마이크로소프트가 Windows와 기타 소프트웨어에서 발견된 보안 취약점 1,400여 건을 수정하는 업데이트를 배포했다. 이 가운데 78건 이상은 ‘심각’ 등급이며, 실제 공격에 악용된 정황이 확인된 취약점은 한 건이다.
이번 업데이트 규모는 기록적인 수치였던 9월의 약 1,000건을 크게 넘어선다. 당시 수정 건수도 마이크로소프트의 평소 월간 업데이트 규모보다 약 10배 많았다. Tenable의 사트남 나라ング(Satnam Narang)은 이번 달 수정 건수가 이전 기록을 세운 2020년의 CVE 1,261건보다 훨씬 많다고 말했다. 그는 올해가 두 달 남은 시점에 누적 CVE가 4,000건을 넘어섰다고 덧붙였다.
이번 주 수정된 취약점 중 한 건은 이미 실제 공격에 악용된 ‘제로데이’다. CVE-2026-96951은 Windows 셸의 보안 기능 우회 취약점으로, Windows 10과 11 및 일부 서버 버전에 영향을 준다.
이번 달 수정된 취약점 중 78건 이상은 사용자가 거의 또는 전혀 조치하지 않아도 악용될 수 있는 ‘심각’ 등급이다. 이 가운데 상당수는 공격자가 취약한 시스템에서 원하는 코드를 실행할 수 있게 한다. .NET Framework의 보안 기능 우회 취약점인 CVE-2026-108398은 마이크로소프트가 아직 악용 정황은 없다고 밝혔지만, 업데이트 발표 전에 공개됐다. 따라서 공격자가 취약점을 악용하는 방법을 알아낼 시간을 얻었을 가능성이 있다.
Windows 10 지원도 이어진다. 마이크로소프트는 2025년 10월 Windows 10 업데이트 제공을 중단할 예정이었지만, 반발이 이어지자 무료 업데이트를 1년 더 제공하기로 했다. 이후 지원 기간을 다시 연장해 2027년 10월까지 보안 업데이트를 받을 수 있게 했다. Windows Central 보도에 따르면 연장은 조용히 이뤄졌다.
마이크로소프트는 대규모 취약점 발견에 대형 언어 모델이 기여했다고 설명했다. 한편 보안 전문가들은 이례적으로 많은 업데이트가 기업 보안팀의 부담을 키운다고 지적한다. 기업은 업데이트가 다른 소프트웨어에 문제를 일으키지 않는지 네트워크에 배포하기 전에 개별적으로 시험해야 하는 경우가 많다.
Fortra의 보안 연구·개발 부문 부국장 타일러 레귤리(Tyler Reguly)는 올해 지금까지 미국 사이버보안·인프라 보안국(CISA)의 ‘알려진 악용 취약점(KEV)’ 목록에 오른 마이크로소프트 취약점은 26건이라고 말했다. 그는 보안팀이 이 26건부터 우선적으로 패치하는 것이 바람직하다고 밝혔다.
“보안 책임자는 악용 가능한 위험에 집중하고, 팀에 대응할 명확성·역량·지원이 갖춰져 있는지 확인해야 한다.”
— 타일러 레귤리
조직에서 어떤 취약점을 우선 살펴볼지 판단할 때는 Cisco Talos의 주요 취약점 정리와 SANS Internet Storm Center의 취약점 목록을 참고할 수 있다. 두 자료는 이번에 수정된 취약점을 다루며, SANS 자료는 심각도와 CVE 번호, 영향을 받는 소프트웨어별로 취약점을 분류한다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요