2026년 9월 Patch Tuesday 예보: 우리에게 필요한 건 더 많은 시간

'패치 대재앙(Patch Apocalypse)'은 멈출 기미 없이 계속되고 있습니다. 패치 발표 건수는 기록을 갈아치우고 있고, 보고되는 CVE 수도 계속 늘어나고 있습니다. 2026년 8월 패치 화요일(Patch Tuesday)은 역대 두 번째로 많은 398개의 CVE가 해결된 달이었습니다: 위험(Critical) 등급 42개, 중요(Important) 등급 355개, 보통(Moderate) 등급 1개. 그러나 높은 숫자에도 불구하고, 실제 악용이 확인된 취약점은 단 하나였고, 패치 공개 전에 미리 알려진 취약점은 두 건에 그쳤습니다. AI는 취약점 발굴에 탁월한 능력을 보이고 있지만, AI를 활용한 대규모 위협이 실제로 표면화되는 속도는 아직 느린 편입니다.

지난달 저는 AI 취약점 발굴이 만들어낸 패치 대재앙에 대처하기 위한 심층 분석과 단계별 패치 관리 방법론을 소개했습니다. 요약하자면, 전체 배포 과정에서 리스크 감소 효과를 극대화하기 위해 수많은 패치의 우선순위를 정하는 방법론에 초점을 맞췄습니다. 명시적으로 언급하지는 않았지만, 패치 테스트와 배포에서 우리가 직면하는 가장 큰 도전은 바로 시간입니다.

Microsoft Azure 네트워킹 부문 부사장 Igor Sahknov가 패치 윈도우의 붕괴와 네트워크 제어가 위협 완화 및 리스크 감소에 어떻게 기여할 수 있는지를 다룬 글을 게재했습니다. Igor에 따르면, '목표는 패치를 피하는 것이 아닙니다. 목표는 패치가 아직 완료되지 않은 기간 동안 의미 있는 방어 레이어를 만드는 것입니다.' 그는 패치 작업이 진행되는 동안 시간을 벌기 위해 네트워크를 제어 영역(control plane)으로 활용할 것을 제안하며, 이는 리스크 기반 대응 시스템과 맞물려 위급한 시기에 노출을 줄이는 데 효과적입니다.

어떤 CVE가 위협 행위자들의 눈에 띌지는 알 수 없으므로, 패치 화요일뿐 아니라 월중 수시로 배포되는 업데이트도 체계적으로 배포하는 것이 중요합니다. 8월에 악용 사례로 거론된 CVE가 여럿 있어 몇 가지를 소개합니다. 먼저, CVE-2026-55040과 CVE-2026-63520으로 SharePoint가 화제에 올랐습니다. 이 두 취약점은 인증 우회 후 원격 코드 실행(RCE)을 위해 연계되어 SharePoint 서버를 실제로 공격하는 데 사용되고 있습니다. 수정 패치는 각각 7월과 8월 패치 화요일에 배포됐지만, 패치 주기가 늦어진 경우 이 연계 공격에 노출될 수 있습니다.

두 번째로, CVE-2026-62911은 Exchange Server 권한 상승 취약점으로 악용 가능성이 높습니다. 8월 패치 화요일에 공개된 이 취약점은 CVSS 8.0을 기록했으며, 아직 실제 악용이 확인되지 않은 드문 위험(Critical) 등급 CVE 중 하나입니다. Microsoft에 따르면 '공격자는 모든 Exchange 사용자의 메일박스를 장악할 수 있으며, 이메일 발송·열람·첨부파일 다운로드가 가능합니다.' 마지막으로, Microsoft가 클라우드 운영을 통해 자체적으로 처리한 CVE도 있습니다. Azure Arc에서 발견된 CVE-2026-65816, CVE-2026-69555와 Exchange Server Online의 CVE-2026-65801은 모두 위험(Critical) 등급에 CVSS 10.0을 기록했습니다. CISA의 알려진 악용 취약점(KEV, Known Exploited Vulnerabilities) 목록은 가장 많이 표적이 되는 취약점을 파악하는 데 유용하며, 이 취약점들은 모두 최근 두 달 사이 목록에 추가됐습니다.

다음 달에 지원이 종료되는 제품이 여럿 있으므로 미리 준비하십시오. 10월 패치 화요일은 Windows 11 버전 24H2 Home 및 Professional 에디션, Server 2012·2012 R2의 ESU(연장 보안 업데이트) 지원, 그리고 Exchange Server 2016/2019의 ESU 지원이 최종 종료되는 날입니다. 해당 제품에 대한 Microsoft의 업그레이드 권고를 따르거나, 교체·제거·업그레이드 전까지 시스템을 보호할 완화 조치를 구현하시기 바랍니다.

Microsoft는 CVE-2026-69414 수정 패치를 개발 중이라고 밝혔습니다. 이 취약점은 권한 상승을 통해 시스템 권한을 부여할 수 있으며, 'ShieldBreak'라는 이름으로 불리고 Microsoft Defender의 악성 소프트웨어 엔진에 존재합니다. 이미 공개적으로 알려진 데다 개념 증명(PoC) 익스플로잇 코드도 공개된 상태입니다. 다음 주 패치 화요일에서 이 수정 패치를 주목하시기 바랍니다.

2026년 9월 Patch Tuesday 예보

• 대량 CVE 추세는 계속될 것입니다. 보고 CVE 수의 감소 기미가 없는 만큼, 가장 오래된 OS부터 최신 Office 앱까지 전체 포트폴리오가 다시 한번 업데이트될 가능성이 있습니다.
• Adobe는 8월 25일 7개의 업데이트 세트를 방금 배포했습니다. 이달 패치 화요일이 워낙 이른 만큼, Creative Cloud 신규 릴리스는 몇 건에 그치며 잠시 숨 고르기를 할 수도 있습니다.
• Apple이 패치 화요일에 맞춰 OS 업데이트를 배포해도 놀랍지 않습니다. 지난 8월 중순 업데이트를 기점으로 월 1회 주기에 맞춰가는 것처럼 보입니다.
• 다음 주 Chrome 브라우저 주간 업데이트는 예정대로 진행될 것입니다. 이번 주 업데이트(152.0.7977.82/.83)는 12개의 CVE를 해결했으며, Google은 CVE-2026-85046가 실제 악용되고 있다고 밝혔습니다.
• Mozilla는 다음 주에 잠시 쉬어갈 듯합니다. 9월 1일에 전 제품에 대한 주요 보안 업데이트를 이미 배포했습니다. 전체 목록은 여기에서 확인할 수 있습니다.

패치와 CVE 수의 증가세를 기준으로 보면, 우리는 패치 대재앙의 세 번째 달로 접어들고 있습니다. 이 추세가 계속되어 일상이 될까요? 시간이 말해줄 것입니다.