권한 상승 입문: 허용된 경계를 넘어서는 권한

한 문장으로 이해하기

권한 상승은 사용자나 프로그램이 원래 허용된 범위를 넘어 더 높은 권한을 갖게 되는 일입니다. 여기서 권한이란 ‘무엇을 볼 수 있고 무엇을 바꿀 수 있는가’를 미리 정해 둔 규칙입니다.

이 강좌를 마치면 세 가지를 할 수 있습니다. 첫째, 권한 상승의 정의를 자기 말로 설명하기. 둘째, 보안 공지에서 권한 상승과 원격 코드 실행이 서로 다른 분류임을 구분해 읽기. 셋째, 심각도 표기와 실제 악용 여부가 별개의 정보임을 설명하기. 사전지식은 로그인 계정과 관리자 계정의 차이, 그리고 소프트웨어 취약점과 보안 패치라는 말의 뜻 정도면 충분합니다.

왜 필요한가

권한을 나누어 두면 각자가 할 수 있는 일의 범위가 미리 정해집니다. 권한 상승은 바로 이 경계를 넘는 일을 가리킵니다.

입력된 보안 기사들은 권한 상승(영문 표기 elevation of privilege, 줄여서 EoP)을 하나의 결함 유형으로 구분해 소개합니다. 예를 들어 마이크로소프트의 보안 업데이트에는 Azure SQL Database, Azure Arc, Exchange Online 등 여러 제품의 권한 상승 결함이 포함됐습니다.

특히 공격자가 미리 어떤 권한을 갖고 있어야 하는지가 중요한 정보입니다. Azure Arc의 CVE-2026-65816과 CVE-2026-69555, Exchange Online의 CVE-2026-65801은 인증되지 않은 공격자, 즉 로그인하지 않은 상태의 공격자가 원격에서 권한을 상승시킬 수 있는 결함으로 소개됐습니다.

어떻게 이루어지는가

공개된 보안 공지만으로는 공격의 내부 절차를 알 수 없습니다. 대신 공지를 읽고 권한 상승인지 판단하는 순서를 익힐 수 있습니다.

1. 공격자의 처음 권한을 확인합니다. 계정이 필요한지, 인증 없이도 되는지를 봅니다.
2. 그 결함이 허용하는 권한의 변화를 확인합니다. 공지에 적힌 결함 유형이 단서입니다.
3. 처음 권한과 결과 권한을 비교합니다. 결과 권한이 처음보다 높아졌다면 권한 상승입니다.

예를 들어 위의 Azure Arc 결함은 1번에서 ‘인증 없음’, 3번에서 ‘더 높은 권한’이므로 권한 상승으로 읽힙니다.

하나의 예시로 따라가기

다음은 가상 예시입니다. 어떤 회사의 사내 문서 시스템에 ‘읽기 전용 직원’ 권한으로 로그인한 계정이 있다고 해 봅시다. 이 계정은 문서를 볼 수만 있고 다른 사람의 권한을 바꿀 수는 없습니다.

앞의 3단계를 적용해 봅니다. 1번, 처음 권한은 ‘로그인한 읽기 전용 직원’입니다. 2번, 이 시스템에 결함이 있어 읽기 전용 계정이 관리자에게만 허용된 기능을 실행할 수 있었다고 가정합니다. 3번, 처음에는 읽기만 가능했지만 이제는 관리자에게만 허용된 기능까지 실행할 수 있습니다. 결과 권한이 처음보다 높아졌으므로 이 가상 예시는 권한 상승에 해당합니다.

이제 실제 공지와 비교해 봅시다. 마이크로소프트 Entra ID의 CVE-2026-69836은 권한 상승이 아니라 원격 코드 실행(영문 표기 remote code execution, 줄여서 RCE) 취약점으로 소개됐습니다. 신뢰할 수 없는 데이터의 역직렬화, 곧 저장하거나 전송한 데이터를 프로그램이 다룰 수 있는 형태로 되돌리는 과정에서 권한 없는 공격자가 네트워크를 통해 코드를 실행할 수 있다는 설명이 붙었습니다. Entra ID는 클라우드 기반 신원·접근 관리 서비스이며 이전 이름은 Azure Active Directory(Azure AD)였습니다. 같은 공지 안에서도 결함 유형은 이렇게 나뉘므로, 가상 예시의 3단계를 그대로 적용해 유형을 확인하는 습관이 필요합니다.

언제 쓰고 언제 쓰지 않는가

‘권한 상승’이라는 말은 권한의 경계가 실제로 넘어갈 때만 씁니다. 위 CVE-2026-69836처럼 출처가 원격 코드 실행으로 분류한 결함을 권한 상승이라고 부르면 잘못된 설명이 됩니다.

한계도 알아 두어야 합니다. 첫째, 심각도가 높게 표기된 결함이라도 실제 악용 여부는 따로 확인해야 합니다. 마이크로소프트는 2026년 8월 21일 CVE-2026-69836의 악용 상태를 ‘예’에서 ‘아니오’로 정정하고 실제 환경에서 악용되지 않았다고 밝혔습니다. 이는 표기와 악용이 별개의 항목임을 보여 주는 한 사례이며, 모든 경우에 대한 법칙은 아닙니다.

둘째, 공지의 항목은 나중에 정정될 수 있으므로 가장 최신 안내를 봐야 합니다. 셋째, 사용자가 할 일이 없는 경우도 있습니다. CVE-2026-69836은 마이크로소프트가 이미 조치했고 고객이 추가로 할 일은 없다고 안내됐으며, SecurityWeek 기사에 따르면 다수의 결함도 서버 측에서 완화돼 고객 조치가 필요하지 않았습니다. 다만 이것을 모든 서비스에 적용되는 규칙으로 받아들이면 안 됩니다.

핵심 정리와 확인문제

권한 상승은 원래 허용된 범위를 넘어 더 높은 권한을 갖게 되는 일입니다. 공지를 읽을 때는 처음 권한과 결과 권한을 비교하고, 결함 유형과 악용 여부는 각각 따로 확인합니다.

확인문제 1. 다음 중 권한 상승의 정의에 해당하는 것은 무엇인가요? (가) 데이터가 외부로 빠져나가는 일 (나) 원래 허용된 범위를 넘어 더 높은 권한을 갖게 되는 일 (다) 서비스가 멈추는 일

확인문제 2. 출처에 따르면 Entra ID의 CVE-2026-69836은 어떤 유형으로 소개됐나요?

확인문제 3. 어떤 결함의 심각도가 최고로 표기되어 있다면, 그것만으로 실제 악용이 있었다고 말할 수 있나요?

정답 1. (나)입니다. 해설: 핵심은 권한의 경계를 넘어 더 높은 권한을 갖는다는 점입니다. (가)와 (다)는 권한의 변화가 아니라 다른 결과를 말합니다.

정답 2. 원격 코드 실행(RCE)입니다. 해설: 같은 보안 업데이트 안의 Azure Arc, Exchange Online 결함은 권한 상승으로 소개됐지만, 이 결함은 원격 코드 실행으로 소개됐습니다.

정답 3. 말할 수 없습니다. 해설: 심각도 표기와 악용 여부는 서로 다른 항목입니다. 마이크로소프트는 CVE-2026-69836의 악용 상태를 ‘예’에서 ‘아니오’로 정정했습니다.

참고자료

• 권한 상승 입문 참고자료
• 권한 상승 입문 참고자료
• 권한 상승 입문 참고자료