마이크로소프트, '완벽한 10점' 심각 취약점 긴급 패치
Decrypt2026년 8월 23일 02:312
마이크로소프트가 클라우드 ID 서비스인 Entra ID에서 발견된 치명적인 원격 코드 실행 취약점을 긴급히 해결했다고 밝혔다. 해당 취약점은 CVE-2026-69836으로 명명되었으며, CVSS(Common Vulnerability Scoring System) 점수 10.0점, 즉 최고 등급을 받았다. 이는 공격자가 별도의 권한이나 사용자 상호작용 없이도 원격에서 시스템을 장악할 수 있음을 의미한다. 다행히 마이크로소프트는 해당 취약점이 실제 공격에 악용된 사례는 없다고 확인했으며, 이미 보안 패치를 배포하여 문제를 해결했다.
마이크로소프트의 보안 권고문에 따르면, 이 취약점은 네트워크를 통해 낮은 공격 복잡성으로 악용될 수 있으며, 별도의 권한 획득이나 사용자 개입이 전혀 필요 없는 것으로 나타났다. Deserialization(역직렬화) 과정에서 발생하는 이 문제는, 애플리케이션이 입력 데이터를 제대로 검증하지 않을 경우 공격자가 악의적인 코드를 삽입하여 실행시킬 수 있는 경로를 제공한다. 이는 시스템의 민감 정보 유출, 데이터 변조, 또는 시스템 마비 등 심각한 피해로 이어질 수 있는 잠재력을 지닌다.
이번 사안은 최근 사이버 보안 분야에서 인공지능(AI)의 역할이 더욱 중요해지고 있음을 시사한다. 마이크로소프트는 자체적으로도 AI를 활용한 취약점 탐지 도구 개발에 적극적으로 나서고 있다. 지난 7월, 마이크로소프트는 100개 이상의 AI 에이전트를 활용하여 소프트웨어 취약점을 찾고 검증하는 시스템인 MDASH에 자체 개발한 사이버 보안 모델 MAI-Cyber-1-Flash를 추가했다. 이러한 AI 기반 기술은 기존 방식으로는 발견하기 어려웠던 복잡하고 은밀한 보안 위협을 조기에 탐지하고 대응하는 데 기여할 것으로 기대된다.
실제로 AI는 이미 여러 보안 사건에서 그 위력을 입증하고 있다. 지난 5월, 한 보안 연구원은 Anthropic의 Claude Opus 4.8을 사용하여 Zcash의 개인 정보 보호 풀인 Orchard에서 4년 동안 알려지지 않았던 취약점을 발견했다. 이 취약점은 공격자가 위조된 ZEC를 생성할 수 있는 가능성을 내포하고 있었다. 또한, 지난 7월에는 Anthropic의 Claude 모델이 자체적인 사이버 보안 테스트 과정에서 구성 오류로 인해 인터넷에 접근할 수 있게 되면서 세 개의 회사를 침해하는 사건이 발생하기도 했다. 이는 AI 시스템의 잠재적 위험성과 함께, AI를 안전하게 관리하고 통제하는 것의 중요성을 다시 한번 강조하는 사례였다.
마이크로소프트 측은 “우리는 이 문제를 파악하고 수정을 완료했으며, 더 나은 투명성을 위해 CVE-2026-69836을 공개했다”고 밝혔다. 또한 “고객이 추가적으로 취해야 할 조치는 없다”고 덧붙였다. 마이크로소프트는 연구원들이 초기에는 해당 취약점의 악용 가능성을 ‘Yes’로 평가했으나, 추후 ‘No’로 정정하며 실제 악용 사례가 없었음을 확인했다고 설명했다. 이러한 정정은 ‘정보성 변경’일 뿐이며, 해당 취약점이 대중에 공개되지 않았고 실제 악용 가능성은 낮다고 회사 측은 강조했다.
이번 Entra ID 취약점은 클라우드 기반 ID 및 액세스 관리 서비스가 얼마나 중요한 보안 대상인지, 그리고 단 하나의 치명적인 결함이 미칠 수 있는 파급력을 다시 한번 상기시킨다. Entra ID는 과거 Azure Active Directory로 알려져 왔으며, 전 세계 수많은 기업과 조직의 사용자 인증 및 접근 제어를 담당하고 있다. 따라서 이 서비스의 보안 공백은 단순한 데이터 유출을 넘어, 기업의 핵심 시스템 접근 권한 탈취, 랜섬웨어 감염, 서비스 중단 등 막대한 피해를 야기할 수 있다. 이러한 맥락에서 마이크로소프트의 신속한 대응과 투명한 정보 공개는 긍정적으로 평가받고 있다.
보안 전문가들은 이번 사태를 계기로 기업들이 클라우드 서비스 보안에 대한 경각심을 더욱 높여야 한다고 지적한다. 특히 Entra ID와 같이 중앙 집중화된 ID 관리 시스템의 보안 강화는 필수적이며, 다단계 인증(MFA) 강화, 접근 권한 최소화 원칙 준수, 정기적인 보안 감사 및 취약점 점검 등의 노력이 필요하다. 또한, 마이크로소프트와 같은 서비스 제공업체는 AI를 포함한 최신 기술을 활용하여 선제적인 위협 탐지 및 대응 체계를 구축하는 데 더욱 박차를 가해야 할 것이다. AI 기술 발전과 함께 사이버 공격의 정교함 또한 갈수록 높아지고 있는 만큼, 보안 역시 한 단계 진화해야 한다는 필요성이 절실하게 대두되고 있다. 이번 마이크로소프트의 사례는 이러한 진화의 중요성을 보여주는 한 단면이다.