'Chaotic Eclipse'라는 보안 연구자가 CrowdStrike Falcon, Kaspersky 엔드포인트 보안 제품, Microsoft Defender에 각각 영향을 미치는 권한 상승(일반 사용자가 시스템 최고 권한을 탈취하는 공격) 취약점의 개념증명(PoC) 코드를 연달아 공개했습니다. 특히 Microsoft Defender 취약점(CVE-2026-69414, ShieldBreak)은 아직 공식 패치가 없는 제로데이(zero-day)로, 공격자가 NT AUTHORITY\SYSTEM 권한으로 임의 코드를 실행할 수 있습니다. 해당 연구자는 Microsoft가 취약점 신고를 무시하고 있다고 주장하며 앞으로도 미패치 상태의 버그를 계속 공개하겠다고 밝혀 추가 위협이 우려됩니다. CrowdStrike와 Kaspersky도 각자의 제품에서 유사한 문제가 확인됐으며, 기업 보안팀은 관련 제품의 업데이트와 탐지 정책을 즉시 점검할 필요가 있습니다.
보안 연구자 Chaotic Eclipse가 CrowdStrike Falcon(FalconFlank), Kaspersky 엔드포인트 보안(HardBreacher), Microsoft Defender(ShieldBreak, CVE-2026-69414)에 대한 권한 상승 제로데이 PoC를 잇따라 공개했다. Microsoft Defender 취약점은 CVE-2026-50656(RoguePlanet)의 패치 우회이며, 아직 공식 수정이 없다.
공격자가 로컬에서 최고 권한(SYSTEM)을 획득할 수 있으며, ShieldBreak의 경우 Defender 자체 정리 엔진을 악용해 공격자가 지정한 DLL을 System32에 심고 Windows 오류 보고 작업을 통해 SYSTEM 권한 코드를 실행한다. Kaspersky 취약점 성공 시 보안 제품 전체가 오작동하며 파일 접근 제어가 무력화된다.
각 보안 제품의 맬웨어 치료 로직, Cloud Files API, Object Manager 네임스페이스, Windows Defender 내부 API 등 OS 저수준 메커니즘의 경쟁 조건(race condition) 및 설계 결함이 원인이다. Microsoft가 해당 연구자의 신고를 무시해 조율 공개가 이뤄지지 않았다.
CrowdStrike는 이미 탐지 룰을 보유했을 가능성이 있으며, PoC 테스트를 위해서는 제외 설정이나 난독화가 필요하다고 연구자가 밝혔다. Microsoft는 아직 CVE-2026-69414에 대한 수정 패치를 배포하지 않았다. 기업은 관련 제품 탐지 정책과 예외 항목을 즉시 검토해야 한다.
세 제품 모두 널리 사용되는 엔드포인트 보안 솔루션이므로 영향 범위가 매우 넓다. PoC가 이미 GitHub에 공개된 상태라 내부 레드팀 외에 악의적 행위자도 활용 가능하다. Microsoft 패치 화요일 이전 공개를 예고했으므로 추가 제로데이 공개에 대비해 위협 인텔리전스 모니터링을 강화해야 한다.
본문
Ravie Lakshmanan · 2026년 9월 3일 · 취약점 / 엔드포인트 보안
'Chaotic Eclipse'(별칭: INFINITE NIGHTMARE, MSNightmare, Nightmare-Eclipse)라는 보안 연구자가 CrowdStrike Falcon에 영향을 미치는 새로운 제로데이 FalconFlank를 공개했다. 이는 권한 상승 취약점이다.
연구자는 GitHub README 파일을 통해 "FalconFlank는 CrowdStrike Falcon Sensor의 악성 오피스 매크로 치료 기능을 악용하는 제로데이 권한 상승 취약점"이라며, "CrowdStrike가 이미 이 취약점에 대한 탐지 룰을 갖추고 있을 수 있다"고 덧붙였다.
"테스트하려면 해당 PoC를 예외 목록에 추가하거나, PoC를 난독화하고 DLL 로드 기법을 변경해야 한다."
연구자에 따르면 이 PoC는 CrowdStrike Falcon이 설치된 완전히 업데이트된 Windows 11 25H2 또는 Windows Server 2025 환경에서 동작한다. The Hacker News는 CrowdStrike 측에 논평을 요청했으며, 답변이 오면 기사를 업데이트할 예정이다.
이번 공개는 Chaotic Eclipse가 며칠 전 Kaspersky 엔드포인트 보안 제품 Windows 버전(14.0.0.504)에 영향을 미치는 또 다른 권한 상승 취약점의 PoC를 공개한 직후에 나왔다. 해당 익스플로잇은 HardBreacher라는 코드명이 붙었다.
"이 PoC는 완성도가 매우 낮고 말 그대로 임시방편으로 만든 것이다. 어떻게든 작동하게 만든 것뿐이다"라고 연구자는 말했다. "오류가 발생하며 실패하는 경우가 있으니 계속 재실행해야 한다. 성공하면 현재 사용자에게 전체 권한이 부여된 C:\Windows\System32\MY_SNAKE_IS_SOLID.dll 파일이 생성된다."
"흥미로운 점은 UI 프로세스를 장악하면 Kaspersky가 완전히 망가진다는 것이다. 제품이 작동을 멈추게 하거나, 접근해서는 안 되는 파일에 대한 권한을 부여하거나 차단하게 만들 수 있다. PoC가 성공하면 운영체제 전체가 엉망이 된다."
지난달, 연구자는 Microsoft Defender 제로데이 ShieldBreak(CVE-2026-69414)의 PoC도 공개했다. 이 취약점은 공격자가 NT AUTHORITY\SYSTEM 권한으로 임의의 코드를 실행할 수 있게 한다. 이는 CVE-2026-50656(RoguePlanet)에 대한 패치 우회로 평가되며, Microsoft는 아직 수정 패치를 배포하지 않았다.
LevelBlue는 다음과 같이 분석했다. "ShieldBreak는 이전 취약점들과 마찬가지로 Windows 운영체제의 또 다른 취약한 부분을 파고든다. RedSun이 Cloud Files API와 TieringEngineService를 악용해 Defender의 쓰기 작업을 System32로 우회시키고, LegacyHive가 오프라인 레지스트리 하이브 조작과 NT Object Manager 네임스페이스를 무기화했다면, ShieldBreak는 Cloud Files, Object Manager 네임스페이스 조작, Windows Defender 내부 API 직접 호출, 그리고 치료 경로상의 타이밍 경쟁 조건(race condition)을 복합적으로 결합한다."
"결과적으로 이는 자체 완결형 로컬 권한 상승 체인이다. Windows Defender 자체의 정리 엔진이 공격자가 제공한 DLL을 C:\Windows\System32\phoneinfo.dll에 쓰도록 유도된 뒤, 내장 Windows 오류 보고(Windows Error Reporting) 작업을 통해 SYSTEM 권한으로 코드가 실행된다."
이후 연구자는 Microsoft가 자신을 계속 무시하며 "어떠한 소통도 거부"하고 있다고 주장하며, 회사가 "자신을 미친 범죄자로 몰아가려 하고 있다"고 밝혔다.
"내가 발견한 버그조차 Microsoft의 제약 때문에 해당 벤더에 신고할 수 없다. 이 모든 것은 Microsoft 스스로가 초래한 것인데, 그들은 내 사례를 검토해 무엇이 잘못됐는지 파악하려는 노력조차 하지 않는다"라고 연구자는 2026년 8월 14일자 게시물에서 밝혔다.
"패치 화요일이 배포되지 않은 기간에 서드파티 버그를 계속 공개하기 시작할 것 같다. 그냥 한번쯤 평범한 사람처럼 살고 싶을 뿐인데, 그게 그렇게 무리한 요구인가...?"
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
