마이크로소프트 9월 패치 화요일, 966개 취약점 중 제로데이 2건 실제 악용

매달 둘째 주 화요일 발표되는 마이크로소프트의 정기 보안 업데이트, 이른바 '패치 화요일(Patch Tuesday)'이 2026년 9월 8일 진행되었습니다. 이번 달은 역대급 규모인 966개의 취약점이 한꺼번에 패치되었고, 이 중 2개는 이미 실제 공격에 악용되고 있던 제로데이(공식 패치가 나오기 전부터 공격에 쓰이는 취약점) 취약점이어서 기업과 개인 사용자 모두 빠른 업데이트가 필요한 상황입니다. 이번 글에서는 이번 패치 화요일의 규모와 제로데이 취약점의 내용, 그리고 지금 당장 해야 할 조치를 정리합니다.

이번 달 패치 화요일 규모: 966개 취약점, 이 중 105개는 '심각' 등급

이번 9월 패치 화요일에서 마이크로소프트는 총 966개의 취약점에 대한 패치를 배포했습니다. 이 가운데 204개는 이달 초 이미 별도로 공개되었던 항목이고, 나머지가 이번에 새로 반영된 것입니다. 등급별로 보면 '심각(Critical)' 등급이 105개로, 이 중 81개가 원격 코드 실행(RCE, 공격자가 네트워크를 통해 임의의 코드를 실행할 수 있는 취약점) 취약점이고 20개는 권한 상승, 나머지는 정보 노출과 보안 기능 우회에 해당합니다. 마이크로소프트는 최근 도입한 AI 기반 취약점 발견 시스템이 이번 패치 규모 확대에 영향을 미쳤다고 설명했는데, 실제로 지난 7월에는 570개, 8월에는 400개 수준이었던 것과 비교하면 이번 달 수치가 크게 늘어난 것을 알 수 있습니다.

실제 악용 중인 제로데이 2건: CVE-2026-81963, CVE-2026-85880

이번 패치에서 가장 주목해야 할 부분은 이미 공격에 사용되고 있는 것으로 확인된 제로데이 취약점 2건입니다. 첫 번째는 'CVE-2026-81963'으로, 윈도우 업데이트 스택의 권한 상승 취약점입니다. 링크 추적 과정의 오류를 악용하면 일반 권한의 공격자가 시스템 최고 권한인 SYSTEM 권한까지 획득할 수 있는 것으로 알려졌습니다. 두 번째는 'CVE-2026-85880'으로, 윈도우의 프로세스 간 통신 방식 중 하나인 ALPC(고급 로컬 프로시저 호출)에서 발생하는 힙 기반 버퍼 오버플로우 취약점이며, 이 역시 SYSTEM 권한 획득으로 이어질 수 있습니다. 두 취약점 모두 구체적인 악용 방식은 아직 공개되지 않았지만, 마이크로소프트가 '실제 공격에 사용되고 있음'을 공식 확인했다는 점에서 위험도가 높습니다.

왜 지금 업데이트해야 하는지 — 전망

두 제로데이 모두 원격 코드 실행이 아니라 권한 상승 취약점이라는 공통점이 있습니다. 즉 단독으로는 시스템에 침투하는 용도가 아니라, 피싱 메일이나 악성 문서 등으로 이미 확보한 낮은 권한의 접근 권한을 시스템 전체 장악 수준으로 끌어올리는 데 쓰인다는 의미입니다. 이 때문에 일반적인 피싱 방어 교육만으로는 막기 어렵고, 운영체제 자체의 패치가 사실상 유일한 방어 수단이 됩니다. 개인 사용자는 윈도우 업데이트를 통해, 기업 IT 담당자는 자산 관리 시스템을 통해 이번 달 패치를 최우선 순위로 적용하는 것이 권장됩니다.

참고 자료

• Microsoft September 2026 Patch Tuesday fixes 966 flaws, 2 zero-days
• September 2026 Patch Tuesday: Updates and Analysis | CrowdStrike

마무리

2026년 9월 패치 화요일은 966개라는 역대급 취약점 규모와, 이미 실제 공격에 쓰이고 있는 제로데이 2건이 함께 발견되면서 그 어느 때보다 신속한 대응이 필요한 달이 되었습니다. 특히 두 제로데이가 권한 상승 취약점이라는 점에서, 다른 초기 침투 경로와 결합될 경우 피해가 커질 수 있다는 점을 기억해야 합니다. 아직 업데이트를 적용하지 않았다면 오늘 중으로 윈도우 업데이트를 확인해 보시기 바랍니다.