6월의 두 번째 화요일은 매우 긴박하게 돌아갑니다. Microsoft는 단 한 번의 사이클에서 거의 200개의 취약점을 패치했는데, 이는 기록적인 수치입니다. 이 중 약 30개는 심각도(critical) 등급으로 분류되었으며, 최소 3개는 익스플로잇 코드(exploit code)가 공개되어 있습니다. Microsoft가 공식 집계에서 나열하지 않기로 선택한 360개의 브라우저 CVE를 더하면, 이번 달 단일 벤더가 해결한 실제 복구 범위(remediation surface)는 560개 이상에 달합니다. Tenable의 Satnam Narang은 이것이 새로운 기준점(baseline)이 될 수 있다고 말합니다. 그의 말이 맞을 가능성이 높습니다.

하지만 이 숫자는 그 이면에 숨겨진 이야기로부터 주의를 분산시키는 것에 가깝습니다.

AI 보조 버그 발견 플라이휠(AI-assisted bug discovery flywheel)은 실재하며, 이는 패치 주기(patch cadence)를 영구적으로 변화시켰습니다. 이번 달 Microsoft의 권고 사항 중 하나인 IIS의 DoS 취약점(CVE-2026-49160)에 OpenAI의 Codex가 기여한 것으로 명시되었습니다. 이는 AI 모델이 MSRC(Microsoft Security Response Center) 감사 페이지에 등장한 첫 사례입니다. 이것은 학술적인 참신함에 그치는 것이 아닙니다. Microsoft 자체 엔지니어들과 외부 연구 커뮤니티 모두 대규모로 AI 보조 퍼징(AI-assisted fuzzing)을 배치하고 있으며, 패치 파이프라인이 흡수하도록 설계된 속도보다 더 빠르게 버그를 찾아내고 있습니다. Tenable은 보안 전문가의 90%가 현재 AI 도구를 사용하고 있다고 추정합니다. 패치의 양은 계속해서 증가할 것입니다. 한계에 도달할 때까지는 늘 그래왔으며, 우리는 아직 천장에 도달하지 않았습니다.

다음으로, 그 자체로 카테고리 2 위협인 Nightmare Eclipse가 있습니다. 오늘 패치된 무기화된 제로데이(zero-days) 중 두 개는 이 연구자의 공개 익스플로잇 드롭(exploit drops)과 직접적으로 연결됩니다: CVE-2026-45586 ("GreenPlasma", Windows Collaborative Translation Framework에서의 권한 상승) 및 CVE-2026-50507 ("YellowKey", BitLocker 우회). 오늘 패치가 배포된 지 몇 시간 만에 Nightmare Eclipse는 Windows Defender에서 발견되었다고 주장하는 새로운 제로데이를 발표했습니다. 또한 다음 달 패치 화요일(Patch Tuesday)과 맞물려 7월 14일에 "뼈를 부수는(bone shattering)" 드롭이 이미 예고되었습니다. 이는 Microsoft의 자체 출시 주기와 맞물린 적대적 협응(adversarial coordination)입니다. 위협은 지속적이고, 에스컬레이션(escalating)되고 있으며, 일정한 일정에 따라 작동하고 있습니다.

지난달 Nightmare Eclipse를 향한 Microsoft의 법적 위협은 이제 구조적인 문제로 이어지는 방식으로 역효과를 냈습니다. 그들은 조치를 취할 가능성을 제시했다가, 소셜 미디어의 압박 아래 이를 철회했습니다. 그 여파는 즉각적이었습니다. Visual Studio Code 제로 데이 (zero-day) 연구자는 신용(credit) 없이 조용히 패치(silent patching)되었던 이전의 경험을 언급하며, Microsoft의 조율된 공개 프로세스 (coordinated disclosure process)와 협력하기를 거부했습니다. 연구자 커뮤니티는 이제 6개월 전보다 Redmond(Microsoft 본사)와 협력할 유인이 줄어들었습니다. 돌이켜보면 예측 가능한 결과였습니다.

VS Code GitHub 토큰 탈취 사건은 일주일 일찍 발생한 별개의 비상사태입니다. 한 연구자가 클릭 한 번으로 GitHub 토큰 탈취를 허용하는 제로 데이 (zero-day)에 대한 전체 익스플로잇 (exploitation) 지침을 게시한 후, Microsoft는 오늘 이전인 6월 3일에 긴급 패치 (out-of-band fix)를 배포했습니다. 해당 취약점은 오늘 공식적으로 패치되었습니다. 6월 3일 이후 브라우저를 재시작하지 않은 모든 VS Code 및 GitHub 사용자는 여전히 노출되어 있습니다. 패치는 배포되지만, 세션은 스스로 재시작되지 않습니다.

Miasma와 패치 화요일 (Patch Tuesday)은 다른 옷을 입은 동일한 이야기입니다. 이번 주에 72개의 Microsoft 공개 리포지토리 (public repositories)가 Miasma/Shai-Hulud 공급망 웜 (supply chain worm) 변종에 감염되었습니다. 별개로, 이 웜은 Krebs가 오늘 기사를 게시하기 3분 전 GitHub에서 오픈 소스 (open-source)로 전환되었습니다. Azure Durable Task SDK 역시 지난 5월 동일한 웜의 공격을 받았습니다. 이것들은 동일한 목표, 즉 Microsoft의 소프트웨어 공급망 (software supply chain), 개발자 도구 (developer tooling), 그리고 기업 고객층과의 신뢰를 향해 수렴하는 압박입니다. 이 모든 것은 우연한 타이밍이 아닙니다.

우선순위에 따른 즉각적인 분류(triage)가 필요합니다: CVE-2026-45586 및 CVE-2026-50507은 모두 공개된 익스플로잇 코드(exploit code)가 존재하므로 오늘 밤 안에 배포되어야 합니다. VS Code 사용자들은 6월 3일 긴급 수정 사항을 적용하기 위해 브라우저와 클라이언트를 재시작해야 합니다. 패치는 이미 존재하지만, 이를 적용하려면 세션 재로드(reload)가 필요합니다. IIS의 CVE-2026-49160은 아직 랜섬웨어 활용이 확인되지 않았으나, 공개 권고(public advisory)가 포함된 운영 중인 웹 서버에서의 AI 발견 DoS(서비스 거부 공격)는 이번 주 이후로 미룰 수 있는 취약점이 아닙니다. 그리고 지금 바로 달력에 7월 14일을 표시해 두십시오. Nightmare Eclipse가 사전 예고되었으며, 해당 드롭(drop) 이전에 패치 준비를 마치는 것이 최선입니다.

장 마감 상황이 맥락을 더해줍니다. 동부 표준시(ET) 22:18 기준, 시간 외 거래에서 QQQ는 1.34% 하락, SPY는 0.49% 하락하며 마감했습니다. 이란/에너지 관련 이슈가 더 눈에 보이는 동력이지만, 기록적인 패치 화요일(Patch Tuesday), 오후 중반에 오픈 소스로 전환된 활발한 공급망 웜(supply-chain worm), 그리고 같은 저녁에 확인된 두 건의 Windows 제로데이(zero-day) 악용 사례는 기업용 소프트웨어 리스크 프리미엄(risk premiums)을 움직이는 전형적인 복합 위험의 날입니다. 주식 시장이 Microsoft의 공급망 신뢰도 이슈를 구체적으로 가격에 반영하고 있는지는 불분명합니다. 하지만 일정은 명확합니다.

구조적인 함의는 기록적인 수치가 아니라 헤드라인에 있습니다. 한 달 동안 200개의 CVE가 발생한 것은 주목할 만합니다. 취약점 도입과 발견 사이의 시간을 단축시키는 AI 지원 퍼징(AI-assisted fuzzing)이 양측 모두에서 현재를 지배하는 조건이 되었습니다. 패치 화요일(Patch Tuesday)은 점점 더 무거워질 것입니다. 문제는 패치 파이프라인, 공개 생태계, 그리고 조정된 공개(coordinated disclosure)가 작동하는 데 필요한 연구자 관계가 그 속도를 따라갈 수 있느냐는 것입니다. 이번 달의 상황은 그 답이 '상당한 조정 없이는 불가능하다'는 것을 시사합니다.