUWQBormbw
────────
▣ CISA 등, 산업용 냉장·콜드체인 모니터링 하드닝 권고
핵심: CISA·FBI·HHS·USDA·DoT가 공동으로 냈다.
왜 중요한가: OT/콜드체인 쪽이라면 점검 목록에 바로 올린다.
https://t.co/RM35pDlZnI
────────
▣ Microsoft, 온프레미스 보안 리스크 감축 투자
핵심: 가이드라인·마이그레이션·제품 통합을 묶어 발표했다.
왜 중요한가: 온프렘 잔존 자산의 패치·이전 우선순위를 다시 잡을 계기다.
https://t.co/74jsxC7GBy
—— 취약점·해킹 ——
────────
▣ 🔴 CVE-2026-119977 WordPress 업그레이드 창 미인증 RCE, 기한 오늘
핵심: 스테이징 경로 TOCTOU, CVSS 8.1. 수정 7.1.4(10/28). Wordfence는 공개 후 21시간 내 18,500건 이상 공격 요청을 기록했다. 공식 릴리스 노트에는 CVE 번호가 없다.
왜 중요한가: 패치를 적용하는 행위 자체가 공격 창이다. 자동 업데이트를 켜 둔 사이트도 예외가 아니다.
https://t.co/Q3WQFzlZjH
────────
▣ 🔴 CVE-2026-97229 GitLab CI/CD 정수 오버플로, 기한 경과
핵심: CVSS 10.0, 영향 19.2/19.3/19.4 일부. 이후 10.0급이 더 나와 기준은 19.4.5 / 19.5.3 이상이다.
왜 중요한가: 모델 원본들이 기한을 모두 놓쳤다. 빌드 파이프라인 장악은 코드 서명·배포까지 이어진다.
https://t.co/cQ2KPyuad1
────────
▣ 🔴 Xen XSA-523, 완화책 없음
핵심: CVE-2026-102703/102704, grant copy 경로. 4.6 이상 전부 취약, 4.5 이하는 해당 없음. KEV 미등재, 야생 악용 보고 없음.
왜 중요한가: 하이퍼바이저 격리 가정을 깨는 클래스다. 패치·재부팅만 답이고 고객 공지 창이 먼저다.
https://t.co/7dm6tXvbuU
────────
▣ 🟠 CVE-2024-27834 Apple PAC 우회, APT29, 기한 11/18
핵심: 2024-05에 이미 패치된 n-day다. Plerdy SEO Tracker 공급망과 워터링홀을 경유했다. 제로데이는 하나도 쓰이지 않았다.
왜 중요한가: 패치 지연만으로 국가 배후 제로클릭이 성립한 사례다. 서드파티 JS 인벤토리도 같이 본다.
https://t.co/8i5uTE3G9N
────────
▣ 🔴 CVE-2026-107441 Zyxel GS1900, 6월 패치 우회
핵심: LAN 기반 미인증 OS 명령 실행. 수정은 .3)C0. 벤더 권고에는 CVSS·악용 언급이 없고, 8.8·약 1,000대는 매체 수치다. KEV 미등재.
왜 중요한가: 패치했다고 끝이 아닌 유형이다. 지원 종료 변종은 패치도 안전 선언도 없다.
https://t.co/k0vr8ovxqA
────────
▣ Android 11월 업데이트 200건+, Framework 치명적 RCE
핵심: CVE-2026-58868은 추가 권한·사용자 조작 없이 RCE. 패치 레벨 2026-11-01/11-05. 알려진 악용은 없다고 한다. KEV 미등재.
왜 중요한가: MDM 요구 레벨을 11-05 이상으로 올리고, Apple 건과 모바일 플릿 작업을 한 묶음으로 본다.
https://t.co/J3kH9sAP8U
────────
▣ Chrome 157, 보안 수정 213건(치명적 7)
핵심: 157.0.8103.38/.39. 야생 악용 언급은 없다.
왜 중요한가: 브라우저 롤아웃 큐에 오늘 올린다.
https://t.co/bAZaKk2Dqi
────────
▣ OpenSSH, 비밀번호 비활성 계정 로그인 가능(일부 musl/Alpine)
핵심: 과도한 비밀번호 입력으로 비활성 계정에도 들어가는 결함이다.
왜 중요한가: Alpine·컨테이너 호스트 SSH를 쓰는 환경이면 버전부터 대조한다.
https://t.co/b2JtW27lkL
────────
▣ 가짜 OpenAI·SpaceX·Anthropic 초대 피싱
핵심: 이벤트 초대로 Microsoft/Google 계정·세션을 노리는 피싱 애즈어서비스 2종이다.
왜 중요한가: 채용·이벤트 메일이 침투 입구가 되는 패턴이 이어진다.
https://t.co/s6jy6PpTZ1
────────
▣ 🟠 다가오는 KEV: Brotli 11/10
핵심: CVE-2026-111497 Google Brotli, 악용 확인, 패치 있음. 기한 11/10.
왜 중요한가: WordPress·GitLab 다음 큐에 올려 둔다.
https://t.co/cQ2KPyuad1
—— 개발자·엔터프라이즈 ——
────────
▣ Microsoft Copilot, 좌석에서 크레딧으로 — Chat 한도 이번 주
핵심: Copilot Business UBB 기본 적용은 FY27 Q3로 연기. Copilot Chat 미면허 한도는 2,000석 이하 11/02·초과 11/09 시작인데 한도 수치는 비공개다. GitHub Enterprise는 Copilot 사용권을 끼워주되 AI Credits로 청구한다.
왜 중요한가: "무료 포함"이 총비용 감소를 뜻하지 않는다. 2,000석 초과면 라이선스 요청 승인 기준을 지금 정해 둔다.
https://t.co/nMBCULI2dw
────────
▣ GitHub, 에이전트 동시 푸시용 Git 스토리지 재설계
핵심: 수천 개 에이전트가 단일 리포에 동시에 푸시할 수 있도록 아키텍처를 바꿨다.
왜 중요한가: Git 병목이 사람 빈도에서 에이전트 동시성으로 옮겨갔다.
https://t.co/fvaXEMb0Zw
────────
▣ KubeCon NA 앞, 에이전트 샌드박스 표준화
핵심: OpenShell은 CNCF 샌드박스, Google Agent Substrate·gVisor 기증은 910월 건이다. 11/05 신규 발표처럼 적은 서술은 틀렸다. 일정은 11/0912.
왜 중요한가: 신뢰할 수 없는 코드를 격리해 돌리는 문제가 VM에서 에이전트로 다시 시작됐다.
https://t.co/nKOXm0cqWY
────────
▣ Truffle Security, 유효 시크릿 약 140만 개 철회 프로그램
핵심: 발급사가 공개 저장소에 남은 유효 키를 철회하도록 돕는 무료 이니셔티브다. 같은 날 GitHub Secret Scanning도 SpaceX Starlink 탐지와 AWS·GCS 오탐 필터를 개선했다.
왜 중요한가: 시크릿 스프롤이 조직 단위를 넘어 발급사 공동 대응으로 격상됐다.
https://t.co/BMtBMdHg1D
────────
▣ OpenAI, Pierre Computer 인수 — Codex에 Git 백엔드
핵심: 코딩 에이전트의 코드 저장 계층을 수직 통합한다. 금액은 비공개다.
왜 중요한가: GitHub의 스토리지 재설계와 같은 압력에 대한 다른 대응으로 읽는다.
https://t.co/jFMiaNkvF0
────────
▣ 짧게: Cognito SLA 99.99%·RDS Oracle Kerberos·CodeQL 2.27.4·Xcode Copilot
핵심: Cognito Plus SLA 상향, RDS for Oracle 자체 AD Kerberos, CodeQL 정확도 개선, Copilot이 Xcode 27.3 베타에 들어갔다.
왜 중요한가: 인증·정적분석·IDE 쪽 작은 변경이 한꺼번에 쌓인 날이다.
https://t.co/kWXc04tDf3
────────
패치가 있는 것과 적용·검증된 것은 다른 말이다. 오늘은 기한이 온 것과 이미 지난 것부터 본다.
#IT브리핑 #WordPress #GitLab #Xen #Zyxel #KEV #OpenAI #데이터센터 #PQC #Copilot #APT29 #공급망보안