윈도 셸 결함 악용 확인…마이크로소프트, 10월 패치 1,413건

이미 악용된 윈도 셸 결함과 조치 기한

CVE-2026-96951은 이번 업데이트에서 실제 공격에 악용된 것으로 확인된 취약점, 이른바 제로데이다. CVSS 점수는 10점 만점에 8.8이다.

이 결함은 윈도 셸의 보안 기능을 우회해 Mark of the Web 방어를 피할 수 있게 한다. Mark of the Web은 인터넷에서 내려받은 파일에 표식을 붙여 디펜더 스마트스크린과 오피스 보호된 보기 같은 보안 기능에 실행 제한이 필요함을 알리는 장치다.

마이크로소프트는 공격자가 이메일이나 메신저로 조작된 파일을 보낼 수 있다고 설명했다. 다만 악용하려면 사용자가 파일을 열거나 링크를 누르도록 유도해야 한다고 덧붙였다. 이 결함은 후지쓰와 앤트로픽 소속 연구자, 독립 연구자가 각각 신고했다.

CISA는 이 취약점을 KEV 목록에 올렸다. KEV 목록은 미국 정부가 실제 악용이 확인된 취약점만 모아 관리하는 명단이다. 공격 주체와 피해 대상, 구체적인 공격 방식은 공개되지 않았다.

1,413건, 집계 기준으로는 최다 규모

수정 대상은 윈도 1,102건, 오피스 134건, 개발자 도구 61건, 셰어포인트 서버 36건이며 익스체인지 서버와 애저, 디펜더도 포함됐다. 유형별 집계로는 권한 상승이 670건 이상, 원격 코드 실행이 300건 이상, 정보 노출이 250건이다.

테너블의 사트남 나랑은 이번 규모가 종전 기록인 2020년 1,261건을 넘어섰다고 밝혔다. 1,413건 집계를 기준으로 한 기록이며, 전체 건수는 집계 방식에 따라 달라질 수 있다. 2026년 10월 한 달 수정 건수는 2025년 한 해 전체보다 많고, 2026년 누적은 4,000건을 넘었다. 직전 달인 2026년 9월 수정 건수도 약 1,000건으로 통상적인 월간 패치 규모의 약 열 배였다.

패치 공개 전에 외부에 알려진 취약점은 두 건이다. CVE-2026-108398은 .NET 프레임워크 결함으로, Windows Defender Application Control의 제한을 우회해 보호된 프로세스에서 허가되지 않은 코드를 실행할 수 있다. Windows Defender Application Control은 허가되지 않은 프로그램 실행을 막는 기능이다. 사용자 조작이 필요하지 않지만 마이크로소프트는 악용 가능성을 낮게 평가했다. CVE-2026-92707은 비주얼 스튜디오와 .NET의 MessagePack-CSharp 구성요소에 영향을 주는 CVSS 5.3의 서비스 거부 결함으로, 마이크로소프트는 악용 가능성을 평가하지 않았다.

누가 적용받고, 무엇이 남았나

이번 업데이트는 윈도11 26H2의 첫 공식 업데이트이자 윈도11 24H2 홈·프로 에디션의 마지막 지원 업데이트다. 윈도11 23H2 엔터프라이즈·에듀케이션 에디션은 2026년 11월 10일 지원이 끝난다. 지원 종료 이후 추가 보안 업데이트 프로그램에 등록된 윈도10 PC도 이번 패치를 받으며, 마이크로소프트는 윈도10 보안 업데이트 지원을 2027년 10월까지 연장했다. 보안 수정과 함께 파일 탐색기와 블루투스 관련 문제도 손봤고, 코파일럿 키를 다른 동작으로 바꿀 수 있게 됐다.

마이크로소프트는 취약점 발견이 늘어난 배경으로 대규모 언어모델의 기여를 들었다. 또 비슷한 고객 환경 평가가 필요한 CVE를 묶는 ‘리스크 코호트’를 도입하면서, 이는 최종 판단이 아니라 활성 악용 여부와 심각도, 공격 경로, 사용자 상호작용, 제품별 지침을 함께 따져야 하는 출발점이라고 설명했다.

보안 전문가들은 대규모 패치가 기업 보안팀의 사전 검증 부담을 늘린다고 지적했다. 포트라의 타일러 레굴리는 2026년 들어 CISA KEV 목록에 오른 마이크로소프트 취약점이 26건이라며 이를 먼저 처리하라고 제안했다. 제로데이 이니셔티브의 더스틴 차일즈는 AI가 공격과 방어 양쪽의 취약점 탐색을 가속하지만 버그를 새로 만드는 것은 아니며, 단순 CVE 개수보다 악용 가능성을 기준으로 분류해야 한다고 주장했다.