팔로우 마이크로소프트는 높은 심각도의 Windows Shell 보안 기능 우회 취약점인 CVE-2026-96951을 수정하였으며, 이는 실제 공격에서 이미 악용되고 있습니다. 이 취약점은 CVSS 점수 8.8을 가지고 있으며, 인증되지 않은 공격자가 피해자가 특수하게 조작된 파일과 상호작용하도록 설득함으로써 Mark of the Web (MOTW) 보호를 우회할 수 있게 합니다.
제로데이는 마이크로소프트의 2026년 10월 패치 화요일의 일부로 해결되었으며, 이는 Windows, Office, SharePoint Server, SQL Server, 개발 도구 및 기타 마이크로소프트 제품 전반에 걸쳐 1,400개 이상의 취약점을 다루는 대규모 보안 릴리스입니다. CVE-2026-96951은 마이크로소프트가 실제 환경에서의 악용을 확인했기 때문에 두드러집니다.
Mark of the Web은 인터넷이나 이메일과 같은 잠재적으로 신뢰할 수 없는 위치에서 유래한 파일을 표시하는 기본적인 Windows 보안 메커니즘입니다. Windows 및 응용 프로그램은 이 정보를 사용하여 보안 경고를 표시하거나, 보호된 보기를 활성화하거나, 잠재적으로 위험한 내용이 실행되기 전에 추가 제한을 적용할 수 있습니다.
이 보호를 우회할 수 있는 취약점은 피싱 및 악성 파일 전달을 완화하기 위해 일반적으로 의존하는 여러 방어 계층을 약화시킬 수 있습니다.
보안 팀은 SOC Prime의 AI-Native Detection Intelligence Platform을 통해 신흥 악용에 대한 방어를 강화할 수 있으며, 이는 조직이 위협 정보를 운영화하고 보안 스택 전체에 관련 탐지 콘텐츠를 적용할 수 있게 합니다.
Prime Architect는 방어자가 신흥 위협을 조사하고, 탐지 논리를 생성 및 개선하며, 지표를 검색 쿼리로 변환하고, 탐지를 조직의 원격 측정에 맞추는 것을 도와 탐지 엔지니어링을 더욱 가속화할 수 있습니다.
CVE-2026-96951 분석
CVE-2026-96951은 Windows Shell에 영향을 미치며, 명령에서 사용되는 특수 요소의 부적절한 중화로 인해 발생하며, 이는 CWE-77 명령 주입으로 분류됩니다. 마이크로소프트는 이 취약점이 네트워크를 통해 보안 기능을 우회할 수 있게 한다고 설명합니다.
마이크로소프트는 이 결함에 AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H 벡터로 CVSS 3.1 점수 8.8을 부여했습니다. 이는 원격으로 악용이 시작될 수 있으며, 낮은 공격 복잡성과 사전 권한이 필요하지 않지만 사용자 상호작용이 필요함을 의미합니다. 성공적인 악용은 기밀성, 무결성 및 가용성에 높은 잠재적 영향을 미칠 수 있습니다.
위험에 처한 보안 제어는 Mark of the Web입니다. Windows가 인터넷이나 다른 신뢰할 수 없는 소스에서 파일을 수신할 때, MOTW 메타데이터는 일반적으로 파일이 신뢰할 수 없는 환경 외부에서 유래되었음을 신호합니다. 그러면 Windows 보안 기능과 응용 프로그램이 열거나 실행하기 전에 추가 보호를 적용할 수 있습니다.
마이크로소프트에 따르면, 성공적인 악용은 공격자가 이러한 MOTW 방어를 회피할 수 있게 합니다. 이메일이나 인스턴트 메시징 시나리오에서 공격자는 특수하게 조작된 악성 파일을 보내고 타겟을 열도록 설득할 수 있습니다. 또는 위협 행위자는 공격자 제어 웹사이트로 피해자를 유인하고 악성 콘텐츠를 다운로드하여 보도록 설득할 수 있습니다.
공격자는 피해자가 자동으로 악성 콘텐츠를 열도록 강제할 수 없습니다. 사용자 상호작용이 필요하기 때문에 피싱, 사회 공학, 악성 첨부파일 및 속이는 링크가 배포 경로로 작용할 가능성이 높습니다.
CVE 기록에서는 Windows 10, 다수의 Windows 11 릴리스 및 2012 R2에서 2025까지의 Windows Server 에디션을 포함한 넓은 범위의 영향을 받은 Windows 환경을 식별합니다. 마이크로소프트의 기록 또한 관련 서비스 측 수정을 받기 전의 Outlook.com을 영향을 받은 애플리케이션으로 나열합니다.
이 취약점은 특히 기업 환경에서 중요합니다. MOTW를 우회하면 피싱 캠페인을 통해 전달되는 파일을 막기 위한 보안 계층을 약화시킬 수 있기 때문입니다. 악성 파일이 예상되는 경고나 제한을 피할 수 있다면, 콘텐츠 및 이후 공격 체인에 따라 추가 페이로드 실행이 더 쉬워질 수 있습니다.
마이크로소프트는 공격자들이 패치가 공개되기 전에 이미 이 취약점을 악용하고 있었다고 확인하였으며, 이는 제로데이에 해당합니다. 하지만 회사는 누가 공격을 수행했는지, 어떤 조직이 목표였는지, 관찰된 사건에서 사용된 정확한 악용 체인을 공개하지 않았습니다.
마이크로소프트는 후지쯔의 리쿠 밤바, 유야 추도, Anthropic의 클라우드와 함께하는 베누아 세븐스, 그리고 보안 연구원 yhw에게 취약점 보고를 인정했습니다. 정확한 최초 발견 날짜는 공개적으로 알려지지 않았습니다.
작성 시점에는 주요 출처에서 공개적으로 사용 가능한 CVE-2026-96951 PoC가 문서화되지 않았습니다. 그럼에도 불구하고, 확인된 악용은 공개적 악용 코드가 없더라도 패칭의 긴급성을 크게 높입니다.
CVE-2026-96951 탐지를 위해 방어자들은 이메일, 메시징 플랫폼, 브라우저 및 사용자 다운로드 디렉토리에서 발생하는 의심스러운 파일을 모니터링하여 정상적인 MOTW 보호가 적용되지 않았을 가능성을 나타내는 후속 활동을 조사해야 합니다.
잠재적인 행동 신호에는 Windows 탐색기나 문서 처리 응용 프로그램에 의해 생성된 예기치 않은 하위 프로세스, 다운로드된 콘텐츠에서 시작된 스크립트 인터프리터, 임시 또는 사용자 작성 가능 디렉토리에서의 비정상적인 실행, 예상 파일 형식과 일치하지 않는 사후 활동이 포함될 수 있습니다.
CVE-2026-96951 완화
마이크로소프트는 2026년 10월 13일 보안 업데이트를 통해 이 취약점을 해결했습니다. 조직은 지원되는 Windows 엔드포인트 및 서버 전반에 걸친 배포를 우선시해야 하며, 특히 이메일 첨부 파일, 인스턴트 메시징, 웹 다운로드 및 기타 일반적인 피싱 배달 벡터에 노출된 시스템을 중점적으로 보호해야 합니다.
CVE 기록에서는 영향을 받는 플랫폼 전반에 걸쳐 패치된 빌드 임계를 나열합니다. 예로는 Windows 11 23H2 빌드 22631.7652, Windows 11 24H2 빌드 26100.9711, Windows 11 25H2 빌드 26200.9711, Windows Server 2025 빌드 26100.33650이 있습니다. 관리자는 각 지원 운영 체제에 대한 적절한 업데이트를 결정하기 위해 마이크로소프트의 보안 업데이트 가이드와 Windows 업데이트 메커니즘을 참조해야 합니다.
적극적인 악용이 이미 확인되었기 때문에 CISA는 CVE-2026-96951을 2026년 10월 13일 알려진 악용 취약점 카탈로그에 추가하였으며, 관련 미국 연방 시민 기관에 대한 교정 마감일은 10월 16일로 설정되었습니다. CISA는 악용을 활발한 것으로, 잠재적인 기술적 영향을 총체적인 것으로 특징짓습니다.
조직들은 패치되지 않은 시스템에 대해 사용자 인식이나 MOTW 자체를 보완적 통제 수단으로 간주해서는 안 됩니다. 이 취약점은 특히 해당 보안 경계를 무력화하기 때문입니다. 애플리케이션 제어, 공격 표면 감소 정책, 이메일 첨부 필터링, 엔드포인트 보호 및 사용자 작성 가능 위치에서의 실행 파일 또는 스크립트 콘텐츠에 대한 제한과 같은 추가 보호 조치는 심층 방어를 제공할 수 있습니다.
CVE-2026-96951 악용을 탐지하기 위해 방어자들은 외부 소스에서 획득한 콘텐츠가 예상된 MOTW 관련 제어 없이 실행되었는지 여부를 확인하기 위해 의심스러운 파일 전송 이벤트와 이후 프로세스 활동을 상관시키는 것이 필수적입니다. 이메일 게이트웨이, 브라우저, Windows 프로세스 생성, PowerShell, 스크립트 인터프리터 및 엔드포인트 원격 측정이 유용한 컨텍스트를 제공할 수 있습니다.
보안 팀은 또한 패치 배포 이전에 관찰된 잠재적으로 의심스러운 첨부 파일이나 다운로드를 소급 조사해야 합니다. 마이크로소프트가 파일 해시, 도메인 또는 관찰된 악용과 연관된 IP 주소와 같은 공격 특정 CVE-2026-96951 IOC를 공개적으로 제공하지 않았기 때문에, 행위 기반 탐지 및 공격 체인 상관이 현재로서는 정적 인디케이터 매칭보다 더 신뢰할 만합니다.
심각한 활동을 식별한 조직은 영향을 받은 엔드포인트를 격리하고, 페이로드 실행 및 지속성을 조사하며, 손상된 사용자 컨텍스트에서 접근 가능한 자격을 검사하고, 공격자가 MOTW를 우회한 후 추가 접근을 수립했는지 여부를 결정해야 합니다.
SOC Prime의 AI-Native Detection Intelligence Platform은 보안 팀이 신흥 취약성에 대한 위협 사냥 및 탐지 엔지니어링을 가속화하고, 관련 탐지 논리를 SIEM, EDR, XDR 및 데이터 레이크 환경에 적응시킬 수 있도록 합니다.
FAQ
CVE-2026-96951이란 무엇이며 어떻게 작동합니까?
CVE-2026-96951은 Windows Shell에서 Mark of the Web 보호를 우회할 수 있게 하는 명령 주입 취약점으로 적극적으로 악용되고 있습니다. 공격자는 악성 콘텐츠를 조작하고, 사회 공학을 통해 피해자를 파일을 열거나 공격자 제어 콘텐츠를 방문하도록 설득할 수 있습니다. 성공적인 악용은 Windows가 신뢰할 수 없는 위치에서 유래한 파일과 일반적으로 연결된 보안 보호를 적용하지 않게 만듭니다.
CVE-2026-96951은 언제 처음 발견되었습니까?
마이크로소프트는 정확한 최초 발견 날짜를 공개하지 않았습니다. 이 취약점은 2026년 10월 13일에 공개적으로 발표되고 패치되었습니다. 마이크로소프트는 후지쯔의 리쿠 밤바, 유야 추도, Anthropic의 클라우드와 함께하는 베누아 세븐스, 그리고 연구원 yhw에게 이 문제의 보고를 인정했습니다.
CVE-2026-96951이 시스템에 미치는 영향은 무엇입니까?
성공적인 악용은 공격자가 Mark of the Web을 우회할 수 있게 하여 신뢰할 수 없는 소스에서 획득한 파일에 적용되는 보호를 약화시킬 수 있습니다. 이는 악성 콘텐츠가 예상된 경고 및 제한을 피하고, 후속 악성 코드 실행, 자격 증명 도난, 지속성 또는 더 넓은 시스템 손상을 용이하게 할 수 있습니다. 마이크로소프트는 이 취약점을 CVSS 8.8로 평가합니다.
2026년에도 CVE-2026-96951이 여전히 영향을 미칠 수 있습니까?
네. 2026년 10월 보안 업데이트를 설치하지 않은 Windows 시스템은 여전히 취약할 수 있습니다. 위협은 특히 마이크로소프트가 적극적인 악용을 확인했고 CISA가 알려진 악용 취약점 카탈로그에 이 결함을 추가했기 때문에 긴급합니다.
CVE-2026-96951로부터 자신을 보호하려면 어떻게 해야 합니까?
영향을 받는 Windows 시스템에 마이크로소프트의 2026년 10월 보안 업데이트를 신속히 설치하세요. 또한 조직은 이메일 및 웹 필터링을 강화하고, 의심스러운 다운로드된 콘텐츠 실행을 제한하며, 파일 전달 후 발생하는 비정상적인 프로세스 체인을 모니터링하고, 잠재적으로 영향을 받은 엔드포인트를 조사해야 합니다. 관리자는 마이크로소프트의 자문을 계속 모니터링하여 CVE-2026-96951에 대한 현실적 악용에 대한 업데이트된 세부 정보를 확인해야 합니다.
