2026년 9월 패치 화요일: 역대 최다 패치 수, 2건의 제로데이, 그리고 SigRed의 후계 취약점

2026년 9월 패치 화요일이 도래했다. 마이크로소프트는 또다시 기록을 갱신하는 수의 패치를 배포했으며, 그중에는 실제 제로데이 공격에 악용된 두 가지 취약점에 대한 수정도 포함됐다.

또 하나의 "새로운 일상"은 익명의 보안 연구원 Nightmare Eclipse가 마이크로소프트의 패치 화요일 업데이트 배포 불과 몇 시간 만에 마이크로소프트 소프트웨어를 대상으로 한 제로데이 개념 증명(PoC) 익스플로잇을 공개하는 것이다.

이번에 공개된 것은 ShieldCrash로, CVE-2026-69414(일명 ShieldBreak — Microsoft Defender, 즉 마이크로소프트 악성코드 방지 엔진의 권한 상승 버그)에 대한 패치를 우회한다고 주장하고 있다.

제로데이 공격에 악용된 취약점

CVE-2026-81963은 Windows Update Stack(Windows 업데이트 설치에 사용되는 구성 요소)의 취약점으로, 다양한 Windows 11 버전과 Windows Server 2025에 영향을 미친다. 파일 접근 전 부적절한 링크 해석 및 잘못된 접근 제어로 인해 발생하며, 인증된 공격자(낮은 권한)가 취약한 시스템에서 SYSTEM 권한을 획득할 수 있다.

Tenable의 수석 연구 엔지니어 Satnam Narang은 2022년 이후 Windows Update Stack에서 7건의 권한 상승 결함이 발견됐지만, 이번이 최초의 제로데이이자 최초로 실제 악용된 사례라고 지적했다.

해당 취약점은 마이크로소프트 위협 인텔리전스 센터(MSTIC)가 신고했지만, 이 취약점이 악용된 공격의 구체적인 내용은 아직 공개되지 않았다.

TrendAI의 Zero Day Initiative에서 위협 인식 총괄을 맡고 있는 Dustin Childs는 자동 업데이트 프로세스 자체가 침해됐다고 보기는 어렵다며, CVE-2026-81963이 코드 실행 버그와 결합되어 악성코드나 랜섬웨어를 유포하는 데 사용되고 있을 가능성이 더 높다고 말했다.

CVE-2026-85880은 Windows Advanced Local Procedure Call의 또 다른 권한 상승(SYSTEM) 취약점이다. Windows 10 및 구형 Windows Server 버전(2012, 2016, 2019, 2022)에 영향을 미친다.

이 취약점은 Proofpoint 위협 연구원들이 신고했으나, 마찬가지로 실제 악용 범위는 아직 알려지지 않았다. 하지만 두 취약점 모두 공격자에 의해 악용되고 있으므로, 모든 조직은 해당 수정 사항 적용을 최우선 과제로 삼아야 한다.

CrowdStrike는 "이 유형의 취약점은 역사적으로 일반 악성코드와 표적 침투 공격자 모두가 사용자 모드에서 커널 모드 제어로 전환하는 마지막 단계의 도구로 활용해 왔다"고 밝혔다.

주목할 만한 기타 취약점

Childs에 따르면, 조직들은 대부분의 지원 Windows 버전에 영향을 미치며 워머블(wormable)로 분류될 수 있는 20개의 취약점 집합에 대한 패치도 우선적으로 적용해야 한다.

"이 모든 경우에서 원격의 미인증 공격자가 사용자 상호작용 없이 영향받는 시스템에서 임의 코드를 실행할 수 있습니다"라고 그는 강조했다.

"전 세계적인 웜이 발생한 지 몇 년이 지났지만, DNS 취약점 [CVE-2026-69730]이 SigRed의 정신적 후계자로 등장하면서 그 현실이 빠르게 바뀔 수 있습니다."

CVE-2026-69676은 원격 코드 실행(RCE)으로 이어질 수 있는 Kerberos의 인증 우회 취약점으로, '악용 가능성 높음(Exploitation More Likely)'으로 분류됐다.

Childs는 "낮은 수준의 접근 권한을 가진 인증된 공격자가 조작된 요청을 전송해 서버에서 코드를 실행할 수 있으며, 사용자 상호작용은 필요하지 않습니다"라고 설명했다.

"'서버'는 도메인 컨트롤러를 의미하고, '모든 인증된 공격자'는 도메인 사용자 누구나를 의미합니다. 즉, 현실적으로는 피싱으로 탈취한 워크스테이션 계정 하나, 조작된 요청 하나만으로 도메인 컨트롤러에서 코드를 실행할 수 있다는 뜻입니다. 이는 도메인 전체를 장악할 수 있는 기본 공격 수단이며, 마이크로소프트는 이것이 실제로 악용될 것으로 예상하고 있습니다."

마지막으로, 악용 가능성이 높은 취약점 중에는 Windows Cloud Files Mini Filter Driver의 권한 상승 취약점인 CVE-2026-80093도 있다. 이 취약점을 성공적으로 악용하려면 공격자가 경쟁 조건(race condition)을 이겨야 하지만, 기술적 세부 정보가 이미 공개된 상태다.

다행히도 위에서 언급된 실제 악용 중인 취약점들을 포함한 모든 취약점에 대한 패치가 다양한 Windows 버전의 누적 보안 업데이트와 월간 롤업에 함께 포함되어 있어, 해당 업데이트를 적용하면 한 번에 모두 수정된다.

잠시 Windows 업데이트를 벗어나, Childs는 다음 항목도 우선적으로 업데이트할 것을 권고했다:

• Microsoft Exchange Server: Exchange Server가 악성 Visio 첨부 파일이 포함된 이메일을 처리할 때 트리거되는 RCE 취약점 수정 (CVE-2026-55007)
• Microsoft SharePoint Server: 다양한 버그 수정

패치 수보다 우선순위가 더 중요한 이유

Narang은 Help Net Security에 "최근 패치 화요일 릴리스가 증가하는 추세에서 가장 중요하게 인식해야 할 점은, 패치되는 취약점 수는 증가하고 있지만 대부분의 조직에 실제로 영향을 미칠 수 있는 취약점의 수는 여전히 매우 적다는 것"이라고 말했다.

"2026년의 AI 기반 취약점 발견은 더 큰 건초 더미를 만들고 있지만, 더 많은 바늘을 찾아내고 있지는 않습니다. 조직이 어떤 취약점이 실제로 자신들에게 적용되는지, 그것이 도달 가능하고 악용 가능한지 여부를 파악하고, 이 위험 맥락에 기반해 조치 우선순위를 정하는 것이 매우 중요합니다."

Fortra의 보안 R&D 부문 부이사 Tyler Reguly는 마이크로소프트가 패치하는 취약점의 방대한 수는 단순히 회사가 선제적으로 대응하고 있다는 것을 보여준다고 말했다.

"이 많은 CVE 수는 좋은 일이라는 점을 기억해야 합니다. 공격자가 취약점을 발견하고 악용할 기회를 갖기 전에 공격 표면을 줄이고 있는 것입니다. 결국 오래된 찾기 어려운 취약점들이 모두 수정되면 패치 화요일은 원래의 주기로 돌아갈 것입니다. 그때까지는 우선순위 선정이 핵심이며, 담당 관리자들에게 커피 상품권을 선물하는 것도 아마 환영받을 것입니다"라고 그는 언급했다.

그러나 단발성 패치의 수도 증가했으며, 그는 조직들이 주요 변경 사항과 잠재적인 패치 병목 현상을 처리할 수 있도록 프로세스가 설계되어 있는지 점검할 것을 권고했다.

"지금 패치를 관리하는 팀을 책임지고 있다면, 무엇을 어떻게 해야 할지 힘든 상황일 것입니다. 팀을 지원하고, 그들이 직면한 어려움을 인식하며, 어떻게 개선할 수 있을지 물어보십시오"라고 그는 말했다.

"아직도 CVSS 점수를 기준으로 우선순위를 정하고 있다면, 조직과 직원 모두에게 해를 끼치고 있는 것입니다. 지침이 바뀔 때마다 계속 방향을 바꾼다면, 조직을 위험에 빠뜨리고 직원들의 만족도를 떨어뜨리는 것입니다. 거친 물살을 헤쳐나가는 배를 조종하는 것과 같으며, 흔들림 없는 손길이 필요합니다. 배를 올바른 방향으로 유지한다면, 나머지는 팀이 해낼 수 있을 것입니다."