Microsoft, 기록적인 974개 취약점 패치 — 실제 악용된 윈도우 제로데이 2건 포함

한 줄 요약

Microsoft가 2026년 9월 패치 화요일(Patch Tuesday)에 역대 최다인 974개의 취약점을 한꺼번에 수정했습니다. 이 중 두 건(CVE-2026-85880, CVE-2026-81963)은 공격자가 Windows 시스템에서 최고 권한(SYSTEM)을 탈취할 수 있는 제로데이(패치 이전에 이미 공격에 활용된 취약점)로, 실제 공격이 확인됐습니다. 미국 사이버보안청(CISA)은 두 취약점을 '실제 악용 확인 목록(KEV)'에 등재하고 연방 기관에 9월 22일까지 패치 적용을 의무화했습니다. CVSS(위험도 점수) 9.8의 원격 코드 실행(RCE) 취약점도 여러 건 포함돼 있어 기업 보안 담당자의 신속한 우선순위 분류가 필요합니다.

사건

Microsoft가 2026년 9월 패치 화요일에 974개(비-MS CVE 25건 포함 시 999개) 취약점을 패치했으며, Windows ALPC 힙 버퍼 오버플로(CVE-2026-85880)와 Windows 업데이트 스택 링크 추적 오류(CVE-2026-81963) 두 건이 제로데이로 실제 악용이 확인됐습니다.

영향

두 제로데이 모두 로컬 권한 상승을 통해 SYSTEM 권한 획득이 가능하며, 특히 CVE-2026-85880은 낮은 권한의 AppContainer 샌드박스 탈출도 가능합니다. 그 외 Windows RDS·DNS·DHCP·Shell 등에서 CVSS 9.8의 원격 코드 실행 취약점 다수가 포함됩니다.

원인

힙 기반 버퍼 오버플로, 잘못된 링크 추적(링크 팔로잉), use-after-free(해제된 메모리 재사용), SQL 인젝션, 인증 누락 등 다양한 결함 유형이 원인입니다.

대응

Microsoft가 전체 지원 버전 Windows 대상 패치를 배포했으며, CISA는 두 제로데이를 KEV에 등재해 미국 연방 민간 행정부(FCEB) 기관에 2026년 9월 22일까지 패치 적용을 의무화했습니다.

실무 포인트

즉시 CVE-2026-85880·CVE-2026-81963 패치를 최우선 적용하고, CVSS 9.8 RCE 취약점(CVE-2026-69525·CVE-2026-69730·CVE-2026-69829·CVE-2026-72979 등)을 그다음 우선순위로 처리하십시오. 974개 전체를 동시에 검토하기보다 실제 노출 여부와 인터넷 접근 가능성을 기준으로 우선순위를 분류하는 것이 중요합니다.

본문

Microsoft는 화요일, 자사 소프트웨어 전반에 걸쳐 무려 974개의 취약점을 수정하는 역대 최대 규모의 패치 화요일 업데이트를 발표했으며, 이 중 두 건은 실제 야생(in the wild)에서 적극적으로 악용된 것으로 확인됐습니다.

대상 취약점은 Windows 723건, Office 및 Office 2016 111건, SQL 62건, 개발자 도구 22건 등으로 구성됩니다. 이 중 110건 이상이 치명적(Critical) 심각도 등급을 받았습니다. 권한 상승, 원격 코드 실행(RCE), 정보 유출 등 세 가지 주요 취약점 유형이 이번 달 패치된 결함의 약 90%를 차지합니다. 비-Microsoft CVE 25건에 대한 수정을 합산하면 이번 업데이트로 해결된 취약점 총수는 999건에 달합니다.

9월의 기록 경신 보안 업데이트는 Microsoft가 8월에 457건, 7월에 663건, 6월에 220건, 5월에 161건을 패치한 데 이어 나온 것입니다.

"이 규모에서 문제는 단순히 패치 목록을 소화하는 게 아니라, 무엇을 먼저 처리해야 하는지 파악하는 것입니다." — Action1 취약점 연구 디렉터 Jack Bicer. "수백 건의 업데이트가 한꺼번에 쏟아질 때, IT·보안 팀은 즉각적인 조치가 필요한 취약점과 일반적인 배포 주기를 따를 수 있는 취약점을 빠르게 분류해야 합니다."

실제 악용이 확인된 두 취약점은 다음과 같습니다.

CVE-2026-85880 (CVSS 점수: 7.8) — Windows ALPC(Advanced Local Procedure Call)의 힙 기반 버퍼 오버플로(heap-based buffer overflow) 취약점으로, 인증된 공격자가 로컬에서 권한을 상승시켜 SYSTEM 권한을 획득할 수 있습니다.
CVE-2026-81963 (CVSS 점수: 7.8) — Windows 업데이트 스택(Update Stack)의 잘못된 링크 추적(improper link resolution) 취약점으로, 인증된 공격자가 로컬에서 권한을 상승시켜 SYSTEM 권한을 획득할 수 있습니다.

"낮은 권한의 AppContainer에서 코드를 실행할 수 있는 공격자는 이 취약점을 로컬에서 악용해 샌드박스를 탈출하고 해당 시스템에서 권한을 상승시킬 수 있습니다. 추가적인 사용자 상호작용은 필요하지 않습니다." — Microsoft가 CVE-2026-85880 보안 권고문에서 밝힌 내용.

Rapid7의 수석 소프트웨어 엔지니어 Adam Barnett은 모든 지원 버전의 Windows가 CVE-2026-81963 패치를 받는다고 밝히며, 이는 "Windows 업데이트 스택이 악성 링크를 따라가 시스템 구성 요소를 공격자가 조작한 가짜 파일로 덮어쓰는 것을 방지하기 위한 통제를 강화한 것"이라고 설명했습니다.

CVE-2026-85880은 사이버보안 기업 Volexity와 Proofpoint가 신고한 것으로 확인됐으며, 두 번째 취약점(CVE-2026-81963)은 Airbus Helicopters의 공격 보안 연구원 Romain Deperne와 Microsoft 위협 인텔리전스 센터(MSTIC)가 제보했습니다.

Microsoft는 두 취약점을 표적으로 하는 제로데이 악용 시도를 감지했다고 밝혔으나, 배후 세력, 공격 규모, 실제 피해 발생 여부 등 구체적인 내용은 공개하지 않았습니다.

노출 관리 및 취약점 평가 플랫폼 Tenable에 따르면, 2022년 이후 Windows 업데이트 스택에서 권한 상승 취약점이 총 7건 발생했습니다. 그러나 CVE-2026-81963은 제로데이인 동시에 실제 야생에서 악용된 최초의 사례입니다. CVE-2026-85880의 경우, 2023년 1월에 수정된 CVE-2023-21674에 이어 제로데이로 무기화된 두 번째 사례입니다.

이번 상황을 계기로 미국 사이버보안 및 인프라 보안국(CISA)은 두 취약점을 실제 악용 확인 취약점(KEV) 카탈로그에 추가하고, 연방 민간 행정부(FCEB) 기관이 2026년 9월 22일까지 패치를 적용하도록 의무화했습니다.

이번 Microsoft 패치에서 주목할 만한 기타 취약점은 다음과 같습니다.

CVE-2026-55007 (CVSS 점수: 8.1) — Microsoft Exchange Server의 이중 해제(double free) 취약점으로, 비인증 공격자가 네트워크를 통해 코드를 실행할 수 있습니다.
CVE-2026-80097 (CVSS 점수: 8.6) — Microsoft Authenticator의 부적절한 인증(improper authentication) 취약점으로, 비인증 공격자가 로컬에서 권한을 상승시킬 수 있습니다.
CVE-2026-69465 (CVSS 점수: 8.8) — Microsoft Office SharePoint의 권한 검사 누락(missing authorization) 취약점으로, 인증된 공격자가 네트워크를 통해 코드를 실행할 수 있습니다.
CVE-2026-65669 (CVSS 점수: 9.6) — SQL Server의 인젝션(injection) 취약점으로, 비인증 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
CVE-2026-69525 (CVSS 점수: 9.8) — Windows 원격 데스크톱 서비스(Remote Desktop Services)의 use-after-free(해제된 메모리 재사용) 취약점으로, 비인증 공격자가 네트워크를 통해 코드를 실행할 수 있습니다.
CVE-2026-69595 (CVSS 점수: 9.8) — Windows NFS ONCRPC XDR 드라이버 서비스(Services for NFS ONCRPC XDR Driver)의 use-after-free 취약점으로, 비인증 공격자가 네트워크를 통해 코드를 실행할 수 있습니다.
CVE-2026-69730 (CVSS 점수: 9.8) — Windows DNS 서버의 use-after-free 취약점으로, 비인증 공격자가 네트워크를 통해 코드를 실행할 수 있습니다.
CVE-2026-69829 (CVSS 점수: 9.8) — Windows Shell의 힙 기반 버퍼 오버플로 취약점으로, 비인증 공격자가 네트워크를 통해 코드를 실행할 수 있습니다.
CVE-2026-72979 (CVSS 점수: 9.8) — Windows DHCP 서버의 use-after-free 취약점으로, 비인증 공격자가 네트워크를 통해 코드를 실행할 수 있습니다.

TrendAI의 제로데이 이니셔티브(ZDI)에 따르면, Microsoft는 올해에만 총 2,760건의 보안 취약점을 패치했으며, 이는 AI(인공지능) 지원 취약점 발견이 앞으로도 줄어들지 않을 것임을 시사합니다.

"9월 패치 화요일 릴리스는 거의 1,000개에 달하는 CVE가 패치되면서(964건) 패치 화요일 역사의 또 다른 전환점을 기록했습니다." — Tenable 수석 연구 엔지니어 Satnam Narang이 The Hacker News와 공유한 성명에서. "맥락을 설명하자면, 이번 달 패치 화요일은 7월의 이전 기록(569건)보다 약 70% 증가한 수치이며, 올해 연간 누적 총계를 2,600건 이상으로 끌어올렸습니다. 이는 세 달이 더 남은 시점에서 이미 이전 기록 연도인 2020년(1,245건)의 두 배를 넘어선 것입니다."

방대한 양의 패치에도 불구하고, 대부분의 조직에 실제 영향을 미칠 것으로 예상되는 취약점 수는 상당히 적으며, 지금까지 실제 악용 사례가 급증하는 상관관계도 나타나지 않고 있습니다. Narang은 조직이 어떤 취약점이 실제로 자신들에게 적용되는지, 인터넷을 통해 도달 가능하고 악용 가능한지 파악하고, 이러한 위험 맥락을 바탕으로 패치 우선순위를 정하는 것이 매우 중요하다고 덧붙였습니다.

"Microsoft가 취약점 패치를 따라잡기에 급급한 한, 숫자는 더 이상 아무 의미가 없다고 봐도 무방합니다." — Fortra의 보안 R&D 부디렉터 Tyler Reguly.

"이것은 Microsoft만의 문제가 아닙니다. Oracle을 비롯해 선제적으로 대응하는 다른 대형 벤더들에서도 같은 현상이 나타납니다. 이처럼 많은 CVE 건수는 공격자가 취약점을 발견하고 악용하기 전에 공격 표면을 줄이고 있다는 점에서 긍정적인 신호로 봐야 합니다. 결국 오랫동안 쌓여온, 발견하기 어려운 취약점들이 모두 수정되면 패치 화요일은 다시 일상적인 주기로 돌아올 것입니다."

출처

The Hacker News · thehackernews.com

원문 보기