🔐 오늘의 보안 뉴스 | 2026-05-16
국내외 주요 보안 이슈를 매일 정리합니다. 취약점, 해킹 사고, 새로운 공격 기법을 빠르게 파악하세요.
🇰🇷 국내 보안 뉴스
1. KISA BoB 2.0 발표 — 15기 생성형 AI 보안 인재 양성
- 출처: 보안뉴스
- 링크: https://www.boannews.com/media/view.asp?idx=143672
한국인터넷진흥원(KISA)이 차세대 보안 인재 양성 프로그램 'Best of the Best(BoB)' 15기를 BoB 2.0으로 개편해 모집 공고를 발표했다. 생성형 AI 보안을 핵심 교육 분야로 포함시켰으며, 3단계 구조(기초·선발 → 심화 팀프로젝트 → 경연·평가)로 운영된다. 모집 기간은 2026년 6월 17~23일이며, 학생·전직자·현직 보안 전문가를 대상으로 한다.
2. 주유소 연료관리 시스템 취약점 발견
- 출처: 보안뉴스
- 링크: https://www.boannews.com/media/view.asp?idx=143671
국내 주유소 연료 관리 인프라에서 보안 취약점이 발견되었다는 CNN 보도가 있었다. 계량 인식 인프라의 보안 결함으로 인해 주유소 CCTV 및 관리 시스템이 무단 접근에 취약한 것으로 나타났다.
3. macOS 보안 테스트 — 신규 취약점 발견
- 출처: 보안뉴스
- 링크: https://www.boannews.com/media/view.asp?idx=143670
캘리포니아 소재 보안 연구팀이 macOS 테스트 중 메모리 접근 문제를 포함한 신규 취약점을 발견했다. 컴퓨터 시스템의 안정성과 데이터 보호에 잠재적 영향을 미칠 수 있는 결함이다.
🌐 해외 보안 뉴스
4. NGINX 18년 묵은 취약점 PoC 공개 — DoS 및 RCE 위험
- 출처: BleepingComputer / SecurityWeek / 보안뉴스
- 링크: https://www.bleepingcomputer.com/news/security/18-year-old-nginx-vulnerability-allows-dos-potential-rce/
2008년부터 존재했던 NGINX 취약점이 자율 스캐닝으로 발견되어 패치 출시 후 PoC 코드가 공개되었다. NGINX Plus 및 오픈소스 버전 모두 영향을 받으며, DoS 및 조건부 RCE가 가능하다. 18개월 동안 보안 업데이트가 없었던 점이 위험을 키웠다.
5. WooCommerce Funnel Builder 플러그인 결함 — 결제 스키밍 공격
- 출처: The Hacker News / BleepingComputer
- 링크: https://thehackernews.com/2026/05/funnel-builder-flaw-under-active.html
Funnel Builder WordPress 플러그인의 비인증 코드 인젝션 취약점을 통해 공격자가 WooCommerce 체크아웃 페이지에 악성 JavaScript를 삽입해 결제 정보를 실시간으로 탈취하고 있다. 4만 개 이상의 WooCommerce 스토어에 영향을 미치며, 실제 공격에서 적극 악용 중이다.
6. TeamPCP — Shai-Hulud 웜 소스코드 공개로 공급망 공격 확산 경고
- 출처: SecurityWeek
- 링크: https://www.securityweek.com/teampcp-ups-the-game-releases-shai-hulud-worms-source-code/
해킹 그룹 TeamPCP가 Shai-Hulud 악성 웜의 소스코드를 공개 배포하며 범죄자들의 무기화를 장려하고 금전적 인센티브를 제공했다. 이와 병행해 Mistral AI에서 탈취한 소스코드 판매도 시도하고 있다. 파생 공급망 공격의 폭증이 우려된다.
7. OpenClaw 4개 취약점 체인 — 데이터 탈취·권한 상승·지속 접근
- 출처: The Hacker News
- 링크: https://thehackernews.com/2026/05/four-openclaw-flaws-enable-data-theft.html
OpenClaw에서 4개의 취약점(CVE-2026-44112, 44113, 44115, 44116)이 체이닝되어 샌드박스 우회, 민감 파일 읽기, 지속 접근이 가능하다. 불완전한 입력 검증이 원인이다.
8. Avada Builder WordPress 플러그인 — 사이트 자격증명 탈취 취약점
- 출처: BleepingComputer
- 링크: https://www.bleepingcomputer.com/news/security/avada-builder-wordpress-plugin-flaws-allow-site-credential-theft/
Avada Builder WordPress 플러그인에서 임의 파일 읽기 및 데이터베이스 민감 정보 추출이 가능한 두 가지 취약점이 발견되었다.
9. American Lending Center 랜섬웨어 침해 — 12만 3천명 영향
- 출처: SecurityWeek
- 링크: https://www.securityweek.com/american-lending-center-data-breach-affects-123000-individuals/
비은행 대출 기관 American Lending Center가 약 1년 전 발생한 랜섬웨어 공격 조사를 완료했다. 12만 3천명 이상의 개인정보가 침해된 것으로 확인되었다.
📊 오늘의 핵심 요약
| 구분 | 내용 |
|---|---|
| 🔴 긴급 패치 | NGINX DoS/RCE PoC 공개 (즉시 패치 필요), Avada Builder WordPress 취약점 |
| 🟠 진행 중 공격 | WooCommerce Funnel Builder 결제 스키밍 (4만+ 사이트), Shai-Hulud 웜 소스코드 공개 |
| 💰 대형 사고 | American Lending Center 12만 3천명 침해, Mistral AI 소스코드 탈취·판매 시도 |
| 🦠 악성코드 | TeamPCP Shai-Hulud 웜 소스코드 공개, OpenClaw 4중 취약점 체인 |
| 🔵 연구/경고 | KISA BoB 2.0 AI 보안 인재 양성, NGINX 18년 취약점 발견 경위 |
📅 다음 업데이트: 2026-05-17
📌 보안 뉴스 소스: BleepingComputer, SecurityWeek, The Hacker News, 보안뉴스, 데일리시큐
