핵심 POINT
Microsoft의 2026년 9월 보안 업데이트에는 실제 공격에서 악용된 Windows 권한 상승 취약점 CVE-2026-81963과 CVE-2026-85880이 포함됐습니다.
두 취약점은 모두 CVSS 7.8의 Important 등급이지만, 성공적으로 악용될 경우 SYSTEM 권한 상승으로 이어질 수 있어 이미 침투한 공격자의 후속 공격 단계에서 위험도가 커질 수 있습니다.
기업은 단순히 ‘업데이트 설치 완료’만 확인하지 말고 중요 자산 우선순위, 재부팅 상태, 실제 빌드 반영 여부, 패치 전후 이상 징후와 업무 기능까지 함께 검증해야 합니다.
Windows 보안 업데이트는 매월 반복되는 정기 작업처럼 보이지만, 실제 공격에 악용 중인 취약점이 포함된 달에는 대응 우선순위를 다르게 잡을 필요가 있습니다. 이번 9월 업데이트도 마찬가지입니다. Microsoft는 2026년 9월 보안 업데이트를 통해 다수의 취약점을 수정했고, 이 가운데 Windows Update Stack의 CVE-2026-81963과 Windows Advanced Local Procedure Call(ALPC)의 CVE-2026-85880은 실제 공격에서 악용된 제로데이로 공개됐습니다.
두 취약점은 모두 원격에서 바로 시스템을 장악하는 유형은 아닙니다. 공격자가 먼저 낮은 권한으로 Windows 시스템에 접근한 뒤 더 높은 권한을 얻는 데 악용할 수 있는 로컬 권한 상승 취약점입니다. 그렇기 때문에 ‘외부에 직접 노출된 서버가 아니면 괜찮다’고 보기 어렵습니다. 피싱, 계정 탈취, 악성코드 실행 등 다른 초기 침투 경로와 결합될 경우 공격자가 SYSTEM 권한까지 올라가는 후속 단계에 활용될 수 있습니다.
이번 글에서는 취약점 숫자 자체보다 기업 운영자가 실제로 확인해야 할 부분에 초점을 맞춥니다. 어떤 취약점이 실제 악용되고 있는지, 어느 Windows 자산을 먼저 패치해야 하는지, 적용 후 무엇을 검증해야 하는지를 순서대로 살펴보겠습니다.
■ 9월 Windows 업데이트, 먼저 볼 것은 ‘실제 악용 중’ 2건
출처: AI(ChatGPT) 생성 이미지
Tenable과 Rapid7의 9월 Patch Tuesday 분석에 따르면 Microsoft는 이번 업데이트에서 실제 악용이 확인된 제로데이 2건을 수정했습니다. 하나는 CVE-2026-81963, 다른 하나는 CVE-2026-85880입니다. 두 취약점 모두 CVSS 7.8이며 Microsoft 분류상 Important 등급으로 안내됐습니다.
CVSS 점수가 9점대가 아니라고 해서 우선순위가 낮은 것은 아닙니다. 패치 우선순위에서는 점수뿐 아니라 실제 악용 여부, 공격에 필요한 권한, 영향을 받는 자산 범위, 다른 공격 단계와 결합될 가능성을 함께 봐야 합니다. 이번 두 취약점은 실제 공격에서 악용됐다는 점 때문에 일반적인 Important 취약점과 같은 순서로 미루기 어렵습니다.
특히 기업 환경에서 Windows 클라이언트와 서버는 사용자 계정, 업무 애플리케이션, 인증 정보, 파일 공유, 관리 도구와 연결돼 있습니다. 공격자가 초기 침투에 성공한 이후 높은 권한을 확보하면 보안 제품 우회, 자격 증명 접근, 시스템 설정 변경 등 후속 행위가 쉬워질 수 있습니다. 따라서 이번 업데이트는 ‘정기 패치’가 아니라 현재 악용 중인 권한 상승 경로를 차단하는 작업으로 보는 편이 적절합니다.
■ CVE-2026-81963, Windows Update Stack에서 SYSTEM 권한 상승 가능
CVE-2026-81963은 Windows Update Stack의 권한 상승 취약점입니다. 공개된 설명에 따르면 파일 접근 전에 링크를 적절히 해석하지 못하는 link following 문제가 원인으로 분류됩니다. 공격자가 이미 낮은 권한으로 시스템에 접근한 상태라면 이 문제를 악용해 권한을 SYSTEM 수준으로 높일 수 있습니다.
여기서 중요한 점은 취약한 구성요소가 Windows의 업데이트 처리와 관련된다는 사실보다, 실제 공격 조건입니다. 이 취약점은 네트워크에서 인증 없이 바로 실행되는 원격 코드 실행 취약점이 아니라 로컬 권한 상승 취약점입니다. 즉 공격자는 먼저 시스템 안에서 코드를 실행할 수 있는 위치를 확보해야 합니다.
하지만 이 조건이 위험을 낮춰주는 것은 아닙니다. 실제 침해사고에서는 초기 접근과 권한 상승이 서로 다른 취약점이나 공격 기법으로 연결되는 경우가 많습니다. 사용자 계정 탈취나 악성 파일 실행 이후 낮은 권한에서 시작한 공격자가 SYSTEM 권한을 얻는 데 활용할 수 있기 때문에, 이미 악용 중이라는 사실을 기준으로 우선 패치 대상에 포함해야 합니다.
■ CVE-2026-85880, ALPC 메모리 손상이 권한 상승으로 이어질 수 있습니다
출처: AI(ChatGPT) 생성 이미지
CVE-2026-85880은 Windows Advanced Local Procedure Call(ALPC)의 권한 상승 취약점입니다. ALPC는 Windows 내부에서 프로세스 간 통신을 지원하는 핵심 메커니즘 중 하나입니다. Rapid7과 Tenable 분석에서는 이 취약점이 메모리 처리 과정의 문제를 통해 공격자가 SYSTEM 권한으로 상승할 수 있는 유형으로 설명됩니다.
이 역시 초기 침투 그 자체보다는 공격자가 내부에서 권한을 확대하는 단계와 관련이 있습니다. 따라서 기업의 대응 범위를 인터넷 노출 서버에만 한정해서는 안 됩니다. 일반 사용자 단말, 관리자 단말, 원격접속 단말처럼 공격자가 사용자 세션을 먼저 확보할 가능성이 있는 자산도 함께 확인해야 합니다.
특히 관리자 도구나 여러 시스템에 접근할 수 있는 단말이 취약한 상태라면 권한 상승 이후의 영향 범위가 더 커질 수 있습니다. 동일한 CVE라도 자산의 역할에 따라 위험도가 달라지므로, 단순한 자산 수 기준보다 업무 중요도와 권한 수준을 함께 반영해 패치 순서를 정하는 것이 좋습니다.
■ 제품명보다 실제 Windows 자산과 업데이트 상태를 먼저 확인
이번 두 취약점의 영향 여부를 판단할 때는 ‘우리 회사가 Windows를 사용한다’는 수준에서 끝내지 말고 실제 자산 목록을 기준으로 확인해야 합니다. 클라이언트와 서버의 Windows 버전, 지원 상태, 설치된 누적 업데이트, 재부팅 완료 여부를 함께 확인하는 것이 기본입니다.
운영팀이 특히 놓치기 쉬운 대상은 평소 패치 관리 주기에서 벗어나 있는 자산입니다. 장기 미사용 단말, 개발·검증 PC, 현장 운영 단말, 외부에서 접속하는 노트북, 재부팅이 어려운 업무 단말, 특정 애플리케이션 호환성 때문에 업데이트가 지연된 서버 등이 여기에 해당합니다.
또한 자산관리 시스템상 ‘업데이트 배포 성공’으로 표시되더라도 실제 OS 빌드가 반영됐는지까지 확인하는 편이 안전합니다. 업데이트 설치 후 재부팅이 필요한 환경에서는 배포 성공과 패치 적용 완료가 서로 다른 상태일 수 있기 때문입니다.
■ 패치 전후 운영팀이 확인할 5가지
출처: AI(ChatGPT) 생성 이미지
1. 영향 자산과 지원 상태 확인
Windows 클라이언트와 서버를 구분하고 현재 OS 버전, 업데이트 채널, 지원 종료 여부를 확인합니다. 운영계뿐 아니라 개발·검증·현장·재택·외부접속 단말까지 포함해 자산 목록에 누락된 시스템이 없는지 살펴봅니다.
2. 중요도에 따라 패치 우선순위 구분
모든 자산을 같은 순서로 처리하기보다 관리자 단말, 원격접속 단말, 인증·관리 시스템과 연결된 서버, 중요 업무 시스템처럼 권한 수준과 업무 영향이 높은 자산을 우선합니다. 실제 악용이 확인된 취약점인 만큼 정기 패치 주기가 길게 남아 있더라도 별도 긴급 변경 창을 검토할 수 있습니다.
3. 변경·재부팅 계획과 업무 영향 준비
패치 적용 전 백업 또는 복구 가능 상태, 재부팅 가능 시간, 주요 서비스 중단 영향, 애플리케이션 호환성 검증 담당자를 정리합니다. 특히 서버는 업데이트 성공 여부만 보고 재부팅을 미루면 실제 패치 적용 상태와 관리 시스템 표시가 달라질 수 있으므로 재부팅 정책을 함께 확인합니다.
4. 패치 전후 이상 징후 점검
두 취약점이 실제 공격에 악용된 것으로 공개된 만큼 패치만 적용하고 끝내지 않는 것이 좋습니다. EDR·백신·Windows 이벤트 로그에서 비정상적인 권한 상승, 예상하지 못한 프로세스 실행, 관리자 그룹 변경, 의심스러운 스크립트 실행 등 평소와 다른 활동이 있었는지 확인합니다.
5. 적용 후 실제 빌드와 업무 기능 검증
업데이트 설치 후에는 OS 빌드와 패치 상태를 다시 확인하고, 로그인·업무 애플리케이션·네트워크 연결·보안 에이전트·관리 도구 등 주요 기능이 정상 동작하는지 검증합니다. 적용 시간, 대상 자산, 재부팅 여부, 검증 결과와 담당자를 변경 관리 기록에 남기면 이후 누락 자산을 찾는 데 도움이 됩니다.
■ CISA KEV는 국내 기업에도 패치 우선순위 신호가 될 수 있습니다
CVE-2026-81963과 CVE-2026-85880은 실제 악용이 확인된 취약점으로 분류되며, 취약점 관리에서는 이러한 ‘실제 악용 여부’를 높은 우선순위 신호로 보는 것이 중요합니다. CISA의 Known Exploited Vulnerabilities(KEV) 카탈로그는 미국 연방기관에 적용되는 조치 체계이지만, 민간 기업에서도 실제 공격에 사용된 취약점을 선별하는 참고 지표로 활용할 수 있습니다.
다만 CISA의 조치 기한이나 미국 연방기관 대상 지침을 국내 기업의 법적 의무처럼 해석해서는 안 됩니다. 국내 기업은 자사 자산과 업무 영향, 내부 변경관리 정책을 기준으로 패치 계획을 세우되, 실제 악용이 확인된 취약점은 일반 취약점보다 빠른 대응 대상으로 분류하는 방식이 현실적입니다.
결국 이번 대응의 핵심은 ‘9월 업데이트를 설치했는가’보다 우리 조직의 중요한 Windows 자산에 실제 패치가 반영됐는가, 그리고 패치 전후 이상 징후와 업무 기능까지 확인했는가에 있습니다.
■ 자주 묻는 질문
Q. CVE-2026-81963과 CVE-2026-85880은 인터넷에서 바로 공격할 수 있는 원격 취약점인가요?
A. 공개된 설명상 두 취약점은 로컬 권한 상승 취약점입니다. 공격자가 먼저 낮은 권한으로 시스템에서 코드를 실행할 수 있는 위치를 확보한 뒤 SYSTEM 권한으로 상승하는 데 악용할 수 있습니다. 따라서 초기 침투 취약점과는 구분해야 하지만, 실제 공격에서 악용됐다는 점 때문에 패치 우선순위는 높게 보는 것이 적절합니다.
Q. CVSS가 7.8인데 왜 우선 패치가 필요한가요?
A. CVSS는 중요한 기준이지만 유일한 기준은 아닙니다. 이번 두 취약점은 실제 악용이 확인됐고 성공 시 SYSTEM 권한 상승으로 이어질 수 있어, 점수만 보고 일반적인 Important 취약점과 같은 순서로 미루기보다 실제 악용 여부를 반영해 우선순위를 높이는 것이 좋습니다.
Q. 어떤 Windows 자산부터 패치하는 것이 좋을까요?
A. 관리자 단말, 원격접속 단말, 중요 서버, 인증·관리 시스템에 접근할 수 있는 자산처럼 권한 수준과 업무 영향이 높은 자산부터 확인하는 것이 좋습니다. 다만 일반 사용자 단말도 초기 침투 지점이 될 수 있으므로 자산 전체의 누락 여부를 함께 관리해야 합니다.
Q. 업데이트 배포 성공으로 표시되면 대응이 끝난 것인가요?
A. 그렇지 않습니다. 재부팅이 필요한 환경에서는 실제 OS 빌드가 바뀌었는지 확인해야 하고, 업데이트 이후 보안 에이전트와 업무 애플리케이션이 정상 동작하는지도 검증해야 합니다.
Q. 패치 후에는 어떤 보안 로그를 확인하는 것이 좋나요?
A. 조직의 EDR·백신·SIEM 운영 정책에 따라 다르지만, 예상하지 못한 권한 상승, 비정상 프로세스 실행, 관리자 그룹 변경, 의심스러운 스크립트·명령 실행 등 평소와 다른 활동이 있었는지 패치 전후 구간을 중심으로 살펴보는 것이 좋습니다.
[콘텐츠 출처]
Microsoft Security Response Center, Security Update Guide
Tenable, September 2026 Microsoft Patch Tuesday (2026. 09. 08.)
