MS 8월 패치, 라자루스가 악용한 커널 제로데이도 포함

마이크로소프트가 8월 11일(현지시각) 정기 보안 업데이트를 배포했다. 이번 달 패치에서 가장 눈에 띄는 건 이미 실제 공격에 쓰이고 있던 결함 하나가 포함됐다는 점이다. 위협 행위자는 윈도우 커널 드라이버의 취약점을 악용해 시스템 최고 권한까지 손에 넣을 수 있었다. 보안업체 체크포인트리서치(Check Point Research)는 북한 연계 해킹조직 라자루스(Lazarus)가 이 결함을 ‘Operation Dream Job’ 캠페인에서 실전 활용했다고 밝혔다. 이번 업데이트에는 인증이나 클릭 없이도 뚫릴 수 있는 크리티컬 원격코드실행(RCE) 결함 4건, 그리고 지난 7월 시작된 셰어포인트(SharePoint) 취약점 체인의 나머지 절반도 포함됐다. 다만 이번 달 패치 규모는 집계 기관에 따라 398건에서 421건까지 다르게 잡혔다.

라자루스가 실전에서 악용한 커널 드라이버 결함

문제의 취약점은 CVE-2026-68820으로, 윈속(WinSock)용 보조 기능 드라이버(Ancillary Function Driver, AFD.sys)에서 발견된 사용 후 해제(use-after-free) 결함이다. CVSS 점수는 7.0으로 다른 결함들에 비해 낮지만, 마이크로소프트가 이번 달 유일하게 “실제 공격에 쓰이고 있다”고 못박은 결함이다. 마이크로소프트는 “로컬에서 인증된 공격자가 특수 제작한 애플리케이션을 실행해 경쟁 상태(race condition)를 유발할 수 있다”며 “성공적으로 악용되면 SYSTEM 권한을 얻을 수 있고 사용자 상호작용은 필요하지 않다”고 설명했다. 이 결함은 체크포인트의 모셰 마렐루스(Moshe Marelus), 데이비드 드리커(David Driker)가 발견해 신고했다.

체크포인트에 따르면 라자루스는 유럽과 인도의 방어산업 관계자를 겨냥해 록히드마틴과 프라이버시 기술기업 엔베일(Enveil)을 사칭한 가짜 채용 공고를 뿌렸다. 엔베일을 위장한 웹사이트를 최소 3곳 만들었고, 일부는 검색 결과 상위에 노출되도록 검색엔진최적화(SEO)까지 동원했다. 피해자가 변조된 PDF 뷰어 ‘SecurityPDF’로 첨부문서를 열면 처음 발견된 백도어 ‘Troy’가 실행됐고, 이 과정에서 CVE-2026-68820을 제로데이로 악용해 라자루스의 커널모드 루트킷 ‘FudModule’ 신버전을 심었다. 더 레지스터(The Register)에 따르면 체크포인트는 이 결함을 겨냥한 공격을 6월 초부터 관측했다. 체크포인트 위협인텔리전스 담당 세르게이 시케비치(Sergey Shykevich)는 “해당 CVE의 성공적인 구현 사례 하나는 확인했지만, 캠페인 전반에서 더 광범위하게 쓰였을 것으로 추정한다”고 말했다. 보안업체 오토목스(Automox)의 랜던 마일스(Landon Miles)는 “공격자가 피싱으로 낮은 권한의 발판을 마련한 뒤, 이 드라이버 결함으로 기기를 완전히 장악하는 두 번째 단계”라며 “7.0이라는 점수는 경쟁 상태를 여러 번 반복해서 타이밍을 맞춰야 하는 높은 공격 복잡성을 반영한 것”이라고 설명했다.

클릭 없이 뚫리는 크리티컬 결함 4건

이번 패치에는 계정도, 비밀번호도, 클릭도 필요 없이 원격에서 뚫릴 수 있는 결함 4건이 포함됐다. 모두 CVSS 9.8점을 받았지만 배포 당시 실제 공격 흔적은 확인되지 않았다. 윈도우 DNS 서버의 CVE-2026-62878은 스택 기반 버퍼 오버플로 결함으로, 제로데이 이니셔티브(Zero Day Initiative, ZDI)는 이 조건을 “웜(worm)처럼 전파 가능한” 수준이라고 평가했다. 다만 마이크로소프트는 실제 악용 가능성을 “낮음”으로 매겨 두 평가가 엇갈렸다.

윈도우 배포 서비스(Windows Deployment Services)의 CVE-2026-62893은 TFTP 처리 과정에서 인증이나 사용자 개입 없이 원격 도달이 가능한 결함으로, ZDI를 통해 공개됐다. ZDI의 더스틴 칠즈(Dustin Childs)는 “TFTP는 인증 메커니즘이 없고 UDP 69번 포트로 원격 접근이 가능하다”며 “해당 포트는 경계에서 차단해야 하지만, 공격자가 내부 이동에 손쉽게 활용할 수 있다”고 지적했다. 마이크로소프트의 QUIC 전송 프로토콜 구현에 있는 CVE-2026-62815 역시 인증·상호작용 없이 코드 실행이 가능하다. 고성능컴퓨팅(HPC) 패키지의 CVE-2026-59124는 같은 9.8점이지만 기본 설치 항목이 아니어서 등급은 ‘중요(Important)’로 낮게 분류됐고, 마이크로소프트는 이 결함의 악용 가능성을 “더 높음”으로 평가했다.

셰어포인트 인증우회+RCE 체인, 두 달에 걸쳐 완결

8월 패치는 7월부터 이어진 셰어포인트 취약점 체인의 마지막 조각을 채웠다. 보안업체 래피드7 랩스(Rapid7 Labs)는 5월 18일(현지시각) 마이크로소프트에 인증우회와 별도의 코드실행 결함을 결합해 온프레미스 셰어포인트에서 인증 없이 원격코드실행(RCE)까지 이어지는 익스플로잇 체인을 신고했다. 마이크로소프트는 이틀 뒤 이를 7월과 8월 두 차례에 나눠 패치하겠다고 확인했다.

7월 패치는 인증우회 부분인 CVE-2026-55040(CVSS 9.1, 크리티컬)을 막았다. 래피드7은 이 결함으로 원격의 미인증 공격자가 특정 셰어포인트 사이트 사용자나 관리자의 신원을 알아낼 경우 그 신원으로 위장할 수 있다고 설명했다. 이번 8월 패치는 RCE 부분인 CVE-2026-63520을 막았다. 이 결함 자체는 미인증 조건을 만드는 게 아니라, CVE-2026-55040과 결합됐을 때 인증 없는 RCE로 완성된다는 점이 핵심이다. 래피드7은 7월 패치만으로도 이미 시연된 공격 경로는 끊겼다고 밝혔지만, 8월 패치로 RCE 구성요소까지 마무리됐다. 온프레미스 셰어포인트를 운영하는 조직은 두 패치가 모두 설치됐는지 확인해야 한다.

AI가 찾아낸 취약점 폭증, 집계마저 제각각

이번 달 패치 규모는 매체·집계기관마다 다르게 나왔다. 헬프넷시큐리티(Help Net Security)는 400건 이상, 블리핑컴퓨터(BleepingComputer)는 400건(엘리베이션 오브 프리빌리지 176건, RCE 110건, 정보유출 86건, 스푸핑 21건, 서비스거부 12건, 보안기능우회 11건 등), 크렙스온시큐리티(Krebs on Security)와 더 해커 뉴스(The Hacker News)는 398건, 더 레지스터는 421건으로 각각 집계했다. 크리티컬 등급 개수도 마이크로소프트 자체 집계로는 42건이지만, ZDI는 독자 집계로 62건을 크리티컬로 분류해 차이를 보였다.

이런 대규모 패치는 마이크로소프트가 AI 기반 취약점 탐지 시스템을 도입하면서 나타난 흐름으로 풀이된다. 지난달에는 570건이 넘는 기록적 규모였고, 그전 달인 6월에는 당시 기준 최대치였던 약 200건이 패치됐다. 어도비, 시스코, 구글, 모질라, 오라클 등 다른 업체들도 패치 빈도와 물량을 늘리는 추세다. 다만 취약점을 ‘찾는’ 것과 ‘고치는’ 것은 다른 문제다. 1Password 연구진이 여러 대규모언어모델(LLM)에 새로 공개된 복잡한 취약점의 패치를 생성시켜본 결과, 절반 넘는 사례에서 결함을 제대로 고치지 못하거나 오히려 새로운 약점을 만들어냈다. SANS 기술연구소의 에드 스코우디스(Ed Skoudis)는 “AI는 취약점을 찾는 데는 놀라울 정도로 좋아지고 있지만, 고치는 건 전혀 다른 문제라는 걸 이번 연구가 보여준다”며 “한 번에 끝내는 AI 패치를 기대하지 말고, 반복 검증하는 사람이 필요하다”고 말했다. 포트라(Fortra)의 타일러 레귤리(Tyler Reguly)는 “약 400건 중 실제 악용이 확인된 건 하나뿐이라는 점을 기억해야 한다”며 “안전한 업데이트를 배포하려면 서두르지 말라”고 조언했다.

이 외에도 윈도우 사용자 프로필 서비스의 CVE-2026-62832(공개된 결함, 악용 가능성 ‘더 높음’)와 컨테이너 격리 파일시스템 필터 드라이버(unionfs.sys)의 CVE-2026-72971(ARM64용 윈도우 11에만 영향), 마이크로소프트 디펜더의 7월 패치 ‘RoguePlanet’(CVE-2026-50656)을 우회하는 것으로 알려진 PoC ‘ShieldBreak’ 등이 함께 다뤄졌다. 아이반티(Ivanti)의 크리스 고에틀(Chris Goettl)은 CVSS 점수만으로 판단하지 말고 인터넷에 노출된 시스템인지, 실제 악용 여부인지를 따져 순서를 정하라고 권고했다.