Post

2025년 49주차 IT보안 뉴스 분석 보고서

49주차의 IT보안 키워드는 “치명적 RCE 취약점, AI 규제 준수, SW 공급망 위협 심화”으로 요약됩니다.

Posted
Weekly News
Weekly News
By Jeongbin Bang
2025년 49주차 IT보안 뉴스 분석 보고서

해당 포스팅은 생성형 AI를 활용하여 작성하였음을 알려드립니다.

2025년 49주차 전 세계 IT보안 뉴스 분석 보고서

49주차의 IT보안 키워드는 “치명적 RCE 취약점, AI 규제 준수, SW 공급망 위협 심화”으로 요약됩니다.

🌎 1. 글로벌 보안 트렌드 요약

최고 심각도 인프라 취약점 지속 발생

  • 주요 내용
    • 전 세계 핵심 시스템에 사용되는 SAP NetWeaver, Cisco FMC, React 등 주요 소프트웨어/장비에서 CVSS 9.9~10.0 만점에 달하는 치명적인 원격 코드 실행(RCE) 취약점이 지속적으로 발견 및 악용됨.
  • 분석 및 시사점
    • 이는 특정 산업이나 기술에 국한되지 않고 글로벌 IT 인프라 전반의 취약성이 심각한 수준임을 방증. 신속한 패치 관리의 자동화 및 실시간 위협 탐지 시스템 도입이 기업의 생존을 위한 최우선 과제.

AI 시스템의 보안 및 윤리 규제 현실화

  • 주요 내용
    • EU AI Act의 단계적 적용 및 미국, 한국의 AI 법안 추진에 따라, AI 시스템의 고위험(High-Risk) 분류 및 투명성, 안전성 확보 의무가 기업의 컴플라이언스 부담으로 직결됨.
  • 분석 및 시사점
    • AI가 공격 무기화되는 동시에, AI 자체가 규제 대상이 되는 양면성이 부각. 기업은 AI 거버넌스 프레임워크를 수립하고, AI 개발 전 과정에 보안 및 윤리 감사(Audit)를 통합해야 함.

소프트웨어 공급망 보안의 의무화

  • 주요 내용
    • SBOM(Software Bill of Materials)의 생성, 유통, 관리 표준이 강화되고, 중소 협력업체를 통한 공급망 공격이 2025년 주요 위협으로 지목됨. 특히 AI 생성 코드의 보안 취약점 문제가 새롭게 부상.
  • 분석 및 시사점
    • 보안의 경계가 ‘내부 시스템’에서 ‘협력 생태계 전체’로 확장되었음을 의미. DevSecOps를 통한 개발 초기 단계부터의 보안 내재화와 ASPM(Application Security Posture Management)을 활용한 취약점 통합 관리가 필수.

💡 2. 주요 뉴스 Top 10 요약

핵심 뉴스 선정 기준을 강화하여 보안 관련성이 높은 10개의 뉴스를 선정했습니다.

(1) 시스코(Cisco) Secure FMC에서 CVSS 10.0 만점 RCE 취약점 긴급 패치

  • 출처: 보안뉴스, 연합
  • 내용: 글로벌 네트워크 장비 기업 시스코(Cisco)의 Secure Firewall Management Center(FMC) 소프트웨어에서 CVSS 10.0 만점의 최고 위험도 원격 코드 실행(RCE) 취약점 CVE-2025-20265가 발견되어 긴급 패치가 발표됨. 이 취약점은 인증 없이 원격에서 시스템 권한을 탈취할 수 있어 즉각적인 대응이 요구됨.
  • 의의: 최고 심각도 보안 이슈. 핵심 네트워크 인프라를 관리하는 솔루션의 취약점은 전 세계 수많은 기업 및 공공기관의 방화벽, 침입 방지 시스템에 대한 무단 접근 및 통제로 이어질 수 있어 파급력이 막대함.

(2) SAP, S/4HANA 및 NetWeaver 치명적 취약점 긴급 수정

  • 출처: 데일리시큐, SecurityBridge
  • 내용: SAP의 핵심 전사적자원관리(ERP) 시스템인 S/4HANA와 기반 기술인 NetWeaver에서 CVSS 9.9에 달하는 심각한 취약점(CVE-2025-42957 포함)이 발견되어 SAP가 긴급 보안 패치를 배포함. 일부 취약점은 이미 실제 공격에 악용되는 정황이 포착됨.
  • 의의: 핵심 기업 시스템의 위협. SAP 제품은 글로벌 대기업과 공공기관의 핵심 데이터 및 비즈니스 프로세스를 담당하기 때문에, 취약점 악용은 공급망 전반의 마비와 대규모 데이터 유출을 야기할 수 있어 즉각적인 패치가 필수적임.

(3) EU AI Act, 2025년 2월부터 단계적 시행 돌입 - B2B 기업 컴플라이언스 비상

  • 출처: (주)모아소프트, PwC
  • 내용: EU의 인공지능 규제 법안 AI Act가 2025년 2월부터 단계적으로 적용됨에 따라, 특히 고위험(High-Risk) AI 시스템을 제공하는 B2B 기업들은 안전성 확보, 데이터 거버넌스, 투명성 의무 등 엄격한 규정 준수 과제에 직면함. 위반 시 최대 글로벌 매출 7%의 과징금이 부과됨.
  • 의의: 글로벌 규제/정책. AI 기술 도입과 개발이 법적 책임의 영역으로 들어섰음을 의미. AI의 신뢰성(Trustworthiness) 확보가 이제 기술적 문제가 아닌 사업의 생존 문제로 격상되었으며, 기업들은 선제적인 AI 거버넌스 체계 구축이 시급함.

(4) AI 기반 공격 확산, ‘책임감 있는 AI(Responsible AI)’ 개념 대두

  • 출처: 안랩, 조선비즈
  • 내용: 2025년 주요 사이버 보안 위협으로 AI 및 딥페이크 기술을 악용한 공격이 더욱 확산될 것으로 전망됨. 이에 대응하여 AI 시스템의 윤리적 문제, 프라이버시 침해, 보안 위협을 방지하는 책임감 있는 AI(Responsible AI)의 개념이 전 세계적으로 강조됨.
  • 의의: 보안 환경의 복잡성 증대. 공격자와 방어자 모두 AI를 사용하는 ‘AI 사이버전’ 시대가 가속화되고 있음. AI 모델의 설명 가능성(Explainability)과 잠재적 편향성을 검증하는 새로운 보안 기술과 프레임워크가 요구됨.

(5) 소프트웨어 공급망 보안 위협 심화와 SBOM 의무화 가속

  • 출처: 보안뉴스, 한국정보보호학회
  • 내용: 2025년 소프트웨어 공급망 공격이 더욱 기승을 부릴 것으로 예상됨에 따라, 정부와 기업들은 SBOM(Software Bill of Materials) 활용 실증을 추진하고 중소기업의 보안 역량 강화를 위한 정책 및 기술 개발에 집중하고 있음.
  • 의의: 보안 패러다임 변화. 하나의 취약점이 전방위적인 피해를 주는 공급망 공격에 대비하기 위해 소프트웨어 구성 요소의 투명성이 필수 요소가 됨. SBOM은 단순 목록을 넘어, 유통 시 위·변조 방지를 위한 디지털 서명 기술의 도입이 중요해짐.

(6) 클라우드 및 IoT 확장에 따른 공격 표면(Attack Surface)의 확대

  • 출처: 안랩, PwC
  • 내용: 5G, 엣지 컴퓨팅, 클라우드 AI의 결합으로 초연결 인프라가 구축되면서, 기업의 공격 표면이 클라우드 인프라, IoT 디바이스 등으로 대폭 확장됨. 이에 따라 공격자들의 타깃이 분산되고 취약점 악용 기회가 증가.
  • 의의: 분산된 인프라 보안의 중요성. 기존의 경계 기반 방어 모델이 무력화되고, 제로 트러스트 아키텍처를 기반으로 모든 사용자, 디바이스, 애플리케이션에 대한 강력한 인증 및 지속적인 검증이 핵심 보안 전략으로 부상.

(7) 양자 내성 암호(PQC)로의 전환 논의, 국가적 보안 과제로 부상

  • 출처: 지티티코리아 (추정)
  • 내용: 양자 컴퓨터의 발전이 현재의 공개키 암호화(RSA) 체계를 무너뜨릴 위험을 현실화하면서, 양자 내성 암호(PQC, Post-Quantum Cryptography) 알고리듬으로의 국가적, 산업적 마이그레이션 계획 수립이 시급한 보안 과제로 논의됨.
  • 의의: 미래 보안 대비. PQC 전환은 모든 IT 인프라, 서비스, 데이터 보호 체계에 걸쳐 대규모 업데이트와 비용을 수반하는 중대한 변혁. 정부 및 기업들은 표준화된 PQC 알고리듬을 선별하고 파일럿 프로젝트를 시작하여 미래 사이버 안보에 대비해야 함.

(8) Fortinet FortiWeb에서 인증된 공격자에 의한 임의 파일 읽기 취약점 공지

  • 출처: TSC, Fortinet
  • 내용: Fortinet의 웹 애플리케이션 방화벽(WAF) 제품인 FortiWeb에서 정책 스크립트 내 경로 횡단 취약점(CVE-2025-53609, Severity: High)이 발견됨. 인증된 공격자가 특수 조작된 요청을 통해 임의의 파일을 읽을 수 있는 위험이 존재하여 패치 권고가 발표됨.
  • 의의: 방어 시스템 자체의 위협. 보안 솔루션 자체가 공격의 대상이 될 수 있음을 보여줌. WAF와 같은 핵심 보안 장비에 대한 정기적인 취약점 점검과 보안 태세 관리(Security Posture Management)가 필수적임.

(9) NIS2 지침 준수 의무, 유럽 내 필수·중요 조직의 사이버보안 강화

  • 출처: ISAC, 인터넷·정보보호 법제동향
  • 내용: 유럽연합(EU)의 NIS2(Network and Information Systems Directive 2) 지침에 따라, 유럽 내 필수 및 중요 조직은 위험 분석, 사고 처리, 공급망 보안 등 공통 의무 사항을 준수해야 하며, 중대한 사고 발생 시 CSIRT 또는 당국에 지체 없이 보고해야 함.
  • 의의: 강화된 유럽 규제. 금융, 에너지, 디지털 인프라 등 핵심 분야 조직에 대한 사이버보안 요구 수준이 법적으로 강화됨. 유럽과 거래하는 글로벌 기업들 역시 이 지침을 간접적으로 준수해야 하는 상황에 놓여 국경을 초월한 보안 표준 정립이 중요해짐.

(10) AI 생성 코드의 보안 취약점 문제 대두와 ASPM 솔루션의 역할

  • 출처: 스패로우, 보안뉴스
  • 내용: 생성형 AI를 활용한 소프트웨어 개발 방식이 확산되면서 개발 생산성은 높아졌지만, AI가 생성한 코드에 포함된 보안 취약점을 인지하지 못한 채 사용하는 위험이 커짐. 이에 ASPM(Application Security Posture Management)을 통해 AI 생성 코드의 취약점을 탐지하고 우선순위에 따라 조치하는 솔루션 개발이 가속화됨.
  • 의의: SW 개발 혁신과 보안의 충돌. GenAI 기반 Dev(Sec)Ops는 미래 개발 방법론이지만, AI 코드 보안 감사가 반드시 병행되어야 함. ASPM은 개발 전 주기에 걸쳐 애플리케이션의 보안 상태를 통합 관리하는 핵심 도구로 자리 잡을 전망.

📊 3. 보안 산업별 트렌드 분석

사이버 보안 기술

  • 핵심 트렌드: AI/ML 기반 위협 탐지 및 대응 자동화(XDR/SOAR) 강화. 양자 내성 암호(PQC) 기술의 상용화 및 표준화 경쟁 심화.
  • 전망: AI 기반 오탐률(False Positive)을 낮추는 기술이 핵심 경쟁력이 되며, PQC로의 전환을 위한 마이그레이션 컨설팅 및 솔루션 시장이 급격히 성장할 전망.

컴플라이언스 및 거버넌스

  • 핵심 트렌드: EU AI Act, NIS2 등 글로벌 규제에 대한 자동화된 준수 관리 솔루션(GRC) 수요 폭증. AI 거버넌스 체계 구축 및 AI 윤리 감사가 필수 의무화.
  • 전망: 기업들은 벌금 리스크를 최소화하기 위해 AI 법규 전문가와 규제 준수 자동화 도구에 막대한 투자를 할 것이며, ‘신뢰할 수 있는 AI’ 인증 시장이 형성될 전망.

애플리케이션 및 SW 공급망 보안

  • 핵심 트렌드: SBOM 생성을 넘어 유통의 신뢰성(디지털 서명) 확보와 ASPM을 통한 통합 보안 관리 요구 증대. AI 생성 코드의 보안 취약점 분석 기술 도입 가속화.
  • 전망: DevSecOps가 SW 개발의 표준이 되며, 정적 분석(SAST), 동적 분석(DAST) 도구들이 ASPM 플랫폼으로 통합되어 개발 초기 단계부터 보안을 내재화하는 방향으로 발전할 전망.

📈 4. 향후 전망

  1. 치명적인 오픈소스 취약점(RCE)으로 인한 보안 감사 시스템 의무화: React2Shell과 같은 전 세계적인 대규모 취약점 발생은 정부와 주요 산업 부문에서 오픈소스 라이브러리 사용에 대한 법적 책임 및 자동 보안 감사 시스템 도입을 의무화하는 규제 움직임을 가속화할 것입니다.     
  2. 양자 내성 암호(PQC)의 ‘마이그레이션 폭풍’ 시작: PQC 표준화가 마무리됨에 따라, 금융, 국방 등 민감 산업을 중심으로 기존 암호화 인프라를 PQC로 전환하는 대규모 프로젝트가 시작될 것입니다. 이는 향후 5년간 IT 보안 시장의 핵심 동력이 될 전망입니다.     
  3. AI 거버넌스 솔루션 시장 급성장 및 윤리 감사 의무화: EU AI Act의 고위험 시스템 규제 준수를 위해, AI 모델의 편향성 검증, 데이터 출처 투명성 확보, 결정의 설명 가능성을 보장하는 특화된 AI 거버넌스 및 감사(Audit) 솔루션 시장이 폭발적으로 성장할 것입니다.     
  4. OT/ICS 환경을 노린 사이버전 공격 격화: 스마트 팩토리, 에너지 인프라 등 운영 기술(OT) 환경이 5G 및 엣지 AI로 연결됨에 따라, 국가 배후 공격자들이 OT/ICS 환경을 마비시키는 파괴적인 사이버 공격 시도가 증가하며, 이 분야의 제로 트러스트 기반 분리 및 방어 기술 도입이 시급해질 것입니다.     

🧭 5. 결론 요약

2025년 49주차 보안 분야는 React RCE, SAP 취약점 등 핵심 인프라에 대한 치명적인 위협과 더불어, AI 규제(EU AI Act)의 현실화 및 SW 공급망 보안 의무화라는 새로운 규제 환경에 직면했습니다. 글로벌 기업들은 제로 트러스트 및 PQC 전환을 통한 미래 대비와 함께, AI 거버넌스를 통해 혁신 기술의 신뢰성과 법적 책임을 확보하는 데 전략적 역량을 집중해야 합니다.

NEWS, Security
NEWS Security
This post is licensed under CC BY 4.0 by the author.