Windows 제로데이 2건이 악용 중…업데이트 수보다 먼저 볼 CVE

Microsoft가 2026년 9월 8일 보안 업데이트를 공개하고 실제 공격에 악용된 Windows 제로데이 두 건을 수정했다. Microsoft의 9월 보안 업데이트 기록 에 포함된 핵심 취약점은 Windows Update Stack의 CVE-2026-81963과 Windows Advanced Local Procedure Call(ALPC)의 CVE-2026-85880이다.

두 취약점은 외부에서 곧바로 시스템에 침입하는 원격 코드 실행 결함이 아니라, 장비에서 이미 낮은 권한으로 코드를 실행할 수 있는 공격자가 SYSTEM 권한까지 올라가는 로컬 권한 상승 문제다. 따라서 이번 업데이트에서는 전체 취약점 수보다 두 CVE의 악용 상태와 각 장비에서 초기 접근이 일어날 가능성을 먼저 봐야 한다.

966건과 972건보다 분명한 신호는 ‘악용 확인’이다

이번 보안 업데이트의 취약점 총계는 집계한 곳에 따라 다르다. BleepingComputer의 당일 집계 는 966건이며, 9월 초 별도로 수정된 Azure·Edge·Entra ID·Power Automate 등의 취약점 204건은 이 숫자에서 제외했다고 설명한다.

CrowdStrike는 같은 날 발표분을 972개 CVE로 계산했다. 공개된 두 자료만으로 여섯 건의 차이를 항목별로 완전히 대조할 수는 없다. 패치 총계에는 집계 시점, 제품 범위, 이미 공개되거나 다른 제품에서 처리된 CVE를 포함하는 방식이 영향을 주므로 운영 보고서에는 숫자와 함께 사용한 기준을 밝혀야 한다.

그러나 두 집계가 전달하는 긴급 신호는 같다. 실제 공격에 사용된 Windows 제로데이는 CVE-2026-81963과 CVE-2026-85880 두 건이다. 총계는 월간 배포 규모를 보여주지만, 악용 확인 여부는 공격자가 이미 해당 경로를 사용하고 있다는 별도의 우선순위 근거다.

CVE-2026-81963은 Update Stack의 권한 경계를 넘는다

CVE-2026-81963은 Windows Update Stack이 파일에 접근하기 전에 링크를 해석하는 과정에서 발생하는 권한 상승 취약점이다. 낮은 권한의 로컬 공격자가 이 문제를 악용하면 SYSTEM 권한에 도달할 수 있으며, 사용자 상호작용은 필요하지 않다.

여기서 ‘로컬’은 공격자가 장비 앞에 물리적으로 있어야 한다는 뜻이 아니다. 공격자는 피싱, 악성 파일, 브라우저 취약점이나 탈취 계정 등 다른 경로로 대상 장비에서 코드를 먼저 실행해야 한다. CVE-2026-81963은 그 초기 침투 이후 제한된 권한을 운영체제 최고 수준으로 끌어올리는 후속 단계에 해당한다.

이 조건 때문에 인터넷 노출 여부만으로 우선순위를 정해서는 부족하다. 이메일과 외부 파일을 많이 처리하는 사용자 PC, 관리자 계정이 사용되는 워크스테이션, 여러 사용자가 코드를 실행할 수 있는 Windows 시스템처럼 초기 실행 기회와 권한 상승의 파급력이 함께 큰 장비가 먼저 검토 대상이 된다.

CVE-2026-85880은 AppContainer 밖으로 이어지는 ALPC 결함이다

CVE-2026-85880은 Windows 프로세스 간 통신에 쓰이는 ALPC의 힙 기반 버퍼 오버플로다. 낮은 권한의 AppContainer 안에서 코드를 실행하는 공격자가 결함을 작동시키면 격리 경계를 벗어나 SYSTEM 권한으로 상승할 수 있다.

CrowdStrike의 기술 분석 은 두 취약점을 모두 CVSS 7.8의 ‘중요’ 등급으로 분류하고 실제 악용이 확인됐다고 정리한다. 분석에 따르면 CVE-2026-81963은 낮은 로컬 권한, CVE-2026-85880은 AppContainer 내부의 코드 실행을 전제로 하며 두 경우 모두 추가 사용자 조작 없이 SYSTEM 권한에 도달할 수 있다.

AppContainer는 브라우저나 격리 애플리케이션 프로세스가 손상되더라도 권한과 접근 범위를 제한하는 방어 경계다. 따라서 CVE-2026-85880은 최초 침입 수단이라기보다 이미 샌드박스 안에 들어온 공격 코드가 더 높은 권한을 얻는 연결 고리가 될 수 있다. 반대로 이 결함 하나만으로 인증되지 않은 외부 공격자가 Windows 서버에 바로 진입할 수 있다고 해석해서도 안 된다.

두 CVE의 조건을 분리하면 패치 순서가 보인다

두 취약점은 최종적으로 SYSTEM 권한 상승을 허용하지만 영향 구성요소와 공격 전제가 다르다. 운영 우선순위는 CVSS 점수만으로 나누기보다 실제 악용 상태, 낮은 권한 코드가 실행될 가능성, 장비가 가진 관리 권한과 침해 확산 범위를 함께 반영해야 한다.

• CVE-2026-81963: Windows Update Stack의 링크 처리 문제다. 낮은 권한의 로컬 코드 실행이 선행돼야 하며 성공하면 SYSTEM 권한을 얻을 수 있다. 외부 파일을 처리하는 사용자 PC와 높은 권한의 운영 작업이 이뤄지는 관리용 Windows 장비에서 적용 여부를 우선 확인한다.
• CVE-2026-85880: Windows ALPC의 힙 기반 버퍼 오버플로다. AppContainer 안에서 실행 중인 낮은 권한의 코드가 격리를 벗어나 SYSTEM 권한으로 상승할 수 있다. 브라우저와 문서 처리 프로그램 등 샌드박스가 중요한 방어층인 클라이언트를 우선 검토한다.
• 서버: 원격 사용자 세션, 애플리케이션 실행이나 관리 자동화 때문에 비관리자 코드가 실행될 수 있는 서버를 앞세운다. 침해 징후가 있거나 외부 노출 서비스와 연결된 서버도 후순위로 미루기 어렵다.
• 클라이언트: 이메일 첨부파일, 웹 콘텐츠와 외부 협력사 파일을 자주 다루는 PC를 먼저 배포군에 넣는다. 관리자 워크스테이션은 권한 상승 이후의 피해 범위가 클 수 있어 별도 우선군으로 관리할 필요가 있다.
• 적용 확인: 자산별 Windows 버전과 빌드, 해당 누적 업데이트의 설치 성공 여부와 필요한 재부팅 완료 여부를 함께 확인한다. 관리 도구의 설치 표시만이 아니라 실제 장비가 목표 빌드에 도달했는지도 대조한다.

두 제로데이를 먼저 확인한다는 것이 이번 달의 다른 취약점을 뒤로 미뤄도 된다는 뜻은 아니다. 인증 없이 네트워크에서 도달할 수 있는 원격 코드 실행 결함이 노출된 서버는 별도의 긴급 배포 대상이 될 수 있다. 두 제로데이에 대해서는 ‘악용 확인’과 ‘초기 로컬 실행 필요’라는 두 조건을 자산 노출도에 겹쳐 보는 것이 핵심이다.

공격 주체와 침투 경로는 아직 공개되지 않았다

공개된 정보로 확인되는 범위는 두 CVE가 실제 공격에 악용됐고, 낮은 권한의 로컬 코드 실행 이후 SYSTEM 권한 상승에 사용될 수 있다는 점까지다. CVE-2026-81963은 Update Stack의 링크 처리, CVE-2026-85880은 ALPC의 힙 기반 버퍼 오버플로와 관련된다.

반면 공격 조직, 최초 침투 수단, 피해 업종과 지역, 공격 규모는 공개되지 않았다. 구체적인 악용 절차도 알려지지 않았으므로 특정 공격 도구나 캠페인을 두 취약점과 연결해 단정할 근거는 없다.

현재 운영자가 확실하게 적용할 수 있는 판단 기준은 총 취약점 숫자가 아니라 두 CVE의 악용 상태, 장비별 초기 코드 실행 가능성, SYSTEM 권한 획득 뒤의 피해 범위다. 이후 영향 제품이나 업데이트 정보가 수정될 수 있으므로 Microsoft의 개별 CVE 항목과 실제 배포 결과를 기준으로 적용 상태를 계속 대조해야 한다.

함께 읽기:

• Adobe Commerce 제로데이 패치 공개…암호화 키만 바꾸면 부족하다
• AI 코딩 에이전트 7종이 업데이트 훅에 뚫렸다…모델은 공격을 못 본다