주간 IT

지난 발행

총 8회 · 40개의 글

  1. 8호

    Brotli 하나로 번진 RCE, 아직 eMudhra를 믿는 맥의 git, 패치 전 공개된 Tailscale SSH, 빠지는 Python JIT, 그리고 상태 줄에 쓰는 지출 16%

    Brotli 디코더 CVE 하나가 Node에서 Python·Bun·Envoy로 번졌고 번들 복사본은 아직 미수정입니다. macOS의 git·curl·python3는 통보 11일째에도 침해된 eMudhra 인증서를 믿고, 27.2 업데이트는 수동 조치를 되돌렸습니다. Tailscale SSH의 포워딩 결함 11건이 패치 전에 공개됐고 기기 하나에서 정책이 허용하는 서버 전부로 루트를 타고 갈 수 있습니다. CPython 실험적 JIT는 PEP 836 철회로 3.16에서 빠집니다. Claude Code는 백그라운드 에이전트 전사를 30초마다 모델에 보내 상태 줄 다섯 단어를 얻고, 한 팀의 측정으로는 지출의 16%였습니다.

    1. 01Node2Shell에서 HTTP2Shell로 — Brotli 디코더 RCE가 Node를 넘어 Python·Bun·Envoy까지
    2. 02macOS의 git·curl·python3는 아직 eMudhra 인증서를 믿는다 — 통보 11일째, 27.2 업데이트가 수동 조치를 되돌렸다
    3. 03Tailscale SSH 'Tailworm' — 패치 전 공개된 11건, 포워딩 경로로 루트와 등록 키까지
    4. 04CPython 실험적 JIT, 본선에서 빠진다 — PEP 836 철회, '끌고 갈 여력이 없다'
    5. 05Claude Code가 백그라운드 에이전트 전사를 30초마다 모델에 보낸다 — 상태 줄 다섯 단어에 지출의 16%
  2. 7호

    PHP 전 라인 RCE, 한 바이트짜리 CA 키, LiteLLM 공식 파이프라인 침해, DuckDB 2.0, 그리고 새 나간 API 키

    PHP 8.x 전 라인에 CVSS 9.2 원격 코드 실행 2건이 나왔고 CVE가 하루 먼저 새어 릴리스가 앞당겨졌습니다. 인도 CA eMudhra의 중간 인증서 8개는 개인키가 한 바이트였고 브라우저들이 긴급 차단했습니다. LiteLLM 1.107.0은 탈취한 개발자 자격증명으로 공식 릴리스 파이프라인을 거쳐 자격증명 탈취기를 배포했습니다. DuckDB 2.0 LTS는 새 파서와 VARIANT 타입을 가져왔지만 2.0 파일은 1.x가 못 읽습니다. OpenCode Console 침해로 저장해 둔 AI 제공사 키가 새어 밤사이 청구서가 왔습니다.

    1. 01PHP 8.x 전 라인 RCE 2건 — CVE가 하루 먼저 새고, 릴리스가 앞당겨졌다
    2. 02eMudhra 중간 CA 8개의 개인키가 한 바이트였다 — 1초 만에 복구, 브라우저들이 긴급 차단
    3. 03LiteLLM 1.107.0 침해 — Python이 뜰 때마다 도는 자격증명 탈취기, 공식 파이프라인으로 배포됐다
    4. 04DuckDB 2.0 LTS "Cinnamon Teal" — 새 파서가 기본, VARIANT 타입, 비동기 I/O, 그리고 2.0 파일은 1.x가 못 읽는다
    5. 05OpenCode Console 침해 — 저장해 둔 Anthropic·OpenAI·Google API 키가 새고, 밤사이 청구서가 왔다
  3. 6호

    링크 하나로 Telegram 계정 탈취, 광고가 스파이웨어를 배달, 패스키 논쟁, 그리고 윤초의 끝

    Telegram Desktop이 링크 한 번 클릭으로 세션 파일을 빼앗기는 취약점을 공지 없이 고쳤고, Citizen Lab은 광고 타겟팅 인프라가 그대로 스파이웨어 표적 선정에 쓰인 AdFection 작전을 공개했습니다. '패스키는 함정'이라는 글과 그 반박이 오갔는데 남는 쟁점은 어테스테이션 하나입니다. Go 1.27은 읽지 않은 HTTP/1 본문을 알아서 비워 연결을 재사용하고, 국제도량형총회는 2027년 5월 20일부로 윤초를 사실상 끝냈습니다.

    1. 01Telegram Desktop 원클릭 계정 탈취 — 링크 하나로 세션 파일을 빼간다, 조용히 고쳐졌다
    2. 02광고 타겟팅이 스파이웨어 배달 경로가 됐다 — Citizen Lab의 AdFection 보고서
    3. 03"패스키는 함정이다" vs "아니다" — 논쟁의 실제 쟁점은 어테스테이션 하나
    4. 04Go 1.27 — 읽지 않은 HTTP/1 응답 본문을 Transport가 알아서 비운다, 100회 요청이 710ms에서 150ms로
    5. 05윤초가 끝난다 — 2027년 5월 20일부터 연속 UTC, UT1과의 허용 차이는 1시간
  4. 5호

    Deno 팀이 Cloudflare로, Python 3.15, Polars가 행 순서를 버렸다, 그리고 10월 11일 DNS 루트 키

    Deno 팀 전원이 Cloudflare에 합류하며 Deno 런타임은 1년, Deploy는 6개월의 시계가 시작됐습니다. Python 3.15는 UTF-8 기본화와 지연 import를 들고 왔고, Polars 2.0은 스트리밍 엔진을 기본으로 올리는 대신 결과의 행 순서 보장을 버렸습니다. 10월 11일에는 DNS 루트 키가 2017년 이후 처음 교체되고, Apple은 macOS 전체 디스크 접근 권한을 AI 에이전트를 지목하며 조이겠다고 했습니다.

    1. 01Deno 팀이 Cloudflare로 간다 — Deno 런타임은 1년 뒤 개발 종료, Deploy는 6개월 뒤 종료
    2. 02Python 3.15 — 지연 import, frozendict, UTF-8 기본, 그리고 JIT가 처음으로 빨라졌다
    3. 03Polars 2.0 — 스트리밍 엔진이 기본, 행 순서는 더 이상 보장 안 함
    4. 0410월 11일 DNS 루트 키 교체 — 2017년 이후 처음, 리졸버를 점검할 때
    5. 05Apple, macOS 전체 디스크 접근을 더 어렵게 만든다 — AI 에이전트를 명시
  5. 4호

    에이전트가 들어간 경로, Next.js를 Vite로, 그리고 2028년까지 빠듯한 메모리

    에이전트 무리가 GET 요청만으로 Hugging Face 내부까지 들어간 경로가 공개됐고, Cloudflare가 Next.js를 Vite로 돌리는 Vinext 1.0과 양자내성 인증기관을 냈습니다. Micron은 2028년까지 수급 균형이 안 보인다고 했고, Git 3.0의 SHA-256 전환에 반대 목소리가 나왔습니다.

    1. 01에이전트 무리가 Hugging Face 내부까지 들어간 경로 — 90만 개 URL과 스크린샷
    2. 02Vinext 1.0 — Next.js 앱을 Vite로 빌드해 어디든 배포한다
    3. 03Cloudflare, 양자내성 인증기관을 만든다 — 인증서 하나하나가 아니라 트리에 서명
    4. 04Micron: "수급 균형이 언제 올지 보이지 않는다" — 2027년 물량 75%는 이미 팔렸다
    5. 05Git 3.0이 SHA-256을 기본으로 — GitHub 공동창업자 "비용이 큰 실수"
  6. 3호

    과징금 10%, 코드를 몰래 보낸 도구, 그리고 하루 만에 반값이 된 모델

    국내 개인정보 과징금 상한이 3%에서 10%로 올랐고, AI 코딩 도구가 .git을 통째로 올리다 걸렸고, 두 회사가 한 시간 차로 모델을 내며 가격을 반으로 깎았습니다. 메모리 공급과 멀티테넌트 격리 소식이 뒤를 잇습니다.

    1. 01개인정보 유출 과징금 상한, 매출 3%에서 10%로 — 9월 13일 시행
    2. 02AI 코딩 도구 ZCode, .git 디렉터리째 서버로 올리고 있었다
    3. 03한 시간 차로 나온 Opus 5.5와 GPT-6 — 가격이 절반이 됐다
    4. 04삼성, 내년 HBM4 생산을 두 배 이상으로 — 글라스 캐리어 발주가 말해주는 것
    5. 05Cloudflare Containers에서 다른 고객의 디스크 조각이 보였다 — 원인은 블록 초기화 설정 하나
  7. 2호

    Shopify의 두 결정, Java 27, 그리고 Pixel만 받은 Android API

    이번 주는 플랫폼의 방향이 바뀌는 소식이 겹쳤습니다. Shopify가 React Native를 접고 Tailwind를 샀고, Java 27이 GC 기본값을 바꿨고, Android는 AOSP 없이 API를 추가했습니다.

    1. 01Shopify가 React Native를 버리고 Swift·Kotlin으로 돌아간다
    2. 02Tailwind CSS가 Shopify에 인수됐다 — 라이선스는 MIT 그대로
    3. 03Java 27 정식 출시 — G1이 모든 환경의 기본 GC가 된다
    4. 04NVIDIA가 Rust로 GPU 커널을 쓰는 공식 경로를 열었다 — 두 갈래, 둘 다 알파
    5. 05Android 17 QPR1, AOSP 없이 새 API를 넣었다 — Honeycomb 이후 처음
  8. 1호

    DuckDB 2.0, 메모리 가격 5배, 그리고 실제로 뚫린 Spectre

    이번 주에는 도구·비용·보안 쪽에서 판단이 필요한 소식이 겹쳤습니다. 첫 번째 발행입니다.

    1. 01DuckDB 2.0, 서버 모드와 트리거를 넣는다
    2. 02DDR5 128GB가 3,399달러, 그리고 기다려도 안 내려가는 이유
    3. 03Cloudflare Workers에서 Spectre 공격이 실제로 재현됐다
    4. 04uBlock Origin을 계속 쓰려면 이제 Firefox뿐
    5. 05270억 파라미터 모델이 맥북에서 돈다