마이크로소프트, 실제 악용된 윈도 권한 상승 취약점 2건 패치

오늘의 핵심

마이크로소프트가 9월 보안 업데이트에서 실제 공격에 악용된 윈도 권한 상승 취약점 2건을 수정했다. 기업은 전체 패치 수보다 자사 단말의 노출 여부와 배포 상태를 먼저 확인해야 한다.

확인된 사실

• 마이크로소프트의 2026년 9월 보안 업데이트에는 실제 공격에 악용된 윈도 제로데이 취약점 2건의 수정이 포함됐다. 근거 [1] [2]
• CVE-2026-81963은 Windows Update Stack의 파일 접근 전 링크 처리 문제로, 이미 로컬 접근 권한을 가진 공격자가 SYSTEM 권한으로 상승하는 데 악용할 수 있다. 근거 [1] [2]
• CVE-2026-85880은 Windows ALPC의 힙 기반 버퍼 오버플로 취약점으로, 로컬 공격자의 SYSTEM 권한 상승을 허용할 수 있다. 근거 [1] [2]
• 두 취약점 모두 원격 초기 침투 자체를 제공하는 결함이라기보다, 공격자가 단말에 발판을 마련한 뒤 권한을 확대하는 단계에서 위험하다. 근거 [1] [2]

왜 중요한가

• 관리자·개발자·고객지원 인력이 사용하는 윈도 단말이 침해되면 배포 자격증명, 고객 데이터, 운영 도구로 공격 범위가 확대될 수 있다.
• 실제 악용이 확인된 취약점이므로 일반적인 정기 패치 순번보다 우선해 영향받는 자산과 업데이트 적용 여부를 확인할 필요가 있다.
• 대규모 업데이트에서는 단순 설치 지시만으로 누락을 찾기 어렵다. 자산 목록, 배포 성공률, 재부팅 완료 여부를 함께 추적해야 한다.

inxight의 관점

• 이번 대응의 핵심은 전체 취약점 개수보다 실제 악용 여부와 자사 환경의 노출도를 기준으로 우선순위를 재정렬하는 것이다.
• 웹·앱 운영사는 개발자 단말과 배포 서버를 일반 사무용 PC와 분리해 집계하고, 이들 자산의 패치 준수율을 별도 지표로 관리해야 한다.
• 패치 후에는 설치 성공 기록뿐 아니라 대상 빌드 반영과 재부팅 완료까지 검증해야 형식적인 조치를 피할 수 있다.

실무 체크리스트

• Windows Update Stack 및 ALPC 취약점의 영향 대상과 사내 윈도 자산 목록을 대조한다.
• 개발자 단말, 관리자 단말, 배포 서버 등 고권한 자산에 관련 보안 업데이트를 우선 배포한다.
• 호환성 우려가 있는 핵심 시스템은 대표 환경에서 신속히 검증한 뒤 단계적으로 배포하되 예외 자산과 기한을 기록한다.
• EDR·SIEM에서 비정상적인 로컬 권한 상승과 SYSTEM 권한 프로세스 생성 징후를 점검한다.
• 업데이트 설치 여부와 재부팅 완료 상태를 함께 수집해 미적용·실패 자산을 재조치한다.