사이버 보안 세계의 늦봄과 초여름은 논란의 여지가 있는 해커 인물인 Nightmare Eclipse의 노력 덕분에 여러 Windows 익스플로잇(exploit)들로 점철되었습니다. 가장 잘 알려진 익스플로잇 중 하나는 BlueHammer로, 이는 Windows Defender의 레이스 컨디션(race condition) 취약점으로, 작은 스크립트 하나만으로 SYSTEM 사용자 권한을 가진 셸(shell)을 획득할 수 있습니다. 즉, 더블 클릭 한 번에 '왕국의 열쇠'를 넘겨주는 셈입니다. Microsoft는 4월 14일에 패치를 출시했지만, 사이버 보안 인식 부족을 극명하게 보여주듯, CISA(미국 사이버 보안 및 인프라 보안국)는 어제 BlueHammer가 랜섬웨어 캠페인에서 활발히 악용되고 있다고 표시했습니다.

이는 패치 출시 후 약 한 달 반이 지난 시점으로, 컴퓨터 보안에 있어서 패치를 공개하는 것은 거의 항상 쉬운 부분이며, 그 패치를 필요한 모든 장치에 적용하는 것이 정말 까다로운 부분이라는 점을 매우 명확하게 보여줍니다. 해당 패치는 표준 Windows 업데이트의 일부이기도 하므로, 이를 설치하지 않을 기술적인 이유는 사실상 없습니다. 또한, BlueHammer를 통해 공격자가 SYSTEM 셸을 획득할 수 있기 때문에, 해당 랜섬웨어는

"사람들은 기기에 패치를 적용하지 않는다"라는 말이 업계 종사자들을 놀라게 하지 않을 광범위한 진술이라는 점을 언급하면서도, 보안 업체 Absolute의 최근 보고서에 따르면 Windows 11 및 10 전반에 걸친 중요 OS 패치 적용은 평균 127일(4개월 이상) 지연되고 있으며, 이 수치는 작년 이후 기본적으로 두 배로 증가했습니다. Absolute는 기업 환경에서조차 평균 패치 소요 시간(time-to-patch)이 76일, 즉 2.5개월로 충격적으로 높다고 말합니다. 한 업체의 주장이 절대적인 진리는 아닐지라도, 이 수치들은 믿기 어렵지 않으며, 게다가 이는 평균값이므로 주장된 기간보다 더 오래 패치되지 않은 채 방치된 기기가 절반에 달한다는 것을 의미합니다.

출처에 따라 Windows 10 기기의 비율에 대한 추정치는 15%(PassMark)에서 26%(StatCounter) 사이에서 차이가 날 수 있습니다. 단순화를 위해 20%라고 가정하면, 기기 5대 중 1대는 거의 확실하게 패치되지 않은 상태입니다. 우리와 같은 기술 전문가들은 Microsoft가 Windows 10에 대한 확장 보안 업데이트 (ESU)를 이미 두 차례 연장했으며, 이에 따른 실제 종료(EOL) 시점이 이제 2027년 10월 14일이라는 점을 잘 알고 있습니다. 문제는 기기를 ESU에 등록하는 것은 사소한 일이지만, 대중적인 인식 부족으로 인해 이러한 기기들이 업그레이드되거나 교체될 때까지 취약한 상태로 남아 있을 것이 거의 확실하다는 점입니다.

한편, Nightmare Eclipse는 자신들이 "휴식을 끝냈다"라고 말하며, "7월은 [그들이] 매우 흥미롭고 어쩌면 미친 듯이 논란이 될 만한 조사 결과들을 발표할 것이기 때문에 믿기 힘들 정도로 흥미로운 한 달이 될 것"이라고 전했습니다.