마이크로소프트 9월 정기 패치, 실제 악용 제로데이 2건 - 윈도 갱신 일정을 앞당길 근거입니다

마이크로소프트가 2026년 9월 8일(현지 시각) 월례 보안 패치를 공개했다. 규모 집계는 출처에 따라 다르다. 테너블은 964건으로 집계하며 이 가운데 Critical 이 104건, Important 가 860건이라고 적었다. The Hacker News 는 마이크로소프트 제품 974건(윈도 723건, 오피스 111건, SQL 62건, 개발도구 22건)에 마이크로소프트 외 25건을 더해 999건으로 집계했다. 어느 쪽이든 한 달치로는 이례적으로 많은 수다.

실제 공격에 쓰이고 있는 것으로 확인된 결함은 두 건이다. CVE-2026-81963 은 윈도 업데이트 스택의 부적절한 링크 처리 결함으로, 권한을 SYSTEM 까지 올릴 수 있다. CVE-2026-85880 은 ALPC(Advanced Local Procedure Call)의 힙 버퍼 오버플로 결함으로, 역시 SYSTEM 권한 상승으로 이어진다. 두 건 모두 CVSS 7.8 이다.

두 건이 왜 나머지와 다른가

두 결함 모두 원격 침입 수단이 아니라 권한 상승 수단이다. 공격자가 이미 기기 안에서 코드를 실행할 수 있는 상태여야 쓸 수 있고, 그 상태에서 SYSTEM 권한을 얻는다. 마이크로소프트는 CVE-2026-85880 에 대해 낮은 권한의 AppContainer 에서 코드를 실행할 수 있는 공격자가 샌드박스를 벗어나 권한을 올릴 수 있다고 설명했다.

“escape the sandbox and elevate privileges on the affected system. No additional user interaction is required.”

Help Net Security 는 이번 판에서 별도로 주목할 결함으로 윈도 DNS 서버의 CVE-2026-69730 을 들었다. 같은 보도에서 Trend AI Zero Day Initiative 의 Dustin Childs 는 이 결함을 SigRed 의 후계로 표현했고, 이번 판에서 20건이 웜으로 분류될 수 있다고 말했다. 테너블은 CVE-2026-69730 을 CVSS 9.8 Critical 로, 「악용 가능성 높음」으로 평가했다. 같은 회사의 Satnam Narang 은 윈도 업데이트 스택에서 나온 첫 제로데이라고 밝혔다.

테너블이 함께 꼽은 Critical 결함에는 원격 데스크톱 서비스의 CVE-2026-69525(CVSS 9.8)와 커버로스의 CVE-2026-69676(CVSS 8.8)이 있다. 셋 다 원격 코드 실행 계열이며, 실제 악용이 확인된 것은 앞의 두 제로데이다.