악용되기 전에 수정을: FrontierStack 2.15의 보안 업데이트와 침해 경고

게시일 2026-11-03

대부분의 침입에는 새로운 수법이 필요하지 않습니다. 몇 주 전에 수정된 취약점을, 수정을 설치하지 않은 서버에서 사용할 뿐입니다. FrontierStack 2.15에는 보안 업데이트 패널이 추가됩니다. 관리하는 모든 서버에 대해 대기 중인 보안 수정, 그중 공격자가 이미 사용 중인 허점을 막는 수정, 더 이상 수정이 제공되지 않는 시스템을 보여 줍니다. 원하면 선택한 시간대 안에서만 보안 업데이트를 설치합니다.

이 기능은 FrontierStack에 이미 있는 침해 경고와 함께 동작합니다. 둘을 합치면 자신의 코드 밖에서 문제가 오는 대표적인 두 가지 경로를 다룹니다. 의존하는 회사가 침해되는 경우와, 실행 중인 소프트웨어에 취약점이 공개되는 경우입니다.

각 서버에서 대기 중인 것

FrontierStack은 각 서버의 패키지 관리자에게 직접 묻습니다. 실제로 무엇이 설치되어 있는지는 서버만 알기 때문입니다.

• Debian과 Ubuntu: -security 포켓의 업데이트.
• RHEL, AlmaLinux, Rocky, Fedora, Amazon Linux: dnf 또는 yum 보안 권고와 해당 CVE 번호.
• openSUSE와 SLES: zypper 보안 패치.
• FreeBSD: pkg audit.
• Alpine: apk는 보안 수정을 구분하지 않으므로 OSV.dev로 대조한 업데이트.
• macOS: 소프트웨어 업데이트와 오래된 Homebrew formula. Homebrew는 어떤 업데이트가 보안 수정인지 알려 주지 않으므로 따로 표시합니다.

확인은 읽기만 합니다. 6시간마다 실행하며, sudo 암호를 저장한 서버에서는 root 권한으로 실행합니다. 유일하게 바꾸는 것은 apt 패키지 목록으로, 하루 이상 지났으면 apt 자체의 일일 작업처럼 새로 고칩니다.

기다릴 수 없는 것

대기 중인 업데이트가 40개인 서버라도 오늘 처리해야 할 것은 보통 한두 개입니다. FrontierStack은 공개된 정보원으로 우선순위를 매깁니다.

• CISA의 악용 확인 취약점(KEV) 목록. 대기 중인 업데이트가 공격자가 사용 중인 것으로 알려진 CVE를 수정한다면, 해당 서버는 빨간색이 되고 다른 FrontierStack 알림과 같은 경로로 즉시 알려 드립니다.
• OSV.dev에서 Debian, Ubuntu, Alpine 업데이트의 CVE 번호를 가져옵니다. 패키지 이름과 버전만 보내며, 호스트 이름이나 주소는 보내지 않습니다.
• endoflife.date로 더 이상 수정이 제공되지 않는 OS와 런타임을 판단합니다. Ubuntu 20.04, 오래된 PHP나 Node.js 브랜치, Apple이 수정을 중단한 macOS 등입니다. Linux 배포판에 포함된 PHP나 Python은 표시하지 않습니다. 배포판이 수정을 백포트하기 때문입니다.
• Enfour 패치 권고. 10월 PHP 중대 수정처럼 설명이 필요한 긴급 사안에는 브랜치별 수정 버전과 조치 단계를 권고로 공개합니다. 침해 권고와 같은 방식으로, 전용 키로 서명합니다.

일반 보안 업데이트는 설정한 기간(기본 7일)보다 오래 대기할 때만 알림이 됩니다. 악용 중인 취약점, 권고, 지원이 종료된 릴리스는 즉시 알림이 됩니다.

자동 보안 업데이트는 지정한 서버에서만

수작업 패치는 서버가 몇 대를 넘으면 감당할 수 없습니다. 2.15에서는 서버별로 자동 보안 업데이트를 켜고 유지 관리 시간대(예: 일요일 3:00~5:00)를 지정할 수 있습니다. 시간대 안에서 FrontierStack이 설치하는 것은 보안 업데이트뿐입니다.

• apt는 보안 포켓의 패키지만 설치하며 설정 파일은 그대로 유지합니다.
• dnf와 yum은 --security 업그레이드를, zypper는 보안 패치를 실행합니다.
• FreeBSD는 pkg audit이 보고한 패키지를, Alpine은 OSV가 취약하다고 표시한 패키지를 업그레이드합니다.
• Mac에서는 Enfour 권고가 지목한 Homebrew formula만 root가 아닌 사용자 계정으로 업그레이드합니다.

실행 전에는 여유 공간이 충분한지 확인하고, 실행 후에는 동작 중인 서비스를 비교하여 중지된 것이 있으면 알려 드립니다. 서버를 재시작하지 않습니다. 커널 업데이트에 재부팅이 필요하면 그렇게 알려 드리며, 시점은 직접 정하십시오. macOS 업데이트는 설치하지 않으며, 자체 펌웨어 업데이트 기능이 있는 OPNsense와 pfSense에는 손대지 않습니다. 시간대 안에서 몇 번을 확인하더라도 실행은 한 번뿐입니다.

악용 중인 취약점의 수정만은 시간대를 기다리지 않고 발견 즉시 설치하도록 할 수도 있습니다. Mac에서는 최근 Time Machine 백업을 조건으로 걸 수도 있습니다.

서버에서 root 권한으로 실행되므로, 사용자 이외의 무언가가 이를 켜기는 일부러 어렵게 만들었습니다. 자동 업데이트 일정을 저장하거나 지금 보안 업데이트 설치를 누를 때는 Mac 앞에 실제 사람이 있어야 합니다(사람 확인 승인, 선택한 경우 Touch ID 포함). 모든 실행은 감사 로그에 남습니다. AI 관리자는 이 내용을 모두 읽고 무엇부터 고쳐야 할지 알려 줄 수 있지만, 설치는 할 수 없습니다.

그리고 사용 중인 서비스가 침해되면

나머지 절반은 이미 동작하고 있습니다. API 키를 붙여 넣어 쓰는 서비스가 침해되면 Enfour는 보통 몇 시간 안에 서명된 권고를 공개합니다. 최근에는 STUDIO, Railway, OpenCode, 변조된 LiteLLM 릴리스, 자체 관리형 GitLab의 취약점을 다루었습니다. FrontierStack과 KeyRotate는 하루 두 번 새 권고를 확인하고, Enfour의 서명을 검증한 뒤에만 신뢰합니다.

• FrontierStack은 영향을 받는 서비스로 만든 사이트를 페이지에서 알아보고, 해당 서비스 패널에 제공업체의 점검 목록을 표시하며, 처리 완료로 표시할 때까지 알림을 유지합니다.
• 2.15부터는 웹 사이트가 해당 서비스로 만들어진 경우뿐 아니라, 영향을 받는 소프트웨어가 이 Mac에 설치되어 있거나 서버가 보고한 경우에도 알림을 보냅니다.
• KeyRotate는 해당 서비스에 저장한 키를 파악하고 교체를 돕습니다. 유출 뉴스 페이지에서 같은 권고를 웹으로 볼 수 있습니다.

하지 않는 일

FrontierStack은 Linux 서버의 백업을 확인할 수 없으므로 그곳에서는 백업을 기다릴 수 없습니다. 시간대 전에 직접 스냅숏을 만드십시오. 배포판 패키지는 오래된 버전 번호 그대로 수정을 포함하는 경우가 많으므로, 그런 패키지는 버전 번호가 아니라 배포판 자체의 보안 정보를 신뢰합니다. 그리고 아무것도 임의로 재시작하지 않습니다. 그 판단은 사용자에게 맡깁니다.

시작하기

FrontierStack 2.15로 업데이트하고 보안 도구의 보안 업데이트를 엽니다. 첫 확인은 실행 1분 후 이 Mac과 연결된 모든 서버에서 시작됩니다. 빨간 행부터 처리하십시오. 서버가 설치할 내용이 마음에 들면 자동 업데이트…를 열고 시간대를 지정합니다. 연결된 서버의 자동 업데이트는 Full Fleet에 포함됩니다.