마이크로소프트 10월 패치로 취약점 1,411건 수정…이미 악용된 제로데이도 포함

마이크로소프트가 10월 13일(현지시각) 정기 보안 업데이트 ‘패치 튜즈데이’에서 1,400건이 넘는 보안 취약점을 한꺼번에 수정했다. 블리핑컴퓨터(BleepingComputer)는 1,411건, The Hacker News는 1,413건으로 집계했다. 두 매체 모두 마이크로소프트의 역대 최대 규모로 전했다. 이미 공격에 악용된 윈도우 셸(Windows Shell) 취약점이 포함됐고, 윈도우 11 24H2 홈·프로 에디션은 이번 업데이트를 끝으로 지원이 종료됐다.

같은 패치, 매체마다 다른 숫자

집계 기준에 따라 수치는 조금씩 다르다. 지디넷(ZDNet)은 “실제 수정 건수는 어떤 항목을 세느냐에 따라 달라지지만 1,410건 안팎”이라고 설명했다. 블리핑컴퓨터는 패치 튜즈데이 당일 공개된 취약점만 센다고 밝혔다. 이 기준에서는 같은 달 앞서 수정된 348건이 빠진다. 제외된 항목에는 애저(Azure) 서비스와 마이크로소프트 익스체인지 서버, 마이크로소프트 북킹스 등의 취약점이 포함됐다.

The Hacker News에 따르면 제품별로는 윈도우 1,102건, 오피스 134건, 개발자 도구 61건, 쉐어포인트 서버 36건, SQL 서버 22건이다. 유형별로는 권한 상승 취약점이 670건 넘게 가장 많고 원격 코드 실행이 300건 이상, 정보 노출이 250건가량이다. 블리핑컴퓨터의 분류로는 권한 상승 677건, 원격 코드 실행 317건, 정보 노출 254건, 서비스 거부 73건, 보안 기능 우회 40건, 스푸핑(위장) 28건이다.

심각도 ‘치명적(Critical)’ 등급의 건수도 집계 주체마다 엇갈린다. 블리핑컴퓨터는 70건, The Hacker News는 70건 이상으로 집계했다. 크렙스 온 시큐리티(Krebs on Security)는 최소 78건, 패치 관리업체 액션원은 80건으로 파악했다. 크렙스 온 시큐리티는 이들 대부분이 공격자가 임의 코드를 실행할 수 있는 결함이라고 전했다.

악용된 제로데이와 공개된 취약점

이번 달 가장 눈에 띄는 결함은 CVE-2026-96951이다. 윈도우 셸의 명령어 주입 취약점으로 공식 심각도 점수는 8.8이다. 마이크로소프트는 이 결함이 이미 실제 공격에 악용됐다고 밝혔다. 인증받지 않은 공격자가 네트워크를 통해 보안 기능을 우회할 수 있고, 구체적으로는 ‘웹 표시’ 방어를 피할 수 있다.

액션원은 이 취약점이 위험한 파일로부터 사용자를 보호하는 윈도우의 중요한 방어 수단을 우회하게 한다고 경고했다. 공격자가 조작된 파일을 열게 하거나 악성 콘텐츠와 상호작용하도록 유도하면, 사용자가 기대하는 보안 경고 없이 악성 콘텐츠가 도달할 위험이 커진다는 것이다. 마이크로소프트는 이메일이나 메신저로 조작된 파일을 보내거나 악성 사이트 링크를 누르게 하는 시나리오를 예로 들었다.

악용 방식과 배후, 피해 대상은 알려지지 않았다. 미국 사이버보안·인프라보안국은 이 결함을 알려진 악용 취약점 목록에 추가하고 연방 기관에 10월 16일까지 패치를 적용하라고 요구했다. 마이크로소프트가 밝힌 발견자는 후지쯔의 리쿠 밤바와 유야 추도, 앤트로픽의 브누아 세뱅스, 그리고 ‘yhw’라는 연구자다.

공개된 제로데이는 두 건이다. CVE-2026-108398은 닷넷 프레임워크의 신뢰할 수 없는 검색 경로 취약점으로 CVSS 8.8이다. 윈도우 디펜더 애플리케이션 컨트롤 제한을 우회해 허가되지 않은 프로그램을 실행할 수 있고, 사용자 조작이 필요 없다. 구글 프로젝트 제로의 제임스 포쇼가 발견했다. CVE-2026-92707은 메시지팩-C샵의 서비스 거부 취약점으로 CVSS 5.3이며 발견자는 익명이다.

제로데이 개수는 보도마다 다르다. 블리핑컴퓨터는 악용 1건과 공개 2건을 합쳐 3건으로 센다. 액션원은 2건, 크렙스 온 시큐리티는 이미 악용된 1건만 제로데이로 규정했다. 크렙스 온 시큐리티에 따르면 닷넷 프레임워크 결함은 악용 징후가 없지만 사전 공개된 탓에 공격자가 익스플로잇을 준비할 시간을 벌 수 있다. 이와 별개로 Raw Image Extension의 힙 버퍼 오버플로도 수정됐다. 폴더에서 조작된 RAW 이미지의 썸네일이나 미리보기만 생성돼도 발동할 수 있고 파일을 열 필요는 없다.

AI가 키운 물량, 보안팀은 무엇부터 막나

물량은 해마다 커지는 흐름이다. 크렙스 온 시큐리티는 9월 패치가 1,000건에 가까웠고 이마저 평소 월간 물량의 10배쯤이었다고 전했다. 테너블의 사트남 나랑은 이번 달 수치가 1,261건이던 2020년 기록을 크게 넘었다고 말했다. 그는 “두 달을 남기고 올해 CVE가 4,000건을 넘어섰다”고 했다.

배경으로는 인공지능이 지목된다. 블리핑컴퓨터는 마이크로소프트가 AI 플랫폼으로 보안 취약점을 찾고 고치고 있다고 설명했다. 제로 데이 이니셔티브의 더스틴 칠즈는 “한 번에 수백 건의 CVE가 나오는 일은 예전엔 예외였지만 이제는 기본값”이라고 말했다. 그는 AI가 양쪽 진영에서 버그 사냥을 가속하고 있지만 버그를 없던 곳에서 만들어내지는 않으며 존재와 발견 사이의 시간을 줄일 뿐이라고 했다.

문제는 현장 부담이다. 크렙스 온 시큐리티는 보안 전문가들이 대형 패치가 기업 보안팀에 추가 부담을 준다고 경고해 왔다고 전했다. 보안팀은 배포 전에 업데이트를 하나씩 테스트해야 하는 경우가 많다. 포트라의 타일러 레글리는 올해 CISA KEV 목록에 오른 마이크로소프트 취약점이 26건뿐이라며 이 26건을 먼저 패치하라고 조언했다. 라피드7의 애덤 바넷은 물량이 적던 시절이라면 각각 더 주목받았을 우려스러운 취약점이 이제 여럿 섞여 있다고 짚었다.

마이크로소프트도 대응책을 내놨다. 관련 취약점을 묶어 ‘리스크 코호트’라는 그룹으로 분류하는 시험적 방식이다. 10월에는 15개 코호트가 공개됐다. 윈도우 파일시스템·스토리지·백업 136건, 오피스 문서·메일 클라이언트 135건, 그래픽·미디어·콘텐츠 처리 131건, 코어·커널 권한 경계 109건, 설치·배포·업데이트 서비스 103건이 상위 5개다. 마이크로소프트는 코호트 규모가 위험도를 뜻하지는 않으며 실제 위험은 악용 여부와 심각도, 조직의 소프트웨어 사용 방식에 달렸다고 강조했다.

지원 종료 앞둔 에디션과 업데이트 내용

마이크로소프트는 10월 13일 윈도우 11 24H2 홈·프로와 윈도우 10 엔터프라이즈 LTSB 2016의 업데이트 제공이 끝났다고 밝혔다. 10월 보안 업데이트가 이들 에디션이 받는 마지막 업데이트다. 지디넷에 따르면 윈도우 11 26H2에는 첫 정식 업데이트다. 24H2 사용자는 설정의 윈도우 업데이트에서 26H2 업그레이드 안내를 확인해야 한다. 23H2 엔터프라이즈·에듀케이션 에디션은 다음 달 10일 지원이 끝난다.

윈도우 10도 당장 끝나지는 않는다. 크렙스 온 시큐리티에 따르면 마이크로소프트는 당초 2025년 10월에 윈도우 10 업데이트를 멈출 계획이었지만 반발로 1년 무료 업데이트를 추가했다. 이후 몇 달 전 지원을 한 해 더 늘려 2027년 10월까지 이어진다. 확장 보안 업데이트 가입 PC는 이번 패치를 받는다. KB5126657을 설치하면 윈도우 10은 빌드 19045.7807, 엔터프라이즈 LTSC 2021은 19044.7807이 된다.

기능 변경도 있다. 지디넷에 따르면 파일 탐색기는 미리 보기 창에서 내려받은 파일을 더 쉽게 볼 수 있고 섹션의 펼침·접힘 상태를 기억한다. 클라우드 파일의 세부 정보 창 썸네일도 안정적으로 표시된다. 블루투스 기기의 정확도와 안정성이 개선됐고 코파일럿 키를 오른쪽 Ctrl 키나 우클릭 메뉴로 바꾸는 설정도 추가됐다.

윈도우 10 업데이트에는 ReFS 외장 저장장치 감사·정책 제어, 스토리지 스페이스 다이렉트 가상 디스크 오프라인 문제 수정, 파일 히스토리 백업 오류 수정이 담겼다. 보안 부팅 인증서 갱신 배포도 이어진다. 알려진 문제도 남아 있다. 9월 보안 업데이트 이후 일부 USB 오디오 클래스 1.0 기기에서 코드 10 오류와 소리 출력 중단이 보고됐다. 마이크로소프트가 9월 14일 긴급 업데이트로 8채널·3D 오디오 문제를 일부 고쳤지만 다른 문제는 해결되지 않았고 추가 수정을 준비 중이다.