마이크로소프트, 9월 패치서 974건 역대 최대 수정…제로데이 2건은 패치 전부터 공격당해

마이크로소프트가 9월 패치 튜즈데이에서 소프트웨어 전반에 걸쳐 974건에 달하는 보안 결함을 한꺼번에 손질했다. The Hacker News(The Hacker News)와 크렙스온시큐리티(KrebsOnSecurity)에 따르면 이는 마이크로소프트가 한 달에 낸 패치 가운데 역대 최대 규모다. 이 중에는 공격자들이 공개 패치 전부터 실제 공격에 악용한 제로데이 2건도 포함돼 있다. 미국 사이버보안·인프라보안국(CISA)은 두 취약점을 알려진 악용 취약점(KEV) 목록에 올리고 연방 행정기관에 9월 22일까지 패치를 적용하라고 명령했다.

집계 매체마다 다른 “역대 최대” 규모

패치 규모를 두고는 매체마다 집계가 조금씩 다르다. The Hacker News와 크렙스온시큐리티는 974건으로 집계했고, 마이크로소프트가 함께 손본 비(非)마이크로소프트 제품의 CVE 25건을 더하면 총 999건에 이른다고 전했다. 반면 지디넷(ZDNet)이 인용한 보안업체 액션1(Action1)은 995건, 블리핑컴퓨터(BleepingComputer)는 966건으로 각각 집계해 발표했다.

세부 항목을 보면 The Hacker News 기준 윈도우 관련 결함이 723건으로 가장 많았고, 오피스·오피스 2016이 111건, SQL이 62건, 개발자 도구가 22건이었다. 전체 결함의 90%에 가까운 비중을 권한 상승, 원격 코드 실행, 정보 노출 세 가지 유형이 차지했다. 블리핑컴퓨터가 집계한 966건 기준으로는 권한 상승이 438건으로 가장 많았고 원격 코드 실행 258건, 정보 노출 173건, 서비스 거부 56건, 보안 기능 우회 19건, 스푸핑 16건 순이었다.

최고 심각도인 ‘긴급(Critical)’ 결함 수도 매체별로 엇갈렸다. The Hacker News는 110건 이상, 크렙스온시큐리티는 113건, 블리핑컴퓨터는 105건, 지디넷이 인용한 액션1은 121건으로 각각 집계했다. 7월 패치 규모를 두고도 차이가 있다. The Hacker News는 지난 7월 패치가 663건이었다고 전했지만 크렙스온시큐리티는 종전 최대 기록이던 7월 패치를 570건으로 소개했다. 크렙스온시큐리티는 올해 들어 마이크로소프트가 손질한 취약점이 이미 2,600건을 넘어섰고, 이는 종전 최다 기록이었던 2020년 한 해 1,245건의 두 배가 넘는 수치라고 전했다.

실제 공격에 악용된 제로데이 2건

패치된 두 제로데이는 모두 로컬 권한 상승 취약점이다. CVE-2026-85880(CVSS 7.8)은 윈도우 고급 로컬 프로시저 호출(ALPC)에서 발생한 힙 기반 버퍼 오버플로 결함이다. 낮은 권한의 앱컨테이너(AppContainer)에서 코드를 실행할 수 있는 공격자가 샌드박스를 탈출해 시스템(SYSTEM) 권한을 손에 넣을 수 있다. 마이크로소프트는 이 과정에 별도의 사용자 개입이 필요하지 않다고 설명했다.

CVE-2026-81963(CVSS 7.8)은 윈도우 업데이트 스택의 부적절한 링크 해석(link following) 결함이다. 라피드7(Rapid7)의 리드 소프트웨어 엔지니어 애덤 바넷(Adam Barnett)은 지원 중인 모든 윈도우 버전에 이 패치가 배포됐다며, 업데이트 스택이 악성 링크를 따라가 공격자가 조작한 가짜 시스템 구성요소로 덮어써지는 것을 막기 위한 조치로 보인다고 설명했다. CVE-2026-85880은 보안업체 볼렉시티(Volexity)와 프루프포인트(Proofpoint)가, CVE-2026-81963은 에어버스 헬리콥터스(Airbus Helicopters)의 공격 보안 연구자 로맹 데페른(Romain Deperne)과 마이크로소프트 위협 인텔리전스 센터(MSTIC)가 각각 신고한 공로를 인정받았다.

보안 플랫폼 테너블(Tenable)에 따르면 윈도우 업데이트 스택에서는 2022년 이후 권한 상승 결함 7건이 나왔지만, CVE-2026-81963은 그중 첫 제로데이이자 실제 공격에 악용된 첫 사례다. ALPC 취약점인 CVE-2026-85880도 2023년 1월 패치된 CVE-2023-21674 이후 무기화된 두 번째 ALPC 제로데이로 꼽힌다. 액션1의 취약점 연구 디렉터 잭 바이서(Jack Bicer)는 “이 정도 규모에서는 패치 목록을 다 처리하는 것 자체보다 무엇을 먼저 처리해야 하는지 파악하는 게 관건”이라며 “수백 건의 업데이트가 한꺼번에 쏟아지는 상황에서 보안팀은 즉시 조치가 필요한 취약점과 정상적인 배포 주기를 따라도 되는 취약점을 빠르게 구분해야 한다”고 말했다.

SQL 인젝션부터 DNS까지…고위험 결함도 줄줄이

제로데이 외에도 심각도가 높은 결함이 다수 확인됐다. SQL 서버에서는 인젝션 취약점 CVE-2026-65669(CVSS 9.6)가 발견돼 인증되지 않은 공격자가 네트워크를 통해 권한을 상승시킬 수 있다. 익스체인지 서버의 더블 프리(double free) 결함인 CVE-2026-55007(CVSS 8.1)은 인증되지 않은 공격자가 네트워크로 코드를 실행할 수 있게 한다. 마이크로소프트 인증자(Authenticator) 앱에서도 부적절한 인증 결함 CVE-2026-80097(CVSS 8.6)이 확인돼 인증되지 않은 공격자가 로컬에서 권한을 상승시킬 수 있다.

셰어포인트(SharePoint)의 권한 검증 누락 결함 CVE-2026-69465(CVSS 8.8)는 인증된 공격자가 네트워크로 코드를 실행할 수 있게 한다. 원격 데스크톱 서비스 결함 CVE-2026-69525와 NFS용 ONCRPC XDR 드라이버 결함 CVE-2026-69595는 각각 CVSS 9.8의 use-after-free(해제된 메모리 재사용) 취약점으로, 인증 없이도 원격 코드 실행이 가능하다.

크렙스온시큐리티는 윈도우 서버 2012 이후 버전과 윈도우 10에 영향을 미치는 DNS 서버 결함 CVE-2026-69730도 심각한 사례로 지목했다. 인증되지 않은 공격자가 특수하게 조작한 패킷 하나만 보내도 이 결함을 악용할 수 있으며 실제 악용 가능성이 높다고 마이크로소프트는 경고했다. 윈도우 셸(Shell)의 원격 코드 실행 결함 CVE-2026-69829 역시 CVSS 9.8로, 낮은 공격 복잡도와 사용자 개입 없이도 악용이 가능하다.

AI가 부추긴 패치 폭증, “찾아낸 건 늘었지만 위험도는 그대로”

마이크로소프트는 AI가 취약점 발굴 속도를 끌어올리고 있다고 설명했다. 크렙스온시큐리티는 어도비·시스코·구글·모질라·오라클 등 다른 대형 소프트웨어 기업들도 최근 AI 지원 연구 덕분에 패치 속도와 물량이 늘었다고 전했다. 구글은 앞으로 2주마다 보안 업데이트를 내놓겠다고 밝혔다. 앞서 구글도 크롬 브라우저에서 실제 공격에 악용되던 제로데이 취약점을 긴급 패치한 바 있어, 대규모 취약점 발굴은 마이크로소프트만의 문제가 아니라는 지적이 나온다.

포트라(Fortra)의 보안 연구개발 부문 부디렉터 타일러 레귤리(Tyler Reguly)는 “최고정보보호책임자와 최고보안책임자에게 경종을 울릴 때”라며 “팀이 야근이나 주말에 배포 작업을 하도록 하고 있다면 그에 걸맞은 보상을 하고 있는지 예산을 다시 들여다볼 시점”이라고 말했다. 테너블의 수석 스태프 리서치 엔지니어 사트남 나랑(Satnam Narang)은 “2026년의 AI 지원 취약점 발굴은 더 큰 건초더미를 만들고 있을 뿐 바늘을 더 많이 찾아내는 건 아니다”라며 “조직에 실제로 영향을 미치는 취약점, 접근·악용이 가능한 취약점을 가려내 위험 기반으로 대응 순서를 정하는 게 중요하다”고 강조했다.

같은 9월 업데이트에서 윈도우 11은 작업표시줄을 화면 상단·좌우로 옮길 수 있는 기능과 시작 메뉴·검색창 개편도 함께 배포됐다. 지원 종료 이후 확장 보안 업데이트(ESU)를 받는 윈도우 10에도 시큐어 부트(Secure Boot) 인증서 적용 범위 확대, 원격 데스크톱 오디오 리디렉션 오류 수정 등의 버그 패치가 포함됐다. 다만 전문가들은 이런 편의 기능보다 보안 업데이트 자체를 미루지 않고 적용하는 것이 우선이라고 조언한다.