엔드포인트 보안 제품인 크라우드스트라이크 팔콘(CrowdStrike Falcon)과 마이크로소프트 디펜더(Microsoft Defender)에서 권한상승(낮은 권한의 사용자가 시스템 최고 권한을 얻는 공격)이 가능한 취약점들이 연달아 공개됐습니다. 보안 연구자 '카오틱 이클립스'가 공개한 'FalconFlank'는 팔콘이 악성 매크로를 치료하는 과정을 역이용해 윈도우 SYSTEM 권한을 획득할 수 있는 제로데이 취약점으로, 크라우드스트라이크의 공식 확인은 아직 나오지 않은 상태입니다. 디펜더를 겨냥한 'ShieldBreak(CVE-2026-69414)'는 마이크로소프트가 공식 인정하고 패치를 준비 중이며, 이전 패치(CVE-2026-50656)를 우회하는 방식으로 동작합니다. 백신·EDR 제품은 본래 높은 시스템 권한으로 동작하기 때문에, 이 기능에 취약점이 생기면 공격자가 보안 제품 자체를 권한 탈취의 발판으로 삼을 수 있어 위험합니다. 크라우드스트라이크 팔콘과 마이크로소프트 디펜더 사용 조직은 최신 버전 적용 여부와 공식 보안 공지를 즉시 확인해야 합니다.
보안 연구자 '카오틱 이클립스'가 CrowdStrike Falcon을 겨냥한 제로데이 권한상승 취약점 'FalconFlank'와 PoC(개념증명 코드)를 공개했다. Microsoft Defender를 겨냥한 ShieldBreak(CVE-2026-69414)도 함께 주목받고 있으며, 마이크로소프트는 이를 공식 인정하고 패치를 준비 중이다.
공격 성공 시 일반 사용자 권한에서 윈도우 최고 권한인 NT AUTHORITY\SYSTEM을 획득할 수 있다. Windows 11 25H2 및 Windows Server 2025 환경이 영향권에 있다. ShieldBreak의 CVSS 점수는 7.8점이다.
백신·EDR 제품이 악성코드 탐지·치료를 위해 높은 시스템 권한으로 동작하는 구조를 역이용한다. FalconFlank는 팔콘의 악성 오피스 매크로 치료 과정을, ShieldBreak는 디펜더의 클라우드 파일 기능·윈도우 객체 관리·치료 과정을 조합해 권한을 탈취한다.
CrowdStrike는 FalconFlank에 대한 공식 보안 권고를 아직 발표하지 않았으나 이미 탐지 가능성이 있다고 연구자는 밝혔다. Microsoft는 ShieldBreak(CVE-2026-69414) 패치를 준비 중이다. Kaspersky Endpoint Security의 유사 취약점 'HardBreacher'는 자동 업데이트로 이미 수정됐다.
CrowdStrike Falcon 센서 최신 버전 적용 여부와 공식 보안 공지를 즉시 확인해야 한다. Microsoft Defender 사용 환경은 ShieldBreak 패치 릴리스를 주시하고 배포 즉시 적용해야 한다. FalconFlank는 아직 공식 확인 전이므로 PoC만으로 위험성을 단정하되 모니터링은 강화해야 한다.
본문
엔드포인트 보안 솔루션인 크라우드스트라이크 팔콘(CrowdStrike Falcon)의 보안 기능을 악용해 윈도우 시스템에서 높은 권한을 얻을 수 있다는 제로데이 취약점과 공격 코드가 공개됐다.
공격자를 차단해야 할 엔드포인트 보안 프로그램의 높은 시스템 권한과 치료 기능이 반대로 공격에 이용될 수 있다는 점에서 주의가 필요하다.
보안 연구자 '카오틱 이클립스'는 3일 크라우드스트라이크 팔콘 센서에 영향을 주는 권한상승 취약점 'FalconFlank'와 개념증명 코드를 공개했다. 이 연구자는 인피니트 나이트메어(INFINITE NIGHTMARE), MS나이트메어(MSNightmare), 나이트메어 이클립스(Nightmare Eclipse) 등의 이름으로도 활동하고 있다.
악성 매크로 치료 기능을 공격에 역이용
연구자의 설명에 따르면 FalconFlank는 팔콘 센서가 악성 오피스 매크로를 탐지하고 치료하는 과정에서 발생하는 동작을 악용한다.
즉 보안 프로그램이 악성 파일을 처리하기 위해 높은 권한으로 수행하는 작업을 공격자가 자신에게 유리한 방향으로 이용하는 방식이다. 공격이 성공하면 일반 사용자 권한에서 더 높은 시스템 권한으로 올라갈 가능성이 생긴다.
연구자는 최신 업데이트가 적용된 윈도우 11 25H2와 윈도우 서버 2025 환경에서 크라우드스트라이크 팔콘을 대상으로 PoC가 동작했다고 주장했다.
다만 3일 현재 공개된 정보의 상당 부분은 연구자의 설명과 PoC에 기반하고 있다. 크라우드스트라이크의 공식 보안 권고나 취약점 번호, 영향받는 정확한 팔콘 센서 버전 범위 등은 확인이 더 필요하다. 실제 공격에 악용됐다는 증거도 현재 공개된 자료에서는 확인되지 않았다.
연구자는 크라우드스트라이크가 이미 해당 공격을 탐지할 가능성이 있다고 설명했다. 이는 PoC 공개 자체가 실제 환경에서 동일한 방식으로 곧바로 성공한다는 의미는 아니다.
카오틱 이클립스는 며칠 전 카스퍼스키 엔드포인트 시큐리티(Kaspersky Endpoint Security)를 겨냥한 권한상승 PoC 'HardBreacher'도 공개했다.
하지만 연구자 스스로 PoC의 성공률이 높지 않고 여러 차례 실행해야 할 수 있다고 밝혔다. 따라서 공개된 코드의 완성도와 실제 공격 가능성을 구분해서 볼 필요가 있다.
이 취약점은 FalconFlank와 상황이 다르다. 카스퍼스키는 관련 문제를 수정했다고 밝혔다. 수정 사항은 자동 업데이트를 통해 제공되며 사용자가 데이터베이스 업데이트를 직접 실행하는 방법으로도 적용할 수 있다고 설명했다.
MS 디펜더 'ShieldBreak'는 아직 주의 필요
이 연구자가 최근 공개한 취약점 가운데 상대적으로 검증이 많이 진행된 사례는 마이크로소프트 디펜더를 겨냥한 'ShieldBreak'다.
ShieldBreak는 CVE-2026-69414로 관리되고 있는 권한상승 취약점이다. 공격이 성공하면 낮은 권한을 가진 로컬 사용자가 윈도우 최고 수준의 권한인 'NT AUTHORITY\SYSTEM'을 확보할 수 있다.
마이크로소프트도 해당 취약점을 공식적으로 인정했다. CVSS 점수는 7.8점으로 평가됐다. 공개된 PoC가 존재하며, 마이크로소프트는 보안 업데이트를 준비하고 있다.
ShieldBreak는 앞서 공개된 디펜더 취약점 'RoguePlanet(CVE-2026-50656)'의 패치를 우회하는 방식으로 알려졌다. RoguePlanet은 디펜더의 동작 과정에서 발생하는 경쟁 조건(race condition, 두 작업이 동시에 실행될 때 순서 충돌을 유발하는 문제)을 악용해 SYSTEM 권한을 얻는 취약점으로 지난 7월 수정됐다.
하지만 이후 공개된 ShieldBreak는 클라우드 파일 기능과 윈도우 객체 관리 기능, 디펜더의 치료 과정 등을 조합해 다시 높은 권한을 얻을 수 있는 공격 경로를 제시했다.
보안제품의 높은 권한, 공격받으면 위험 커져
이번 사례에서 주목할 부분은 세 취약점 모두 일반 응용프로그램이 아니라 시스템을 보호하는 엔드포인트 보안제품과 관련돼 있다는 점이다.
백신이나 EDR(엔드포인트 탐지·대응) 제품은 악성코드를 탐지하고 삭제하기 위해 일반 프로그램보다 높은 시스템 권한으로 동작한다. 시스템 파일과 프로세스를 검사하고 격리·삭제하거나 설정을 변경할 수 있어야 하기 때문이다.
이러한 구조에서 파일 치료나 삭제, 격리와 같은 기능에 문제가 생기면 공격자가 보안제품의 높은 권한을 자신의 코드 실행이나 파일 생성에 이용하는 상황이 발생할 수 있다.
다만 팔콘플랭크의 경우 아직 취약점의 세부 영향 범위와 공격 조건에 대한 크라우드스트라이크의 공식 확인이 나오지 않은 만큼 공개 PoC만으로 위험성을 단정해서는 안 된다.
해당 연구가는 "보안 담당자는 크라우드스트라이크 팔콘 센서의 최신 버전 적용 여부와 공식 보안 공지를 확인할 필요가 있다"고 전했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
