요약
- 패치 화요일(Patch Tuesday) 릴리스는 Microsoft가 Windows, Office, Exchange Server 및 해당 서버 제품에 대한 보안 패치를 발표하는 월별 일괄 배포입니다. 2026년 10월 배치에서는 1,400개 이상의 개별 취약점을 수정했습니다.
- CrowdStrike는 이 릴리스에서 1,413개의 취약점을 계산했고, SANS ISC는 1,417개를 계산했습니다. 어느 페이지도 네 가지 결함의 차이를 설명하지 않으므로, 보고서는 인용한 카운터를 명시해야 합니다.
- 한 가지 결함은 야생에서 악용된 것이 확인되었습니다: CVE-2026-96951. 이는 Windows Shell 보안 기능 우회 취약점이며 CVSS 8.8의 중요(Important) 등급을 받았습니다. 이 취약점은 다운로드된 파일이 실행되기 전에 SmartScreen과 Office Protected View가 읽는 'Mark of the Web' 태그를 제거합니다. CISA는 이를 10월 13일에 KEV 카탈로그에 추가했으며, 수정 마감일은 2026년 10월 16일입니다.
- 두 가지 심각한 AD FS 스푸핑 결함(CVSS 7.5의 CVE-2026-108131 및 CVSS 7.4의 CVE-2026-96222)은 인증되지 않은 네트워크 공격자가 페더레이션 서비스를 스푸핑할 수 있게 하며, 해당 서비스를 신뢰하는 모든 리라이잉 파티(relying party)는 노출을 상속받게 됩니다.
- Excel, PowerPoint, Visio 및 Word에는 20개의 심각한 원격 코드 실행(RCE) 취약점이 있으며, 그중 6개는 미리 보기 창(Preview Pane)을 통해 트리거되고, Outlook에는 CVSS 9.8의 RCE가 5개 있습니다. 이 중 2개는 읽기 창(Reading Pane)에서 접근 가능합니다.
- 두 번째 우회 취약점인 .NET Framework의 CVE-2026-108398 (CVSS 8.8)은 이미 로컬 자격 증명을 보유한 공격자에게 Windows Defender Application Control을 무력화시킵니다. 이는 애플리케이션 허용 목록(application allow-listing)에 의존하는 환경에서 가장 중요한 결함입니다.
- 실행 가능한 트리아지 순서는 CISA 마감일을 이미 지났고 악용된 Windows Shell 취약점부터 시작하여, 인터넷에 노출된 페더레이션 서비스 다음으로, 인증 전에 응답하는 서비스를 다루는 것이 좋습니다.
Netics 시각 자료: 2026년 10월 릴리스에서 발표된 개수들을 CrowdStrike와 SANS ISC의 총계를 나란히 비교하고 AD FS 심각도 점수를 보여줍니다.
Microsoft가 2026년 10월 13일에 공개한 내용
Microsoft는 Windows, Office, Exchange Server, Microsoft QUIC, PostScript 프린터 드라이버, DHCP Server 및 Message Queuing을 다루는 2026년 10월 보안 업데이트를 10월 13일에 발표했습니다. CrowdStrike의 분석에 따르면 이 릴리스에는 1,413개의 취약점이 포함되어 있으며, 여기에는 악용된 제로데이(zero-day) 취약점 1개와 공개적으로 알려진 제로데이 결함 2개가 포함되어 있고, 심각도가 Critical로 평가된 것이 75개입니다. 같은 릴리스에 대한 SANS ISC의 기록은 Johannes Ullrich가 작성했으며, 1,417개의 취약점을 계산했고, 그중 76개가 Critical로 평가되었으며, 고객 조치가 필요하지 않은 Critical 결함이 7개임을 언급합니다.
하나의 Microsoft 릴리스에 대한 두 가지 분석, 그리고 네 개의 결함 차이가 납니다. 어느 페이지도 이 차이를 설명하지 않습니다. 저희가 파악하기로는, 개정된 권고 사항(advisories)이나 제품 그룹화와 같은 일반적인 계산 방식 선택이 총계치를 몇 항목 움직일 수 있다는 것입니다. 두 총계치 모두 틀린 것은 아닙니다. 만약 비교하는 출처를 명시하지 않고 이 중 하나를 인용하는 팀이라면, 나중에 아무도 합리적으로 설명할 수 없는 숫자를 만들어낼 것입니다.
이번 릴리스는 두 개의 신뢰 경계를 건드립니다. 첫 번째는 파일 출처 신뢰(file-origin trust)입니다. Mark of the Web 태그와 애플리케이션 허용 목록(application allow-list) 모두 외부의 코드가 실행될 수 있는지 여부를 결정하며, CVE-2026-96951과 CVE-2026-108398은 각각 이 중 하나를 무력화시킵니다. 두 번째는 신원(identity) 신뢰입니다. 도메인 컨트롤러의 AD DS와 페더레이션에 의존하는 모든 애플리케이션의 AD FS가 해당됩니다.
릴리스의 구성 요소가 총계치보다 더 유용합니다. 권한 상승(Elevation of privilege)이 677개의 패치를 차지하여 48%를 차지하고, 원격 코드 실행(remote code execution)이 317개로 22%, 정보 노출(information disclosure)이 254개로 18%를 차지합니다. DHCP Server, QUIC, PostScript 프린터 드라이버 및 PDF 처리에 걸쳐 총 15개의 취약점이 네트워크를 통한 인증되지 않은 원격 코드 실행을 허용합니다.
Capture of Microsoft's Security Update Guide release-note page for October 2026
Microsoft의 2026년 10월 출시(msrc.microsoft.com, 2026-10-17 조회) 보안 업데이트 가이드를 보면 제품군별 KB 번호와 날짜가 나열되어 있습니다.
악용된 취약점은 사용자에게 경고하는 태그를 제거합니다
CVE-2026-96951은 이번 릴리스에서 Microsoft가 확인한 유일하게 악용된 취약점입니다. 이는 Windows Shell 보안 기능 우회(bypass)이며, 중요도(Important) 등급에 CVSS 점수 8.8을 받았습니다. 이 취약점의 효과는 Mark of the Web을 회피하는 것입니다. Mark of the Web은 Protected View가 다운로드된 Office 문서를 샌드박스(sandbox)에서 열고 SmartScreen이 다운로드된 실행 파일이 실행되기 전에 경고하도록 만드는 신뢰 메커니즘입니다. 이 공격에는 사회 공학적 기법(social engineering)이 필요합니다. SANS는 피해자가 여전히 파일을 열어야 한다고 지적했습니다. 영역 태그(zone tag)가 사라지면, 해당 태그를 읽어들이는 다운스트림 제어(downstream controls)가 적용되지 않습니다.
CISA의 카탈로그는 이를 마감 기한으로 만듭니다. 이 기관은 10월 13일에 CVE-2026-96951을 알려진 악용 취약점(Known Exploited Vulnerabilities) 카탈로그에 추가했으며, 수정 완료 기한(remediation due date)은 2026년 10월 16일입니다. 이 카탈로그는 현재 1,748개의 항목을 나열하고 있습니다. 이 카탈로그는 해당 취약점을
구체적인 사례를 들어보겠습니다. 40명이 근무하는 사무실이 매월 두 번째 목요일에 실행되는 하나의 업데이트 링을 통해 배치(batch)를 받습니다. 취약점 악용 기한이 링이 이동하기 전에 도래하므로, Windows Shell 수정 사항이 포함된 누적 업데이트는 비정기적으로 배포되거나, 아니면 링 자체가 일찍 이동해야 합니다. 이 선택지를 건너뛰게 되면, 이미 누군가가 사용하고 있는 하나의 결함이 출시 버전 안에 남게 됩니다.
Netics editorial warning card on the Windows Shell Mark of the Web bypass
Netics 시각 자료: CVE-2026-96951에서 실패한 제어와 이에 연결된 KEV 날짜.
두 번째 우회 경로는 애플리케이션 허용 목록(allow-listing)을 겨냥합니다
.NET Framework의 CVE-2026-108398은 CVSS 8.8로 '중요(Important)' 등급을 받았으며, 출시 전에 세부 정보가 공개되었고, SANS 다이어리(diary)의 말에 따르면
Active Directory Federation Services는 조직 경계를 가로질러 인증을 중개(broker)하기 때문에, 이번 릴리스에서 발견된 두 가지 스푸핑 결함은 CVSS 점수가 시사하는 것보다 더 큰 의미를 갖습니다. CVE-2026-108131은 7.5점을 받고 CVE-2026-96222는 7.4점을 받으며, 둘 다 인증되지 않은 네트워크 공격자가 스푸핑을 수행할 수 있도록 허용합니다. Microsoft는 두 결함 모두를 Critical 등급으로 분류했습니다. 두 번째 결함은 부적절한 인증서 검증(improper certificate validation)과 관련되며, CrowdStrike는 이 결함을 악용하려면 환경 및 구성 종속성 때문에 높은 공격 복잡도(high attack complexity)가 필요하다고 지적합니다.
CVSS 점수 7.5는 같은 배치에 포함된 대부분의 Office RCE보다 낮은 수치이며, 다른 종류의 결과를 설명합니다. 토큰 위조(Token forgery) 또는 인증 우회(authentication bypass)가 페더레이션 서비스에서 발생하면, 이를 신뢰하는 모든 의존 당사자 애플리케이션(relying party application)으로 전파됩니다. 따라서 페더레이션 뒤에 있는 애플리케이션의 수가 실제 피해 범위(blast radius)를 측정하는 지표이며, 이 숫자는 AD FS를 소유한 팀이 예상하는 것보다 보통 더 큽니다.
노출도는 특정합니다. 하이브리드 ID(hybrid identity) 또는 파트너 페더레이션을 위해 온프레미스(on-premises) AD FS를 여전히 운영하는 조직에 해당됩니다. 인증을 클라우드 ID 공급자(cloud identity provider)로 이전한 조직에는 해당되지 않습니다. 다음 릴리스 전에 답해야 할 질문은 어떤 애플리케이션이 여전히 로컬 페더레이션 서비스를 신뢰하고 있는지, 그리고 비상 변경이 필요할 때 누가 그 서비스를 소유하는지입니다.
Capture of the CISA Known Exploited Vulnerabilities catalogue page
CISA 알려진 악용 취약점 카탈로그(cisa.gov, 2026-10-17 조회)는 CVE-2026-96951에 악용 정보와 수정 날짜를 포함하고 있는 목록입니다.
아이덴티티 계층(identity tier)에는 세 번째 항목이 있습니다. Active Directory Domain Services의 CVE-2026-70229는 CVSS 8.1점의 심각한 원격 코드 실행(RCE) 취약점입니다. CrowdStrike에 따르면, 인증되지 않은 공격자가 네트워크를 통해 도메인 컨트롤러로 특수 제작된 패킷을 전송하여 사용자 상호작용 없이 코드를 실행할 수 있습니다. 이 취약점은 악용하기 위해 특정 네트워크 구성 및 타이밍 조건이 필요하므로 공격 복잡도가 높습니다. 해당 서비스는 도메인 컨트롤러 역할을 제거하지 않고는 비활성화할 수 없기 때문에, 이번 업데이트가 이를 해결합니다.
Office와 미리 보기 창(preview pane)에서 20개의 심각한 RCE 취약점 포함
Excel, PowerPoint, Visio, Word 전반에 걸쳐 CVSS 점수 7.5점에서 9.8점에 이르는 20개의 심각한 원격 코드 실행 취약점이 존재합니다. 그중 6개는 미리 보기 창을 공격 벡터로 지정하며, 모두 PowerPoint나 Word에 포함되어 있습니다: CVE-2026-88178 (9.8점), CVE-2026-70215 및 CVE-2026-88144 (8.8점), CVE-2026-70269 및 CVE-2026-88185 (8.1점), 그리고 CVE-2026-88207 (7.5점)입니다. 사용자가 파일을 열지 않고 미리 보기 창에서 보는 것만으로도 이 취약점을 유발할 수 있습니다. Microsoft는 CVE-2026-88178이 인증이나 사용자 상호작용 없이 영향을 받는 Office Online 서비스에 특수 제작된 프레젠테이션을 제출하여 악용될 수 있다고 밝히고 있습니다.
Outlook은 CVSS 9.8점의 심각한 RCE 취약점을 5개 추가했으며, 그중 CVE-2026-70291과 CVE-2026-88156 두 개는 읽기 창(Reading Pane)에서 접근 가능합니다. 공격자가 특수 제작된 메시지를 보내면 수신자가 이를 렌더링하는 것을 보게 됩니다. Outlook은 로그인한 사용자의 자격 증명 및 캐시된 토큰으로 실행되므로, 성공적인 트리거는 해당 사용자가 접근할 수 있는 모든 것을 넘겨줍니다. Office 애플리케이션 전반에 걸쳐 CrowdStrike는 이번 릴리스에서 23개의 미리 보기 창 기반 CVE를 확인했습니다.
대부분의 팀이 이미 보유하고 있는 완화 통제(compensating control)는 첨부 파일을 무력화하고 클라이언트에 도달하기 전에 활성 콘텐츠를 재작성하거나 차단하는 메일 게이트웨이입니다. 읽기 창을 끄면 노출 위험의 일부가 제거되지만, 매일 측정 가능한 양의 작업 시간을 소모하므로 유지되는 경향이 있습니다.
Capture of Microsoft's Security Update Guide listing affected products for CVE-2026-96951
Microsoft의 2026년 10월 Windows Shell 보안 기능 우회에 대한 진단(triage) 정보(msrc.microsoft.com, 2026-10-17 검색), 이로 인해 영향을 받는 제품 행 31개와 해당 KB 번호를 보여줍니다.
1,400개 항목 출시를 위한 진단 순서
