Chrome 제로데이 CVE-2026-5281 활발히 악용 중, WhatsApp 스파이웨어로 iOS 사용자 200명 피해, Cisco IMC 치명적 인증 우회, CrystalRAT, 북한의 Axios 공격 배후 지목 & 기타 소식

Google이 표적 공격에 이미 무기화된 유형 혼동 제로데이 CVE-2026-5281을 해결하기 위해 Chrome 긴급 패치를 배포했다. WhatsApp은 이탈리아 감시 업체와 연계된 가짜 앱을 통해 iPhone이 은밀히 감염된 사용자 200명에게 이를 통보했다. Cisco의 IMC 관리 인터페이스에서는 인증되지 않은 공격자에게 완전한 관리자 액세스 권한을 허용하는 치명적인 인증 우회 취약점이 발견됐다. 자격 증명 탈취 및 장난성 악성 기능을 갖춘 CrystalRAT도 새롭게 문서화됐다. Google Threat Intelligence Group은 Axios npm 공급망 공격의 배후로 북한 운영 조직 UNC1069를 공식 지목했다. 군더더기 없이 전하는 8가지 소식.

1. Chrome 제로데이 CVE-2026-5281 — 활발히 악용 중인 유형 혼동 버그 긴급 패치

Google은 실제 환경에서 활발히 악용되고 있음을 확인한 뒤 Chrome 브라우저용 긴급 비정기 업데이트를 배포했다. CVE-2026-5281은 심각도가 높은 유형 혼동 취약점 이며, Chrome의 V8 JavaScript 엔진에 존재한다. Google 보안팀은 "실제 환경에 CVE-2026-5281 익스플로잇이 존재한다" 는 사실을 인지하고 있다고 밝혔으며, 대다수 사용자가 패치를 적용할 때까지 전체 기술 세부 정보의 공개를 제한하고 있다.

취약점 세부 정보

V8의 유형 혼동 버그를 이용하면 공격자가 엔진이 예상하지 못한 방식으로 JavaScript 객체를 조작해 렌더러 프로세스 내 임의의 메모리 위치를 읽고 쓸 수 있다. 이를 브라우저 익스플로잇 키트에서 흔히 사용하는 기법인 별도의 샌드박스 탈출 프리미티브와 연계하면, 악성 웹페이지를 방문하거나 조작된 링크를 클릭하는 것만으로 피해자의 시스템에서 완전한 원격 코드 실행 이 가능해질 수 있다.

• CVE: CVE-2026-5281
• 구성요소: V8 JavaScript 엔진
• 유형: 유형 혼동
• 영향받는 버전: 134.0.6998.177/178 이전의 모든 Chrome 버전
• 추가 영향 대상: Chromium 기반 브라우저(Edge, Brave, Opera, Vivaldi) — 공급업체 패치 대기 중
• 제보자: Google 버그 바운티 프로그램을 통해 제보한 익명의 연구원

실제 환경에서의 악용

Google Threat Analysis Group(TAG)이 활발한 악용 사례를 추적하고 있으며, 현 단계에서는 광범위한 공격이 아닌 표적 공격 으로 보인다. 초기 텔레메트리에 따르면 이 익스플로잇은 드라이브바이 다운로드 방식으로 사용되고 있다. 피해자는 스피어 피싱 링크나 악성 광고를 통해 공격자가 통제하는 인프라로 유도된다. 공개된 개념 증명은 없으며, Google은 책임 있는 공개 관행에 따라 기술 세부 정보에 짧은 공개 유예 기간을 적용하고 있다.

업데이트 방법

Chrome은 백그라운드에서 자동으로 업데이트되지만, 사용자는 다음과 같이 버전을 직접 확인해야 한다.

1. Chrome을 열고 다음 주소로 이동한다. chrome://settings/help
2. Chrome이 업데이트를 확인하고 필요한 경우 재실행을 안내한다.
3. 버전이 다음 이상인지 확인한다. 134.0.6998.177 이상 (Windows/macOS) 또는 134.0.6998.178 (Linux)
4. 기업 관리자: GPO 또는 관리형 배포를 통해 즉시 업데이트를 적용한다.
5. Chromium 기반 브라우저 사용자는 공급업체 권고를 모니터링하고 패치가 제공되는 즉시 업데이트해야 한다.

2. WhatsApp 스파이웨어 경보 — 이탈리아 감시 업체와 연계된 가짜 앱이 iOS 사용자 200명 표적 공격

Meta의 WhatsApp은 약 200명의 사용자 에게 표적 알림을 보내, 스파이웨어 캠페인이 사기성 iOS 애플리케이션을 이용해 기기를 은밀히 감염시켰다고 통보했다. 이 캠페인은 이탈리아 상용 감시 업체 와 연계돼 있다. 이 업계는 전 세계 규제기관, 시민자유단체 및 법 집행기관으로부터 갈수록 강도 높은 감시를 받고 있다.

가짜 iOS 앱 기법

이 공격은 App Store 외부에서 트로이목마화된 iOS 애플리케이션을 배포하는 방식에 의존했으며, WhatsApp이나 SMS로 전송된 직접 다운로드 링크를 통해 전달되었을 가능성이 큽니다. 앱이 설치되면—대개 App Store 심사 없이 사이드로딩할 수 있는 Apple의 TestFlight 배포 메커니즘이나 엔터프라이즈 프로비저닝 프로파일을 통해 설치됩니다—다음 기능을 갖춘 스파이웨어 페이로드가 은밀히 배포되었습니다.

• WhatsApp 메시지와 미디어 파일 유출
• 다음 정보에 접근: 연락처, 통화 기록 및 위치 데이터
• 사용자에게 알리지 않고 마이크와 카메라를 활성화
• iOS 백그라운드 프로세스 메커니즘을 악용해 재부팅 후에도 지속성 유지
• 데이터를 암호화하여 공격자가 제어하는 인프라로 유출

영향받은 사용자 및 배후

알림을 받은 약 200명의 사용자는 여러 국가의 언론인, 활동가, 변호사 및 시민사회 구성원으로 상업용 감시 업체가 흔히 노리는 표적 유형에 해당합니다. 이탈리아 당국은 해당 공급업체에 대한 조사에 착수했으며, WhatsApp의 모회사 Meta도 조사에 협조하고 있습니다. 이번 사건은 미국의 제재와 EU의 규제 압박을 받은 NSO Group(Pegasus) 및 Intellexa(Predator)에 대한 과거 조치를 연상시킵니다.

대응 조치

• WhatsApp에서 알림을 받은 경우: iPhone을 완전히 초기화하고, 침해가 의심되는 시점 이전에 생성된 안전한 백업에서 복원합니다.
• 설치된 모든 구성 프로파일을 설정 → 일반 → VPN 및 기기 관리에서 해지하고 검토합니다.
• App Store 외부에서 설치된 모든 엔터프라이즈 또는 TestFlight 앱을 점검합니다.
• 고위험군 사용자는 차단 모드를 활성화합니다(설정 → 개인정보 보호 및 보안 → 차단 모드).
• 최신 iOS 버전으로 업데이트합니다. Apple의 보안 업데이트는 스파이웨어가 의존하는 권한 상승 공격 벡터를 자주 패치합니다.
• 문의 표적이 되었다고 판단되면 Access Now의 Digital Security Helpline에 문의하십시오.

3. Cisco IMC 치명적 인증 우회 — 인증 없이 서버 관리 관리자 권한 획득

Cisco는 자사 웹 기반 관리 인터페이스에서 치명적 심각도의 인증 우회 취약점을 공개했습니다. 이 취약점은 Integrated Management Controller(IMC)에 존재합니다. IMC는 Cisco UCS 서버 및 기타 하드웨어 어플라이언스에 내장된 원격 관리 시스템입니다. 이 취약점을 악용하면 공격자는 자격 증명 없이 관리 영역에 대한 전체 관리자 접근 권한을 획득할 수 있습니다.

CVE 및 CVSS

• CVE: CVE-2026-1234 (전체 CVE 할당에 관한 Cisco 권고문 발표 대기 중)
• CVSS 기본 점수: 9.8 (치명적)
• 공격 벡터: 네트워크(원격 악용 가능)
• 인증 필요 여부: 없음
• 필요 권한: 없음
• 사용자 상호작용: 없음

영향받는 제품

이 취약점은 광범위한 Cisco 하드웨어의 IMC 관리 인터페이스에 영향을 미칩니다.

• Cisco UCS C-Series 랙 서버 (4.3(5.230010) 이전 IMC 펌웨어)
• Cisco UCS E-Series 서버 ISR 라우터에 내장된 제품
• Cisco UCS S-Series 스토리지 서버
• Cisco HyperFlex HX-Series 노드 IMC 관리가 활성화된 제품
• 취약한 것으로 확인된 구체적인 펌웨어 버전 — 전체 제품 매트릭스는 Cisco 보안 권고를 확인하십시오

기술적 근본 원인

이 결함은 세션 초기화 과정에서 IMC 웹 인터페이스가 인증 상태를 처리하는 방식에 존재합니다. 관리 인터페이스에 특수하게 조작된 HTTP 요청을 보내면 인증 검사를 완전히 우회하여, 공격자가 다음을 포함한 모든 관리 권한을 행사할 수 있는 특권 세션이 생성됩니다 — 펌웨어 변조, 전원 관리, 가상 KVM 접근 및 자격 증명 추출.

패치 및 완화 조치

• IMC 펌웨어를 Cisco 보안 권고에 명시된 패치 버전으로 업데이트하십시오
• 즉시 IMC 인터페이스에 대한 네트워크 접근을 제한하십시오 — 이러한 인터페이스는 인터넷이나 신뢰할 수 없는 네트워크에 절대 노출되어서는 안 됩니다
• IMC 관리 인터페이스를 전용으로 격리된 OOB 관리 VLAN에 배치하십시오
• IMC 접근 로그를 감사하여 승인되지 않은 세션이 있는지 확인하십시오
• 즉시 패치할 수 없다면 웹 관리 인터페이스를 비활성화하고 임시 조치로 SSH를 통한 CIMC CLI를 사용하십시오

4. CrystalRAT — 정보 탈취 및 프랭크웨어 기능을 갖춘 새로운 원격 접근 트로이 목마

위협 인텔리전스 연구진은 CrystalRAT에 대한 상세 분석을 공개했습니다. 이 신종 원격 접근 트로이 목마는 자격 증명 탈취, 감시 기능 및 파괴적인 프랭크웨어 기능을 이례적으로 결합해 수많은 RAT 사이에서도 두드러집니다. 이 악성코드는 활발히 개발 중인 것으로 보이며, 최근 여러 변종이 실제 환경에서 확인되었습니다.

기능

CrystalRAT의 기능은 은밀한 데이터 탈취와 노골적인 시스템 교란이라는 두 가지 상이한 운영 유형에 걸쳐 있습니다.

정보 탈취 기능:

• Chrome, Edge, Firefox 및 Brave에서 브라우저 자격 증명(비밀번호, 쿠키, 자동 완성 데이터) 수집
• 암호화폐 지갑 열거 및 키 추출
• 예약된 간격 또는 요청 시 스크린샷 캡처
• 클립보드 모니터링을 포함한 키로깅
• 구성 가능한 경로 필터를 사용한 파일 유출
• 시스템 정찰(설치된 소프트웨어, 실행 중인 프로세스, 네트워크 구성)

프랭크웨어/시스템 교란 기능:

• 시스템 스피커를 통한 무작위 오디오 재생(음성 클립, 경보음, 각종 소리)
• 마우스 커서 강제 이동 및 화면 색상 반전
• 가짜 BSOD(Blue Screen of Death) 표시
• 공격자가 지정한 이미지로 바탕 화면 배경 교체
• 팝업 대화 상자 반복 표시 및 창 최대화 루프

유포 방식

CrystalRAT는 주로 크랙 소프트웨어 번들과 가짜 게임 치트에 포함되어 파일 공유 사이트에 업로드되고 Discord 서버와 Telegram 채널을 통해 홍보됩니다. 그 밖의 유포 경로로는 유사 도메인에 호스팅된 트로이 목마화된 생산성 도구(가짜 Office 정품 인증 도구, 라이선스 키 생성기)가 있습니다. 드로퍼는 정상적인 Windows 유틸리티 (mshta.exe, wscript.exe)를 악용하는 다단계 로더를 통해 페이로드를 실행하고, 예약된 작업과 레지스트리 실행 키를 사용해 지속성을 확보합니다.

침해 지표(IoCs)

• C2 도메인(확인됨): crystal-update[.]net, cryst4l-cdn[.]com, update-cryst[.]io
• 드로퍼 해시(SHA-256): 연결된 위협 보고서에서 전체 IoC 목록 확인
• 지속성 유지 키: HKCU\Software\Microsoft\Windows\CurrentVersion\Run → "CrystalSvc"
• 예약 작업 이름: "Crystal Update Service"(여러 변형 관찰됨)
• C2 통신: 사용자 지정 JA3 지문을 사용하는 443 포트의 HTTPS; 비콘 간격 30~90초
• 스테이징 디렉터리: %APPDATA%\CrystalData\(난독화된 하위 디렉터리)

방어 권고 사항

• DNS 및 방화벽 계층에서 알려진 C2 도메인 차단
• 이름에 "Crystal"이 포함된 예약 작업 또는 레지스트리 실행 키가 생성되면 경고
• 소프트웨어 설치 정책을 시행해 사용자가 쓰기 가능한 경로에서 서명되지 않은 실행 파일 차단
• 불법 복제 소프트웨어와 게임 치트의 위험성을 사용자에게 교육

5. Google, Axios npm 공급망 공격을 북한(UNC1069)의 소행으로 지목

Google Threat Intelligence Group(GTIG)은 3월 31일 발견된 Axios npm 공급망 공격을 북한 정찰총국 산하 Bureau 121에서 활동하는 북한 국가 지원 위협 행위자인 UNC1069의 소행으로 공식 지목했다. 이에 따라 Axios 침해 사고는 오픈소스 소프트웨어 인프라를 겨냥한 북한의 사이버 작전 가운데 지금까지 기록된 것 중 파급력이 가장 큰 사례 중 하나가 됐다.

배후 지목 근거

GTIG의 배후 지목은 여러 정보 출처에서 확인된 다음과 같은 기술 지표의 중첩에 근거한다:

• C2 인프라의 중첩 이전에 UNC1069의 소행으로 지목된 암호화폐 거래소 대상 캠페인과의 중첩
• 악성코드 코드의 유사성 공통 난독화 루틴을 포함한 Lazarus Group / TraderTraitor 도구와의 유사성
• 작전 수행 시간대 패턴 북한의 근무 시간 및 이전 캠페인의 진행 주기와 일치
• 계정 탈취 방식 (관리자 계정을 겨냥한 자격 증명 피싱)이 2023년 3CX 공급망 공격에 사용된 전술과 유사
• 페이로드 표적 선정 로직 암호화폐 관련 환경 변수와 지갑 파일을 우선적으로 노림 — 금전적 동기로 수행되는 북한의 작전 특성과 일치

전략적 맥락

Axios 공격은 널리 알려진 북한의 작전 수법과 일치한다. 광범위하게 사용되는 오픈소스 종속성을 침해해 개발자 생태계 전반에 대규모로 접근한 뒤, 고가치 표적, 특히 암호화폐 기업, DeFi 프로토콜 및 금융기관을 상대로 페이로드를 선별적으로 활성화하는 방식이다. GTIG는 침해된 버전(1.14.1 및 0.30.4)이 제거되기 전에 수만 개의 CI/CD 파이프라인에서 다운로드됐으며, 전체 피해 범위는 아직 평가 중인 것으로 추산한다.

6. npm 패키징 오류로 Claude Code 소스 유출 — Anthropic, 노출 확인

Anthropic은 잘못 구성된 빌드 및 패키징 파이프라인으로 인해 자사의 CLI 기반 에이전틱 코딩 도구인 Claude Code의 소스 코드가 공개 npm 레지스트리를 통해 의도치 않게 노출됐다고 밝혔다. 보안 연구원들이 게시된 npm 패키지에서 예상치 못한 비축소 소스 파일을 발견해 알린 후 회사가 이 사고를 확인했다.

노출된 내용

의도치 않게 공개된 항목은 다음과 같다:

• 축소되지 않은 TypeScript/JavaScript 소스 코드 Claude Code CLI 에이전트 코어용
• 내부 프롬프트 템플릿 및 시스템 프롬프트 Claude의 에이전틱 추론과 도구 사용 동작을 유도하는 데 사용
• 내부 API 라우팅 로직 Claude Code가 Anthropic의 백엔드 서비스와 통신하는 방식을 설명
• 빌드 도구 체인 구성 파일 (내부 종속성 경로와 환경 변수 이름 포함)
• 특히 API 키, 사용자 데이터, 모델 가중치 또는 인증 자격 증명은 전혀 노출된 패키지에 포함되지 않았습니다.

영향 및 위험 평가

Anthropic은 고객 데이터나 실제 자격 증명이 노출되지 않았다는 점을 강조하며, 이번 노출을 침해 사고가 아닌 우발적 공개로 규정했습니다. 그러나 보안 연구자들은 유출된 소스 코드와 시스템 프롬프트로 인해 다음과 같은 위험이 발생할 수 있다고 지적합니다.

• 내부 추론 구조를 드러냄으로써 Claude Code를 겨냥한 더욱 정교한 프롬프트 인젝션 공격을 가능하게 할 수 있음
• 경쟁사나 공격자가 내부 아키텍처 설계 결정을 재현할 수 있게 함
• 문서화되지 않은 엔드포인트를 탐색하는 데 악용될 수 있는 내부 API 공격 표면을 노출함

Anthropic은 이후 영향을 받은 패키지 버전을 삭제하고, 관련 패키지에서 유사한 문제가 있는지 감사했으며, 재발 방지를 위해 CI/CD 파이프라인을 검토하고 있습니다. Claude Code 사용자는 최신 버전으로 업데이트하고 Anthropic의 보안 권고를 모니터링하는 것이 좋습니다.

7. 원격 코드 실행에 노출된 F5 BIG-IP APM 인스턴스 14,000대 이상

인터넷 전반을 스캔한 보안 연구자들은 14,000대가 넘는 F5 BIG-IP Access Policy Manager (APM) 인스턴스가 공용 인터넷에 노출된 채 원격 코드 실행 취약점의 영향을 받는소프트웨어 버전을 실행 중인 사실을 확인했습니다. F5 BIG-IP APM은 애플리케이션 전송 컨트롤러이자 SSL VPN 게이트웨이로 작동하므로, 이를 침해하는 것은 사실상 조직의 정문을 뚫는 것과 같습니다.

취약점

이 RCE 취약점은 BIG-IP APM 모듈이 관리 및 데이터 플레인 인터페이스로 전송된 조작된 HTTP 요청을 처리하는 방식에 존재합니다. 인증되지 않은 공격자가 악용에 성공하면 다음 작업을 수행할 수 있습니다.

• 기반 TMOS 운영 체제에서 root 권한으로 임의 명령 실행
• 어플라이언스를 통과하는 모든 VPN 및 애플리케이션 트래픽 가로채기
• APM 포털을 통해 인증하는 사용자의 자격 증명 추출
• 어플라이언스가 신뢰받는 네트워크 위치에 있다는 점을 악용해 내부 네트워크로 이동
• 연결된 모든 사용자에게 영향을 미치는 접근 정책 비활성화 또는 조작

노출 규모

노출된 14,000대 이상의 인스턴스는 고가치 표적이 상당히 집중되어 있음을 의미합니다. Shadowserver와 Censys의 스캔 결과, 노출된 어플라이언스는 다음 분야에 집중된 것으로 나타났습니다.

• 금융 서비스 및 은행 — 밀도가 가장 높은 분야
• 정부 및 국방 — 여러 NATO 회원국 기관 포함
• 의료 시스템 및 병원 네트워크
• 통신 및 핵심 인프라 운영사

많은 인스턴스가 F5에서 더 이상 보안 패치를 지원하지 않는 지원 종료 소프트웨어 버전을 실행 중인 것으로 보여 위험을 더욱 가중하고 있습니다.

즉각적인 조치

• F5의 보안 패치를 적용하십시오. 사용 중인 버전의 수정 사항은 BIG-IP 보안 권고 포털에서 확인하십시오.
• 관리 인터페이스 접근을 즉시 신뢰할 수 있는 IP 범위로 제한하십시오. 관리 인터페이스는 절대로 인터넷에 노출해서는 안 됩니다.
• BIG-IP APM 접근 로그에서 악용 징후를 감사하십시오.
• APM 포털을 통과했을 가능성이 있는 모든 자격 증명을 검토하고 교체하십시오.
• 지원 종료 버전을 실행 중이라면 긴급 업그레이드 또는 어플라이언스 교체를 계획하십시오.

8. Apple, DarkSword 패치 확대 — 더 많은 기기에 iOS 18.7.7 배포

Apple은 다음 버전을 출시했습니다. iOS 18.7.7 와 함께 DarkSword 보안 패치의 배포 범위를 확대해 더 다양한 iPhone 및 iPad 모델에 핵심 보호 기능을 적용했습니다. DarkSword 패치는 처음에는 더 제한적으로 배포됐지만, 오늘의 확대 조치는 Apple 보안팀이 더 광범위한 하드웨어 매트릭스에서 수정 사항을 검증했으며 악용 가능 기간을 차단하기 위해 속도를 내고 있음을 보여줍니다.

DarkSword가 차단하는 공격

DarkSword는 다음을 해결하는 패치에 Apple이 붙인 내부 명칭입니다. 다단계 익스플로잇 체인 커널 메모리 손상 결함과 샌드박스 탈출 프리미티브를 결합한 공격입니다. 이 익스플로잇 체인은 다음 대상을 겨냥한 표적 공격에 사용된 것으로 관찰됐습니다.

• 다음 지역의 주요 인사 중동 및 동남아시아 국가
• 언론인과 반체제 인사 — 상용 스파이웨어 배포와 일치하는 표적 특성
• 피해자는 일반적으로 다음을 통해 표적이 됐습니다. 제로클릭 iMessage 및 WebKit 전송 벡터

iOS 18.7.7에서 새롭게 지원되는 기기

• iPhone XS, XS Max, XR(A12 Bionic 칩 — 초기 패치 배포 대상에서 제외됐던 모델)
• iPad Pro 12.9형(3세대) 및 11형(1세대)
• iPad Air(3세대) 및 iPad mini(5세대)
• iPod touch(7세대) — 아직 업데이트가 제공되는 경우
• macOS Sonoma 및 Ventura에는 WebKit 구성요소를 해결하는 동반 패치가 제공됩니다.

업데이트 방법

1. 다음으로 이동합니다. 설정 → 일반 → 소프트웨어 업데이트
2. 다운로드하여 설치합니다. iOS 18.7.7
3. 기기에 iOS 18.7.7이 이미 설치됐다고 표시되면 설정 → 일반 → 정보에서 빌드 번호를 확인해 검증하십시오.
4. 업데이트를 미루지 마십시오. — 이번에 패치되는 익스플로잇 체인이 실제 표적 공격에 활발히 사용되고 있음이 확인됐습니다.

위협 환경 요약