security

실제 운영 서버 공격에 악용된 Linux 커널 UDP 소켓 Use-After-Free 취약점(CVE-2026-98276)의 비원자적 sk_flags 경합 원리와 SOCK_RCU_FREE 증발 메커니즘을 정리한다. 배포판별 커널·라이브패치 현황과 크래시 로그 점검 절차를 살펴본다.

Understand how CVE-2026-98276 races sock_gettstamp() against bind() to overwrite SOCK_RCU_FREE on Linux UDP sockets, why sysctl and firewalls cannot mitigate it, and how to verify kernel and livepatch fixes.

11월 4일 공개된 Langfuse AI Gateway 베타를 점검한다. 개인·서비스 키의 수명, 모델 허용 범위, USAGE·FULL 추적, 비용 계산과 Codex 기능 제한을 구분한다.

11월 6일 발표된 Agent Registry 독립 스킬 GA와 보안 검사를 정리한다. 기존 리비전의 검사 공백, SUCCEEDED·발견 사항 구분, 기본 버전 전환 조건과 권한 설계를 점검한다.

11월 6일 AWS 보안 공지의 인증 전·후 TDS 취약점을 구분한다. Aurora·Babelfish·SQL Server 호환 버전의 차이, 계열별 수정 패치와 유지보수·접속 제한 점검을 정리한다.

11월 6일 공개된 CVE-2026-121823의 영향 조건과 1.43.0 수정 동작을 정리한다. 실제 런타임 버전, 원본·프록시 경유 회귀 검사와 세미콜론 경로 설정의 별도 주의를 살펴본다.

Docker 소켓 권한 오류에서 context와 데몬 상태를 구분하고 docker 그룹의 보안 위험과 rootless·Desktop 설정을 점검한다.

Diagnose Docker socket permission errors by checking context and daemon status, docker group security, and rootless or Desktop setups.

Go 1.27에서 정식(GA) 표준 라이브러리로 채택된 encoding/json/v2와 encoding/json/jsontext의 구문·의미 분리 아키텍처를 정리한다. 중복 키·UTF-8·대소문자·nil 슬라이스 등 v1과의 6가지 기본 동작 차이와 점진적 마이그레이션 방법을 살펴본다.

Explore Go 1.27's newly stable encoding/json/v2 and encoding/json/jsontext packages, how separating syntax from semantics enables up to 10x faster unmarshaling, and the 6 default behavior changes from v1.

비밀 원본·서비스별 부여·앱의 파일 읽기를 분리해 Compose secrets를 점검한다. _FILE 관례와 파일 권한, 빌드·런타임 경계, 키 교체 절차를 정리하고 Python 파일 함수 6개 검사를 확인한다.

11월 6일 공개된 Cloudflare Access 패스키 로그인을 정리한다. IdP 그룹 조건, 앱별 로그인 허용, 분실 시 패스키 삭제와 세션 회수를 구분하고 단계별 검증 절차를 제안한다.

257바이트 이상의 긴 비밀번호로 Alpine Linux 등 musl 기반 OpenSSH의 비밀번호 미설정 계정(*) 인증을 우회하는 CVE-2026-123158(*sshole) 원리와 10.6p2 패치를 정리한다. 노출 조건 5가지와 컨테이너·클라우드 이미지 점검 절차를 살펴본다.

Analyze how a 257+ byte password triggers a musl crypt() sentinel collision (*) in non-PAM OpenSSH (CVE-2026-123158), which Alpine Linux configurations are exposed, and how OpenSSH 10.6p2 closes the bypass.

11월 5일 공개된 OpenSSH 인증 우회 수정의 Alpine 영향 조건과 백포트 버전을 확인한다. 유효 설정 검사, 데몬 재시작, 새 로그인 검증과 과거 침해 점검을 구분한다.

11월 5일 공개된 Claude Console의 조직 IP 허용 목록 베타를 정리한다. 공인 출구 IP·지원 API·관리자 복구 경계를 확인하고 서버·CI를 중단시키지 않기 위한 적용·관측 절차를 살펴본다.

2026년 11월 정식 출시(GA)된 GitHub Actions 워크플로 종속성 락파일(actions.lock)을 해부한다. 가변 태그 변조(Retagging) 공격 원리, 복합 액션(Composite Action)의 전이 의존성 재귀 잠금, gh actions-lock --verify CI 검사, Dependabot 원자적 동기화, 6개 검증 시뮬레이터를 정리한다.

AI 코딩 에이전트(Claude Code, Codex, Gemini CLI)의 안전한 실행을 위한 Docker Sandboxes(sbx) 아키텍처를 해부한다. 컨테이너 탈출 및 DinD 소켓 공유의 위험, 독립 커널 microVM 격리, 전용 내부 데몬, Egress 프록시 토큰 주입, 6개 검증 시뮬레이터를 정리한다.

11월 4일 공개된 rsync 3.5.2의 CVE-2026-119741 수정을 정리한다. 송신자·수신자 역할, 읽기 전용 미러의 노출, 공급자 백포트와 실행 바이너리 확인, 전송·복원 회귀 점검을 구분한다.

GitHub Dependabot의 Agent Package Manager(APM) 버전 업데이트 정식 출시(GA)에 맞춰 apm.yml 핀 방식별 동작과 apm.lock.yaml 재생성 조건을 정리한다. 버전 업데이트와 보안 업데이트의 경계 및 로컬 Python 검증기를 살펴본다.

Understand how GitHub Dependabot version updates work for Agent Package Manager (apm.yml and apm.lock.yaml), why branch pins require an existing lockfile, and why version updates do not replace security review.

12월 2일 퍼블릭 리포지토리 기본 차단과 11월 9일·16일 브라운아웃을 앞둔 GitHub Actions pull_request_target 변경을 대비한다. PwnRequest 시크릿 탈취 메커니즘, 2단계 workflow_run 분리 패턴, 6개 검사를 통과한 로컬 Python 감사기를 정리한다.

11월 11일로 예고된 Node.js 22·24·26 보안 릴리스를 준비한다. 실행 환경 목록화, npm 검사 범위, 컨테이너 이미지 갱신과 실제 프로세스 검증을 구분한다.

Examine how CVE-2026-103916 lets sandboxed AI agents read or overwrite host files via sbx cp symlinks, why leaf-only -L checks fail on parent directories, and how to verify the v0.51.0 patch.

AI 코딩 에이전트 격리 도구인 Docker Sandboxes의 sbx cp 심볼릭 링크 탈출 취약점(CVE-2026-103916) 원리와 v0.51.0 패치 내역을 정리한다. virtio-fs 허용 목록과 호스트 복사 채널의 경계, 부모 경로 심볼릭 링크 검증 방법을 살펴본다.

11월 4일 첫 일시 중단 예고를 계기로 GitHub SSH 변경을 점검한다. RSA 키와 SHA-1 서명의 차이, OpenSSH 로컬 조회 결과, CI 실행 환경별 검증 절차를 정리한다.

11월 3일 변경된 새 AI Gateway의 인증 기본값과 되돌릴 수 없는 설정을 정리한다. 요청 주소별 헤더·권한 차이, 로컬 검증 예제와 전환 순서를 살펴본다.

Zero Wire의 공개 브리핑을 활용해 심각도·악용 근거·서비스 노출을 구분한다. 공급업체 권고와 배포 상태를 연결하는 검토 양식과 조치 후 검증 흐름을 정리한다.

공개 저장소의 pull_request_target 기본 차단과 11월 시험 차단 일정을 확인한다. PR 테스트·권한 있는 관리 작업의 분리, 정책 영향 확인과 검증 절차를 정리한다.

Examine how the shared __usage_ai-training robots.txt token works across Google, OpenAI, Microsoft, and Anthropic. Separate crawling, generative AI training, and grounding controls before 2027 rollouts.

Google·OpenAI·Microsoft·Anthropic이 지지한 robots.txt 공통 AI 학습 제어 토큰(__usage_ai-training)의 프로토콜 원리와 2027년 적용 일정을 정리한다. 크롤링·학습·그라운딩의 경계와 Google-Extended 우선순위 검증 방법을 살펴본다.

Cloudflare Connect 2026에서 발표된 개방형 에이전틱 인터넷 아키텍처(Web Bot Auth, Markdown for Agents, x402 기반 Monetization Gateway)를 정리한다. 3,400:1 크롤링 불균형 대응 전략과 HTTP 402 Payment Required를 활용한 계정 없는 에이전트 초소액 결제 구조를 살펴본다.

Android Dev Summit 2026에서 공개된 Firebase AI Logic과 온디바이스 Gemini Nano 4 하이브리드 아키텍처를 정리한다. App Check 및 서버 프롬프트 템플릿(.dotprompt)을 통한 클라이언트 보안, 온디바이스-클라우드 자동 폴백 라우팅, 서비스별 지출 상한(Spend Caps)과 Gemini Live API 통합 방법을 살펴본다.

10월 30일 Nuxt Image·IPX 보안 권고의 영향 조건과 패치 버전을 정리한다. 기본 비활성·부분 방어인 WAF 규칙에만 기대지 않고 의존성, lockfile, 실제 배포 산출물까지 확인하는 절차를 제안한다.

10월 30일 기존 프로젝트 적용 일정에 맞춰 Supabase의 새 테이블 자동 노출 변경을 정리한다. 기존 테이블 영향 범위, 읽기 전용 권한 조회, 최소 GRANT와 RLS를 묶은 마이그레이션 예제를 살펴본다.

KISA의 10월 29일 CVE-2026-46300 권고를 바탕으로 업스트림 버전과 배포판 백포트, 설치 패키지와 실행 커널을 구분한다. AWS의 영향 예외와 읽기 전용 점검, 조치 완료 증거를 정리한다.

GitHub Actions 의존성 lockfile의 GA 지원 범위와 gh actions-lock 사용법을 정리한다. 재사용 워크플로·허용 정책·Dependabot의 적용 경계를 구분하고 단계적으로 도입하는 방법을 살펴본다.

Cloudflare Connect 2026에서 발표된 Sentry의 옵저버빌리티 프롬프트 인젝션 방어 파이프라인을 정리한다. 하루 수억 건의 에러 이벤트에서 범용 LLM 대신 결정 모델(Clef·Jev)과 150M 인코더(ModernBERT)로 탐지 단가를 낮추는 다단계 구조를 살펴본다.

NVIDIA GTC Berlin 2026에서 발표된 AI 에이전트 보안 런타임 OpenShell의 구조와 동작 원리를 정리한다. 샌드박스 외부의 Supervisor, 정형 검증 기반 Policy Prover, 하드웨어 격리의 역할을 살펴본다.

CVE-2026-115413의 영향 버전과 구성, 1.6.0 수정 및 AUTH_AUDIENCE·AUTH_CLIENT_ID 설정을 정리한다. 업데이트 후 거부 테스트까지 확인하는 실무 체크리스트.

Google Cloud가 공개한 IAM Helper Agent Skills와 MCP 도구를 살펴본다. 에이전트의 403 진단, 최소 권한 제안, 사람의 승인 경계를 실무 검증 순서로 정리했다.

Go의 eMudhra 인증서 보안 대응을 바탕으로 도구 버전과 배포 바이너리를 구분하고, go version -m·govulncheck로 재빌드와 배포를 확인하는 방법을 정리한다.

PHP Windows의 Brotli 보안 재빌드는 런타임 버전이 바뀌지 않는다. -1 패키지 식별자와 cURL·Brotli 정보를 구분하고 실제 서비스 배포를 검증하는 방법을 정리한다.

Samsung Pass를 이용하면 갤럭시 단말기만으로도 PassKey를 생성하여 간편하고 안전한 로그인이 가능합니다. FIDO 표준을 준수하여 ID/비밀번호 없이도 웹 서비스에 접근할 수 있어, 보안과 편의성을 동시에 제공합니다. 이제 Github 등 대부분의 웹 서비스에서 간단한 설정으로 빠르게 인증을 경험해 보세요.