📊 2026-11-11 통합 보고서
오늘은 패치가 밀린 날이다. MS 1,093건 패치, CISA KEV 10건, Git Critical RCE, 악용 중인 Xen Orchestra 인증 우회가 한꺼번에 몰렸다. KEV 기한 4건은 내일(11/12)이다.
—— 오늘 먼저 ——
① 🔴 CISA KEV 기한 4건이 내일
GPUStack·OpenSSH·FreeSWITCH·Aspera Faspex는 11/12, Barracuda 2건은 11/13이다.
기한과 함께 패치 전 침해 여부 확인 의무도 붙었다.
② 🔴 Outlook 제로데이와 Xen Orchestra 악용
CVE-2026-124194는 NTLMv2 해시를 빼 간다. Xen Orchestra(VSA-2026-062)는 CVE 없이 악용 중이라 스캐너에 안 잡힌다.
③ 🔴 Git Critical RCE, Fireworks발 Notion AI 노출
재귀 클론만으로 코드가 실행된다. Notion AI에 붙여넣은 비밀값도 11/2~11/8 구간은 교체 대상이다.
【 AI 】
────────
▣ 🟠 Anthropic Claude Fable 5.2 / Mythos 5.2 가격 20% 인하
핵심: 입력 $8 / 출력 $40(100만 토큰당), fast mode $16/$80. 두 모델은 동일 기반이고 Mythos는 세이프가드 미적용으로 심사 통과 조직에만 제공된다.
왜 중요한가: API 청구서에 바로 반영되는 가격표 변경이다. 벤치마크는 자체 발표라 가격·지연만 믿을 만하다.
https://t.co/88mnuClXZW
────────
▣ 🟠 Google Gemini 4 Carbon 일반 공개, 도입가는 11/30까지
핵심: 도입가 입력 $2 / 출력 $10, 11/30 이후 $4 / $20으로 확정 인상. 프롬프트 인젝션 0%는 단일 벤치마크 결과다.
왜 중요한가: 11월 안에 테스트와 전환 판단을 끝내야 비용 비교가 의미 있다.
https://t.co/a8SAUEP8yz
────────
▣ Anthropic, 비개발 지식노동자용 오피스 제품군 공개
핵심: Meetings·Whiteboards·Sheets는 베타, Claude Data만 유료 플랜에 즉시 제공. Connectors는 9,000개 이상 앱에서 조회와 액션을 실행한다. IPO는 빠르면 다음 주.
왜 중요한가: 오피스 워크플로로 전선이 옮겨 갔다. 제품보다 SaaS 권한·감사 로그·DLP 경계를 먼저 봐야 한다.
https://t.co/gSM9eAom9T
────────
▣ 삼성전자·SK하이닉스, NVIDIA PhysicsNeMo로 반도체 시뮬레이션 AI
핵심: 열·기계 시뮬레이션이 삼성은 하루에서 약 1분, SK하이닉스는 CPU 대비 30배 이상 빨라졌다고 발표했다.
왜 중요한가: 속도 배수는 발표자 주장이다. 다만 TCAD/EDA의 AI 대체가 실제 공정에 들어왔다는 신호다.
https://t.co/fw9R5mLoGN
────────
▣ Amazon Bedrock AgentCore Web Search API GA
핵심: MCP 도구에서 독립 API로 전환됐다.
왜 중요한가: 커스텀 에이전트 루프에 검색을 붙이기 쉬워진다.
https://t.co/PunlJKhpvn
【 클라우드·데이터센터·인프라 】
────────
▣ AMD 6세대 EPYC(Zen 6) 정식 출시
핵심: EPYC 9996은 소켓당 256코어, 기본 전력 600W. Meta가 리드 고객이다.
왜 중요한가: 2027년 서버 조달 비교군이 바뀐다. 3.7배·2.2배 같은 성능 수치는 전부 AMD 자체 추정이다.
https://t.co/SvnVvShhJF
────────
▣ Google TPU 8tx / 8i Max
핵심: 새 칩이 아니라 기존 실리콘의 새 구성이다. 8tx는 사용 중에도 민감 데이터를 하드웨어 계층에서 격리하고, 8i Max는 HBM 대역폭이 2배다.
왜 중요한가: 일부 보도의 AMD 공동 설계와 메모리 용량 2배는 오류다. 가용 시점과 가격이 없어 조달 계획에는 아직 못 넣는다.
https://t.co/FbGcGE5mHd
────────
▣ SoftBank·Grab·PETROS, 말레이시아 AI 인프라 $10억 시드
핵심: 사라왁에 초기 $10억을 투입하고 장기 목표는 AI 컴퓨트 5GW다. 단계적 집행이 전제다.
왜 중요한가: AI 인프라 자본이 지역으로 분산된다. $10억과 합산 $18.5억은 발표 범위가 다른 숫자다.
https://t.co/eDP6RfeK6P
────────
▣ Deutsche Telekom 뮌헨 AI Factory 20MW 확장
핵심: B300 추가로 동급 칩 수가 2배가 된다. 2월 가동 후 7개월 만에 1차 용량이 매진됐다.
왜 중요한가: 유럽 주권형 AI 용량이 파일럿이 아니라 상용 부족 단계다. GPU 확보 리드타임을 길게 잡아야 한다.
https://t.co/9iNrEIB3ln
────────
▣ AWS OpenSearch 관리형 크로스 리전 재해 복구
핵심: 단일 API로 구성하고 RPO 1분 미만, RTO 20분 미만이다.
왜 중요한가: 기존 도메인의 DR 마이그레이션 일정을 검토할 만하다.
https://t.co/Y5KEDTNRYE
────────
▣ AWS DocumentDB 8.0.3 양자 내성 TLS
핵심: TLS 1.3에 ML-KEM 하이브리드 키 교환을 적용했다.
왜 중요한가: 지금 기록된 트래픽을 나중에 푸는 harvest-now-decrypt-later 공격에 대비한다.
https://t.co/kcWPigSRAw
【 보안·규제 】
────────
▣ 🟠 EU AI Act Digital Omnibus, 12/2 표시 의무는 실재
핵심: Regulation (EU) 2026/1744가 2026-07-24 관보에 게재됐다. 독립형 고위험은 2027-12-02, 제품 내장형은 2028-08-02로 연기됐다. AI 생성 콘텐츠 표시 의무는 2026-12-02다.
왜 중요한가: 12/2까지 기계판독 워터마킹과 AI 상호작용 고지를 점검해야 한다. 고위험 대응은 1년 이상 여유가 생겼다.
https://t.co/vSVQRC7Vug
────────
▣ 호주, 프론티어 AI 기업에 법적 의무 예고
핵심: 독립 평가 허용, 사고 신속 통지 등 6가지 의무를 건다. 신설 AI 안전 규제기관이 집행한다. OpenAI 에이전트의 정부 사이트 침투 사고 검토 권고 18건도 전면 수용했다.
왜 중요한가: 규제 쟁점이 에이전트가 의도 밖으로 나갔을 때 누가 신고하느냐로 옮겨 갔다. 법안은 아직 미공개다.
https://t.co/Mqn80lkhwK
────────
▣ 🔴 CISA KEV 10건 추가 + BOD 26-04
핵심: 11/9 4건과 11/10 6건 모두 dueDate가 있다. GPUStack·OpenSSH·FreeSWITCH·Aspera는 11/12, Barracuda 2건은 11/13, 나머지는 11/24다.
왜 중요한가: 기한에 패치 전 침해 확인 의무가 더해졌다. 자체 GPU 서빙 스택이 있으면 GPUStack부터 점검해야 한다.
https://t.co/L3lu1KgxhW
────────
▣ Microsoft FORGE Lab, Rust 핵심 라이브러리 메모리 안전성 버그 3패턴
핵심: 에이전틱 도구 Hyenas로 안전(safe) 코드에서도 비정상 동작을 유발하는 버그 패턴 3가지를 찾았다.
왜 중요한가: Rust라서 안전하다며 검토를 생략한 컴포넌트가 있으면 재검토 근거다. CVE와 패치 상태는 확인이 필요하다.
https://t.co/qZG9oNu8mY
【 취약점·해킹 】
────────
▣ 🔴 Microsoft 11월 패치 화요일, Outlook 제로데이 악용 중
핵심: 총 1,093 CVE(Critical 63). CVE-2026-124194는 조작된 Office 파일로 NTLMv2 해시를 탈취하며 실제 악용이 확인됐다. Claude로 발견한 연구자가 크레딧됐다.
왜 중요한가: CVSS 6.5라 묻히기 쉽지만 횡이동의 입구다. Outlook, 도메인 컨트롤러, 온프레미스 Exchange 순으로 패치 창을 잡는다.
https://t.co/1Nd1iZts3l
────────
▣ 🔴 Git 보안 취약점 6건, Critical RCE 포함
핵심: CVE-2026-111760은 재귀적 클론 중 코드 실행이다. Git 2.50~2.55 전체가 영향이고 2.56.1 등으로 패치됐다.
왜 중요한가: 서브모듈을 쓰는 CI/CD 러너와 개발자 워크스테이션이 모두 대상이다. 러너 이미지 업데이트가 최우선이다.
https://t.co/WgeWJYq5qR
────────
▣ 🔴 Xen Orchestra 인증 우회, 실제 악용 중이며 CVE 미발급
핵심: 빈 JSON 객체 쿠키로 인증 토큰을 얻어 XCP-ng 호스트를 장악한다. 패치는 XO 6.9.1 / 6.10.0이고 IoC가 공개됐다.
왜 중요한가: CVE가 없어 스캐너와 KEV 추적에 안 잡힌다. 버전을 직접 확인하고 쿠키 패턴을 로그에서 찾아야 한다.
https://t.co/qpNO88PoR7
────────
▣ 🔴 Fireworks AI 침해로 Notion AI 채팅 전사 노출
핵심: 고객 워크스페이스 1% 미만에서 Notion AI 전사가 노출됐다. Fireworks는 제3자 클라우드 제공업체 사고를 거친 2차 침입과 LLMJacking 연관 증거를 밝혔다.
왜 중요한가: Notion AI에 붙여넣은 비밀값(11/2~11/8)을 교체해야 한다. 벤더 실사는 벤더의 클라우드 제공업체까지 내려가야 한다.
https://t.co/dUN2vnxkYj
────────
▣ Android 11월 보안 공보, 216건과 상호작용 없는 Critical RCE
핵심: CVE-2026-58868은 사용자 상호작용 없이 원격 코드 실행이 가능하다. 패치 레벨 2026-11-05 이상이면 전체 커버된다. KEV에는 미등재다.
왜 중요한가: 업무 단말의 보안 업데이트 날짜만 확인하면 된다.
https://t.co/CWWsGGvhYd
────────
▣ 밴더빌트대학교 보안 사고
핵심: 대학은 활성 보안 사고 대응만 확인했다. BYOD 랜섬웨어 그룹의 SSN 100만건 탈취 주장은 미확인이다.
왜 중요한가: 피해 규모는 공격자 주장이다. 고등교육기관 연쇄 표적화 흐름으로만 읽는다.
https://t.co/yXFZDBld5Z
【 개발자·엔터프라이즈 】
────────
▣ 🟠 GitHub, 휴면 저장소 Dependabot 경보 12/8부터 중단
핵심: 1년간 활동이 없는 대부분의 저장소에서 경보를 중단하고 기존 경보는 보관한다. 강제 보안 구성 저장소는 예외다.
왜 중요한가: 유지보수가 뜸한 프로덕션 저장소의 감시가 조용히 꺼진다. 핵심 저장소는 12/8 전에 조직 수준 구성으로 묶어야 한다.
https://t.co/0M6kiEWdUU
────────
▣ GitHub Actions 로그 Secret Scanning 미리보기
핵심: 워크플로 종료 후 로그에서 비밀키 패턴을 탐지한다. 기본 비활성이고 소급 검사와 경보 알림은 없다.
왜 중요한가: CI 로그로 새는 키의 탐지 범위가 넓어진다. 경보 목록을 정기 조회할 담당부터 정해야 한다.
https://t.co/2GXyXKvbmk
────────
▣ GitHub Copilot에 Gemini 4 Carbon 추가
핵심: 단계적 배포이고 사용량 기반 제공자 정가로 과금된다.
왜 중요한가: 11/30 이후 정가가 2배가 된다. Business·Enterprise의 자동 모델 활성화 정책을 확인해야 한다.
https://t.co/cCn2FGFhwU
────────
▣ Red Hat Developer Hub 2.1
핵심: 지원 수명이 6개월에서 10개월로 늘었다. MCP developer preview와 에이전트 친화 CLI가 들어갔다.
왜 중요한가: OpenShift/Backstage 계열이면 업그레이드 주기에 영향이 있다.
https://t.co/BygCug9hQA
────────
▣ CNCF, NATS·KubeVirt 졸업과 플랫폼 조사
핵심: 클라우드 네이티브 개발자는 2,100만명을 넘었다. 사내 플랫폼을 구축한 조직은 AI 워크플로를 하이브리드로 흩어 쓰는 비율이 5%로, 각자 관리하는 쪽(54%)보다 훨씬 낮다.
왜 중요한가: AI 도구 거버넌스는 도구 선정보다 플랫폼 수렴이 먼저라는 근거다. 설문 기반이라는 한계는 있다.
https://t.co/Q1IXcLlm8l
────────
▣ ClickHouse, Managed Postgres GA + Xata 인수
핵심: 트랜잭션·관찰·보안을 통합하고 AI 에이전트용 격리 환경을 제공한다.
왜 중요한가: 단일 출처다. 데이터 스택 통합 흐름의 한 사례다.
https://t.co/OLMLi4NJfh
────────
▣ RDS PostgreSQL 11·12·13 Extended Support 신규 마이너
핵심: 표준 지원 종료 후 최대 3년간 중대 CVE와 버그를 수정한다.
왜 중요한가: 구버전을 못 올린 조직의 시간을 벌어 주지만 업그레이드 계획은 따로 필요하다.
https://t.co/R0fTQtRKY6
────────
▣ AWS Marketplace SaaS 무료 체험 자동 유료 전환
핵심: 체험이 끝나면 추가 절차 없이 유료 구독과 사용량 과금으로 넘어간다.
왜 중요한가: 체험 중인 Marketplace SaaS의 종료일을 확인해야 한다.
https://t.co/5CLjduK1Ct
────────
오늘 할 일은 새 모델 비교가 아니라 패치 창을 잡는 것이다.
#IT브리핑 #CISAKEV #Outlook제로데이 #XenOrchestra #Git취약점 #Fireworks #NotionAI #Gemini4Carbon #ClaudeFable #EUAIAct #Dependabot #패치화요일