#security

2026

2026-11-09동향 T-2319분

Replit 은 커널 결함 하나가 다른 고객까지 닿는 공유 커널 구조를 끊으려고 샌드박스를 KVM microVM 으로 다시 짰다. 웜 풀로 기동 약 500ms. 여러 고객 코드를 한 커널에서 돌리는 팀만 따져 보면 된다.

2026-11-09동향 T-2018분

로그인 계정 이메일이 모델 컨텍스트에 실렸다가 curl User-Agent 로 나갔다. 11월 3일 검사는 셸 명령의 한 모양만 막고 컨텍스트 제거는 아직이라, 기록 검색과 PreToolUse 훅이 필요하다.

2026-11-07강좌 C-6311분

Rust 웹 API 도 설정으로 지킨다. 큰 요청은 DefaultBodyLimit 로 413, 느린 요청은 TimeoutLayer 로 408 로 끊는다. SQL 을 format! 으로 이어 붙이면 Rust 도 주입에 뚫린다는 것을 실행하고 매개변수로 고친다.

2026-11-07강좌 C-6212분

Rust 는 메모리 오류를 컴파일러로 막지만 release 의 정수 넘침, 권한 같은 로직 실수, unsafe, 의존성은 막지 못한다. 배열 밖 패닉, 조용히 틀리는 70000×70000, 테스트에만 걸리는 권한 버그를 실행해 본다.

2026-11-06동향 T-1923분

Cache Components 를 켠 16 앱은 루트 파라미터·바이너리 인자·unstable_cache 혼용 조건에서 캐시가 섞인다. 16.4.5·15.5.29 로 올리고 next start 서버는 남은 캐시도 비운다.

2026-10-30동향 T-1615분

AAII v5 에서 59점으로 1위인 Gemini 4 Carbon 은 사이버 방어 파트너에게만 열렸고 모델 ID·공개 일정이 없다. 표준 단가가 Argon 과 같아 지금은 Argon 으로 평가 기준을 잡는 편이 낫다.

2026-10-30동향 T-1518분

CVE-2026-97229 수정은 GitLab 이 공식 패키지에 넣은 Ruby 패치였다. 소스 설치·자체 이미지는 Ruby 3.3 패치 13·3.4 패치 12·4.0 패치 9 이상도 필요하고, Alpine 은 이를 놓쳐 닷새 더 취약했다.

2026-10-23동향 T-1216분

Node.js 22·24·26 보안 패치가 Brotli 해제 중 버퍼 밖 쓰기 등 10건을 고쳤다. 받아 온 응답으로도 터져 방화벽만으론 부족하고, 지원이 끝난 20 이하는 고칠 판이 없어 옮겨야 한다.

2026-10-23동향 T-1117분

7.0 이후 자체 설치 GitLab CE/EE 전부에 걸린 Onigmo 반복 ID 오버플로다. 직전 CI 정규식 패치와 넘치는 값이 달라 다시 올려야 하고, 18.11~19.2 백포트는 이 RCE 하나만 막는다.

2026-10-23노트 N-1814분

Oracle 10월 정기 패치로 Java SE 취약점 55건이 고쳐졌지만, 다음 날 나온 CVE-2026-91403(CVSS 9.1)은 그 업데이트판까지 영향 범위에 넣는다. 계열별 대상 버전과 임시 조치를 정리했다.

2026-10-23동향 T-0919분

PHP 엔진의 메모리 결함 두 건으로 인증 없는 원격 실행이 가능하다. 8.2~8.5는 이번 보안 릴리스로, 8.1 이하는 배포판 백포트로 막고, 설정 완화는 알려진 경로만 줄인다.

2026-10-20동향 T-0716분

7.3 은 cgroup CPU 가중치 계산 기본값을 concur 로 바꾸고 cgroup 마다 BPF 스케줄러를 붙이게 했다. Ubuntu 26.10 노드가 먼저 만나며, 이전 계산은 debugfs 의 cgroup_mode 를 smp 로 돌리면 된다.

2026-10-19동향 T-0315분

virtio-net 체크섬 정보를 믿은 호스트 IPv4 코드가 검사를 마친 헤더를 덮어쓰는 18년 된 결함이다. 우회책이 없어 호스트에 고친 커널을 깔고 재부팅해야 하며, Debian 은 수정판이 나왔고 Ubuntu·RHEL 계열은 대기 중이다.