보안 가이드
실제 사고에서 배우고, 내 사이트를 지키세요.
공격하는 법이 아니라 방어하는 법을, 실제로 일어난 침해 사고에서 끌어냈습니다. 보안 배경지식이 없어도 오늘 바로 실천할 수 있는 실용적인 방어책입니다.
어디서 시작할까요
01최신 / 보안 뉴스
지금 확인할 정보.
사고와 취약점에 대한 속보, 활발히 악용되고 있는 결함, 최근 공개된 중대 취약점.취약점 피드 마지막 업데이트 2026-11-12 02:01 JST목록 가져온 시각 2026-11-12 02:46 JST
속보출처 포함
- First report영어Fireworks AI Security Incident (October 2026): Billing Data and Some Datasets and Model Weights Affected, Company Says Cloud Provider Breach Was Involved. What Customers Should Do
- First report영어NEAR AI Breached Through an Inference Engine Flaw (Account Details of About 100 Users): What Was Confirmed and What Users and AI Infrastructure Operators Should Do
- First report영어SAP Security Patch Day, November 2026: four CVSS 10.0 flaws. Patch internet-facing Web Dispatcher and ICM first; how to check if you are affected and what to do today
- First report영어Unauthorized access to Sharefull's internal management system (up to about 7.5 million accounts): names, bank details, emergency contacts and more may have leaked — what workers should do
- First report영어Unauthorized access to Sumitomo Life's Vitality application system (about 80,000 people): names, addresses, phone numbers and partly masked card numbers leaked — what users should do
속보는 영어와 일본어로 게시됩니다.
전체 속보 보기활발히 악용 중CISA KEV 신규 등록
- CVE-2026-125350CVSS 8.8해설Google ChromeChrome 157.0.8103.50 이전 버전의 XML 처리 과정에서 발생한 Use-After-Free(해제 후 사용) 취약점으로, 원격 공격자가 조작된 HTML 페이지를 통해 샌드박스 내부에서 임의의 코드를 실행할 수 있게 합니다. (Chromium 보안 심각도: 높음)
- CVE-2026-116606CVSS 9.3해설Barracuda Email Security Gateway 9.4.0.030 이전 버전에는 인증 우회 취약점이 존재하며, 이를 통해 인증되지 않은 원격 공격자가 설정 가져오기(configuration-import) 기능을 호출하고 조작된 호환 백업 아카이브를 복원할 수 있습니다. 그 결과 어플라이언스의 전역 설정이 권한 없이 변경될 수 있습니다.
- CVE-2026-20320CVSS 7.5해설Cisco BroadWorks의 Open Client Interface(OCI) XML 파서에 취약점이 존재하며, 이를 통해 인증되지 않은 원격 공격자가 영향을 받는 시스템의 민감한 구성 정보를 읽을 수 있습니다. 이 취약점은 외부 엔티티 해석이 기본적으로 허용되어 XML 항목이 부적절하게 파싱되기 때문에 발생합니다. 공격자는 조작된 XML 메시지를 Open Client Interface – Provisioning(OCI-P) 서비스로 전송하여 이 취약점을 악용할 수 있습니다. 공격에 성공하면 공격자는 Cisco BroadWorks 사용자의 권한으로 파일 시스템의 민감한 파일을 열람할 수 있습니다.
- CVE-2026-111560CVSS 8.6Barracuda 제품군의 일부 어플라이언스에서 공통 Barracuda 코드가 사용되는 시간대(timezone) 설정 필드의 셸 메타문자 무해화(neutralization)가 부적절하여, 인증된 관리자가 조작된 시간대 값을 주입하면 이후 해당 값이 처리되는 과정에서 root 권한으로 실행되는 OS 명령을 주입할 수 있습니다.
- CVE-2026-124194CVSS 6.5해설Microsoft Office Outlook의 제품 UI가 사용자에게 안전하지 않은 동작을 경고하지 않아, 인증되지 않은 공격자가 네트워크를 통해 스푸핑을 수행할 수 있습니다.
최근 공개된 중대 결함CVSS 8.8+
- CVE-2026-123710CVSS 9.8A flaw was found in Red Hat Quay. An unauthenticated client can obtain an anonymous registry token with an audience it controls, present that token to the service key rotation endpoint, and install its own approved signing key with no expiry. Registry tokens signed with that key are accepted for any repository, allowing read and write access to private images and replacement of repository tags.
- CVE-2026-89324CVSS 9.8The Basel Post Types plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 1.18. The vulnerability exists because a missing-quotes coding error in the defined() call for SECURE_AUTH_SALT inside BASEL_Auth::get_config() causes PHP to evaluate the constant's value rather than its name, making the check always fail and permanently falling back to the static hardcoded salt 2NlBUibcszrVtNmDnxqDbwCOpLWq91eatIz6O1O that is publicly visible in the theme source code; because this salt is static and known, an attacker can compute a valid Opauth signature entirely offline and submit a forged ?opauth callback to the unauthenticated init hook endpoint processed by register_or_login. This makes it possible for unauthenticated attackers to authenticate as any existing WordPress user, including administrators, by forging a callback tied to a known target account email address — bypassing all password verification, multi-factor authentication, and ownership checks, and receiving a fully authenticated session cookie via wc_set_customer_auth_cookie(). Exploitation requires WooCommerce to be active and at least one Basel social-login provider (Facebook, Google, or VKontakte) to be configured with a valid app_id and app_secret in the theme settings.
- CVE-2026-121908CVSS 9.9Adobe Connect is affected by an Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability that could result in arbitrary code execution in the context of the current user. A low-privileged attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
- CVE-2026-121906CVSS 9.9Adobe Connect is affected by an Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability that could lead to arbitrary file system read. An attacker could exploit this vulnerability to access sensitive files and directories outside the intended access scope. Exploitation of this issue does not require user interaction. Scope is changed.
- CVE-2026-121904CVSS 9.6Adobe Connect is affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by a low-privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim's browser when they browse to the page containing the vulnerable field, potentially gaining elevated access or control over the victim's account or session. Scope is changed.
악용 상태는 CISA KEV, 심각도는 NVD 기준입니다. 수정 버전과 영향 범위는 반드시 각 벤더의 권고문에서 확인하십시오.
01 — Sections
어디서 시작할까요
목표에 맞는 시작점을 고르세요. 모두 무료이며 가입이 필요 없습니다.
02 — Field notes
주목할 사고 & 취약점
Capital One, Log4Shell, MOVEit 등 — 공개된 침해 사고와 취약점을, 당신이 방어하는 방법으로 풀어냅니다.
03 — Our stance
이 사이트가 지향하는 것
보안 제품이라면 제 집부터 단속해야 합니다.
We don't hold secrets
We never store your real API keys — only metadata. The safest secret is the one we can't leak.
Scan only what you own
Diagnostics run on verified domains only. Internal IPs and metadata endpoints are blocked — SSRF defense is built in.
Minimal blast radius
Isolation so one breach can't cascade. This site itself runs on a dedicated, isolated host.
We test on ourselves
This site watches its own dependencies for CVEs. The incident that started this never gets missed by a human again.