팔로우 Microsoft는 Microsoft Outlook에서 사용자가 특수하게 조작된 메시지 파일을 열 때 NTLMv2 인증 정보를 노출할 수 있는 적극적으로 악용되는 제로데이 취약점인 CVE-2026-124194를 패치했습니다. Microsoft는 이 문제를 스푸핑 취약점으로 분류하며 CVSS 3.1 점수 6.5로 ‘보통’ 등급으로 평가합니다.
이 취약점은 인증되지 않은 원격 공격자가 악성 메시지 파일을 보내고 피해자가 영향을 받는 Outlook 버전에서 이를 열도록 설득할 수 있습니다. 그 후 Outlook은 사용자가 일반적으로 기대할 수 있는 외부 콘텐츠 경고를 표시하지 않고 공격자가 제어하는 네트워크 위치에 연결할 수 있습니다. 해당 연결 중에 Windows는 NTLMv2 인증 정보를 노출하여 피해자를 가장할 수 있는 잠재적인 위험이 발생할 수 있습니다.
Microsoft는 CVE-2026-124194가 이미 공격에서 악용되었다고 확인했습니다. 하지만 회사는 관련 위협 행위자, 캠페인의 규모, 피해자 조직, 전달 인프라, 또는 탈취된 인증 자료가 후속적인 측면 이동이나 계정 침해에 사용되었는지 여부에 대한 정보를 공개하지 않았습니다.
이 결함은 2026년 11월 Microsoft의 11월 Patch Tuesday 릴리스의 일부로 11월 10일에 해결되었으며, 영향을 받는 제품으로는 Enterprise용 Microsoft 365 Apps, Microsoft Office LTSC 2021, Microsoft Office LTSC 2024가 32비트 및 x64 시스템 모두에 포함됩니다.
CISA는 11월 10일에 이 취약점을 알려진 악용 취약점 목록에 추가했으며, 2026년 11월 24일을 적용 가능한 미국 연방 기관의 수정 마감일로 설정하면서 적극적인 악용의 증거를 확인했습니다.
보안 팀은 SOC Prime의 AI 기반 탐지 인텔리전스 플랫폼을 사용하여 위협 인텔리전스를 운영화하고, 의심스러운 Outlook 및 NTLM 활동을 식별하며, SIEM, EDR, XDR 및 데이터 레이크 환경 전반에서 탐지 엔지니어링 및 위협 사냥을 가속화할 수 있습니다.
Outlook 활동과 예상치 못한 아웃바운드 SMB 연결, 외부 시스템에 대한 NTLM 인증 시도, 의심스러운 메시지 파일 실행 및 이후 자격 증명 또는 신원 악용을 상관시켜 CVE-2026-124194를 탐지하십시오.
모든 CVE에 대해 탐지 콘텐츠가 제공되지 않을 수 있습니다. SOC Prime 플랫폼에서 현재 범위를 확인하십시오. 관련 탐지가 아직 제공되지 않는 경우, 지속적으로 새로운 위협 인텔리전스 및 탐지 콘텐츠가 추가되므로 다시 확인하십시오.
CVE-2026-124194 분석
CVE-2026-124194는 Enterprise용 Microsoft 365 Apps, Microsoft Office LTSC 2021, Microsoft Office LTSC 2024에 영향을 미칩니다. Microsoft는 이 결함에 대해 CVSS 3.1 점수 6.5와 벡터 AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N을 부여하여 원격 접근성, 낮은 공격 복잡성, 공격자 권한 필요 없음, 사용자 상호 작용 필요, 높은 기밀성 영향성을 반영합니다.
이 취약점은 CWE-356, 제품 UI가 사용자에게 안전하지 않은 조치에 대해 경고하지 않는 것으로 분류됩니다. 실질적으로 Outlook은 애플리케이션이 잠재적으로 위험한 외부 콘텐츠에 액세스하기 전에 사용자를 경고해야 하는 경고를 표시하지 않습니다.
공격은 타겟에게 전달된 특수하게 조작된 Outlook 메시지 파일에서 시작됩니다. 공격자가 피해자의 시스템 또는 Microsoft 365 테넌트에 대한 계정을 필요로 하지 않지만, 피해자는 악성 파일을 열어야 합니다. Microsoft는 미리보기 창이 공격 벡터가 아니라고 명시하며, 즉, 메시지를 Outlook의 미리보기에 표시하는 것만으로는 충분하지 않습니다.
파일이 열리면 Outlook은 일반적인 외부 콘텐츠 경고를 표시하지 않고 공격자가 제어하는 네트워크 위치에 연결할 수 있습니다.
이는 Windows 환경이 원격 리소스에 액세스할 때 자동으로 NTLM 인증을 시도할 수 있기 때문에 중요합니다. 이로 인해 발생하는 챌린지-응답 교환은 사용자의 NTLMv2 인증 해시를 원격 서버에 노출할 수 있습니다.
NTLMv2 해시는 사용자의 평문 비밀번호가 아닙니다. 그러나 인증 자료를 소지하면 환경과 공격자의 능력에 따라 몇 가지 후속 위험이 발생할 수 있습니다. BleepingComputer는 캡처된 해시가 오프라인 비밀번호 크랙에 노출될 수 있다고 지적하며, Microsoft의 권고에서는 유출된 인증 정보가 잠재적으로 피해자로 인증하는 데 사용될 수 있다고 경고합니다.
이는 파일 공유, 레거시 애플리케이션, 원격 리소스, 또는 내부 인증 워크플로에 여전히 크게 의존하는 기업 환경에서 이 취약점을 특히 중요하게 만듭니다.
CVSS 점수 6.5는 초기엔 활성화된 제로데이에 대해 상대적으로 얌전한 점수처럼 보일 수 있습니다. 이 점수는 악용이 사용자 상호작용이 필요하고, 주로 기밀성에 영향을 미치며 직접적인 코드 실행 제공, 무결성 손실, 또는 서비스 중단을 초래하지 않는다는 사실을 반영합니다.
그럼에도 불구하고 이미 Microsoft가 악용을 관찰했으며 CISA가 독립적으로 KEV에 취약점을 추가했기 때문에 운영 위험은 상당히 높습니다. 보안 팀은 따라서 수정 촉박성을 판단할 때 CVSS만이 아니라 악용 상태를 우선시해야 합니다.
CVE 기록에는 다음의 영향받은 및 수정된 버전이 식별되어 있습니다:
| 제품 | 영향받는 버전 | 수정 버전 |
| Enterprise용 Microsoft 365 Apps | 적용 가능한 11월 보안 업데이트 이전의 취약한 릴리스 | 현재 Office 보안 릴리스 |
| Microsoft Office LTSC 2021 | 16.0.14334.21048 이전 버전 | 16.0.14334.21048 |
| Microsoft Office LTSC 2024 | 16.0.17932.21140 이전 버전 | 16.0.17932.21140 |
32비트 및 x64 설치 모두가 영향을 받습니다. Microsoft 365 Apps를 사용하는 조직은 서비스 채널마다 빌드 번호가 다르기 때문에 Microsoft의 Office 보안 릴리스 정보를 믿어야 합니다.
Microsoft는 2026년 11월 10일에 CVE-2026-124194를 발표하고 대응 보안 업데이트를 Patch Tuesday를 통해 발표했습니다. 취약점에 대한 수정이 제공되기 전에는 공개적으로 알려지지 않았습니다.
Microsoft는 “nono”라는 별명을 사용하는 연구원과 보안 연구원 Benoît Sevens에게이 문제를 발견하거나 보고한 공로를 인정합니다. SecurityWeek는 Sevens에 대한 Microsoft의 인정이 연구 중 Anthropic의 Claude AI 모델 사용을 참조한다고 언급합니다. 제공된 출처는 취약점이 비공개로 발견 되었거나 처음 보고 된 정확한 날짜를 제공하지 않습니다.
CVE-2026-124194 PoC 지형은 확인된 악용 상태보다 덜 중요하게 남아 있습니다. Microsoft와 공급된 두 가지 보고서는 공개적인 악용 코드나 세부 재현 지침을 제공하지 않습니다. 일부 타사 익스플로잇 수집기는 새로 출판된 개념 입증 자료에 대해 상충되는 신호를 만들어냈으므로, 위험 평가 시 공공 PoC 가용성을 의존해서는 안됩니다. 활성 악용은 이미 Microsoft와 CISA를 통해 독립적으로 확립되었습니다.
CVE-2026-124194 탐지를 위해 방어자들은 엔드포인트와 네트워크 활동을 함께 모니터링해야 합니다. 특히 가치 있는 신호 중 하나는 사용자가 Outlook 메시지 파일을 연 직후 OUTLOOK.EXE가 SMB 트래픽을 외부 또는 이전에 보지 못한 대상지로 전송하는 것입니다.
아웃바운드 TCP 포트 445 트래픽은 특별한 주의가 요구됩니다. Microsoft는 일반적인 깊이 방어 제어로서 SMB 트래픽의 아웃바운드를 차단할 것을 권장하며, 내부 장치들의 SMB 데이터를 외부 호스트로 직접 전송하는 것을 방지할 수 있습니다.
보안 팀은 또한 Applications and Services Logs/Microsoft/Windows/NTLM에서 Microsoft의 NTLM 운영 로그를 검토하고 아웃고잉 NTLM 인증을 감사할 수 있습니다. Microsoft는 원격 서버에 대한 아웃고잉 NTLM 트래픽을 감사하거나 차단하도록 특별히 설계된 정책을 제공합니다.
유용한 행위 기반 사냥 패턴에는 다음이 포함됩니다:
- Outlook이 예상치 못한 외부 SMB 연결을 시작하는 경우.
- 인터넷 대상지를 향한 NTLM 인증 시도.
- 의심스러운 Outlook 활동 직후 내부 서비스에 대한 성공적인 인증.
- 이상한 외부 네트워크 연결과 관련된 메시지 파일 활동.
- 동일하게 손상된 신원을 포함한 반복적인 인증 시도.
- 사용자의 정상 활동과 일치하지 않는 시스템 또는 IP 주소에서의 신규 로그인.
방어자들은 모든 아웃바운드 SMB 또는 NTLM 연결을 악용의 증거로 간주하지 말아야 합니다. 두 기술은 여전히 기업 환경에서 정당하게 존재할 수 있습니다. 가장 강력한 탐지는 Outlook 활동, 대상지 평판, 사용자 상호 작용, NTLM 원격 감시 및 이후 인증 행동을 상관시킬 것입니다.
Microsoft는 관찰된 공격에 연관된 악성 IP 주소, 도메인, 첨부 파일 해시, 발신자 주소 또는 파일 이름과 같은 캠페인별 CVE-2026-124194 IOC를 게시하지 않았습니다. 공격자의 신원과 타겟팅은 여전히 공개되지 않았습니다.
이것은 현재 조직들이 정적 IOC 매칭보다는 행동 기반 사냥을 우선시해야 함을 의미합니다.
CVE-2026-124194 완화
주요 수정 조치는 2026년 11월의 Microsoft Office 보안 업데이트를 즉시 설치하는 것입니다.
Office LTSC 2021 설치는 빌드 16.0.14334.21048 이상으로 업데이트해야 하며, Office LTSC 2024 설치는 16.0.17932.21140 이상으로 실행되어야 합니다. Enterprise용 Microsoft 365 Apps 사용자는 모든 서비스 채널이 해당 현재 보안 릴리스를 받았는지 확인해야 합니다.
악용이 이미 발생하고 있기 때문에, 조직들은 자동 Office 업데이트가 모든 장치에 도달했다고 가정하기보다는 성공적으로 배포되었는지 확인해야 합니다.
관리자는 다음 작업을 수행해야 합니다:
- 관리 엔드포인트 전반에서 Microsoft Outlook 설치를 인벤토리화합니다.
- 11월 보안 업데이트를 받지 못한 Microsoft 365 Apps, Office LTSC 2021, Office LTSC 2024 시스템을 식별합니다.
- 수정된 빌드를 즉시 배포하고 설치를 확인합니다.
- 악용이 활발한 동안 남아 있던 취약한 엔드포인트를 검토합니다.
- 인터넷으로의 불필요한 아웃바운드 SMB 트래픽을 차단합니다.
- 아웃고잉 NTLM 인증을 감사하고 가능한 한 NTLM 사용을 줄입니다.
- 예상치 않은 Outlook-to-network 활동 및 예상치 못한 인증 시도를 조사합니다.
- 사용자에게 신뢰할 수 없는 출처에서 온 예상치 않은 Outlook 메시지 파일이나 첨부 파일을 열지 않도록 교육합니다.
TCP 포트 445에서의 아웃바운드 SMB를 차단하면 추가 보호 계층이 제공됩니다. Microsoft는 인터넷 호스팅 SMB 서비스에 대해 특정한 운영 요구가 없다면 SMB 트래픽이 기업 네트워크를 떠나지 않도록 명시적으로 권장합니다.
조직은 NTLM을 제한하는 것도 고려해야 합니다. Windows는 네트워크 보안: NTLM 제한: 원격 서버로의 아웃고잉 NTLM 트래픽 정책을 제공하며, 이 정책은 먼저 감사 모드로 설정하여 종속성을 식별한 후 관리자가 인증을 차단하기 시작할 수 있습니다.
기업 전반에서 NTLM을 갑자기 비활성화하면 레거시 애플리케이션 및 워크플로가 중단될 수 있습니다. 따라서 조직은 사용을 감사하고, 합법적인 종속성을 식별하고, 필요한 예외를 구현하며, 인증을 Kerberos 또는 다른 강력한 메커니즘으로 점진적으로 이동해야 합니다.
의심스러운 악용이 식별되는 경우, 단지 업데이트를 설치하는 것만으로는 사고를 닫기에 충분하지 않습니다.
보안 팀은 영향을 받은 아이덴티티를 식별하고 의심스러운 메시지 파일이 열린 후에 발생한 인증 활동을 검토해야 합니다. 이상한 SMB 연결, 원격 로그인, 측면 이동, 파일 공유 접근, VPN 인증, 클라우드 로그인 및 영향을 받은 인증정보를 수용하는 기타 서비스 등을 확인하십시오.
인증 정보가 노출되었거나 성공적으로 악용되었다는 증거가 있는 경우, 관련 비밀번호를 재설정하고 조직의 신원-응답 절차에 따라 활성 세션을 취소하십시오. 영향을 받은 계정에 접근 가능한 추가 특권 자격 증명도 조사해야 합니다.
침해가 의심되는 경우 수정 전에 엔드포인트, 프록시, 방화벽, 이메일, EDR 및 신원 로그를 보존해야 합니다. 이러한 소스를 상관시키면 피싱 전달에서 NTLM 공개 및 이후 가능한 인증까지의 순서를 재구성하는 데 도움이 됩니다.
CISA는 11월 10일에 KEV에 취약점을 추가했으며, 관련 연방 기관이 2026년 11월 24일까지 이를 수정하도록 요구합니다. CISA는 알려진 랜섬웨어 캠페인 사용을 알 수 없다고 나열합니다.
FAQ
CVE-2026-124194는 무엇이며 어떻게 작동합니까?
CVE-2026-124194는 Outlook이 잠재적으로 안전하지 않은 외부 콘텐츠 작업을 수행하기 전에 사용자에게 경고하지 않는 것으로 인해 발생하는 Microsoft Outlook 스푸핑 취약점입니다. 공격자는 특수하게 조작된 메시지 파일을 보내고 사용자가 이를 열도록 설득할 수 있습니다. 그런 다음 Outlook은 공격자가 제어하는 네트워크 리소스에 연결하고 예상되는 경고를 표시하지 않은 채 사용자의 NTLMv2 인증 정보를 노출할 수 있습니다.
CVE-2026-124194는 처음 언제 발견되었습니까?
Microsoft는 2026년 11월 10일에 취약점을 공개 발표하고 패치했습니다. 회사는 연구원 “nono”와 Benoît Sevens에게 공로를 인정하지만, 공개된 보고서는 원래 비공개 발견 날짜를 명시하지 않습니다. Microsoft가 수정을 발표하기 전에는 공공적으로 알려지지 않았습니다.
CVE-2026-124194는 시스템에 어떤 영향을 미칩니까?
성공적인 악용은 공격자가 제어하는 서버에 사용자의 NTLMv2 인증 해시를 노출할 수 있습니다. 공격자는 탈취된 인증 정보를 사용해 피해자로 가장하거나, 오프라인 비밀번호 복구를 시도하거나, 손상된 자격 증명을 수용하는 서비스에 무단 접근할 수 있을 가능성이 있습니다. 이 취약점 자체는 직접적인 원격 코드 실행을 제공하지 않습니다.
2026년에 CVE-2026-124194는 여전히 저에게 영향을 미칠 수 있습니까?
예. Microsoft는 적극적인 악용을 확인했으며, CISA는 2026년 11월 10일에 이 취약점을 알려진 악용 취약점 목록에 추가했습니다. 취약한 Outlook 버전을 실행하는 시스템은 해당 Office 보안 업데이트가 설치될 때까지 위험에 노출됩니다.
CVE-2026-124194로부터 자신을 어떻게 보호할 수 있습니까?
Microsoft의 2026년 11월 Office 보안 업데이트를 즉시 설치하고, 영향받은 Outlook 설치가 수정된 빌드를 실행 중인지 확인하며, 불필요한 아웃바운드 SMB 트래픽을 차단하고, 아웃고잉 NTLM 인증을 감사하거나 제한하십시오. 사용자는 또한 신뢰할 수 없는 출처에서 온 스팸 Outlook 메시지 파일을 여는 것을 피해야 합니다. 추가적인 악용 캠페인 정보가 제공될 때까지 보안 팀은 CVE-2026-124194에 대한 Microsoft’s 지침을 계속 모니터링해야 합니다.
