CISA KEV 등재 Microsoft Defender 취약점과 멀티 벤더 패치 관리

KEV 등재가 바꾸는 패치 우선순위

CISA(사이버 인프라 보안청)는 Microsoft Defender의 CVE-2026-41091과 CVE-2026-45498을 KEV(Known Exploited Vulnerabilities) 목록에 추가했다. 미국 연방 민간 행정부(FCEB) 기관에는 2026년 6월 3일까지 패치를 적용하도록 의무화했다.

같은 시기 Apple은 iOS 26.5.1과 macOS Tahoe 26.5.1 보안 업데이트를 배포했다. Windows와 Apple 기기, Linux, 서드파티 애플리케이션이 함께 운영되는 조직이라면 벤더별 업데이트만 따로 처리하는 방식으로는 부족하다. 실제 악용 여부와 자산의 중요도를 함께 반영하는 통합 취약점 관리가 필요하다.

실제 악용이 확인된 취약점을 모으는 KEV

CISA의 KEV 카탈로그는 실제 공격 환경에서 악용이 확인된 CVE를 관리하는 living list다. 2021년 11월 BOD 22-01(Binding Operational Directive)으로 공식화됐으며, FCEB 기관의 패치 의무를 뒷받침하는 기준으로 쓰인다.

KEV 등재에는 다음 조건이 필요하다.

실제 공격자가 활용했다는 증거가 있어야 한다. 단순 PoC(개념 증명)만으로는 충분하지 않다.
벤더가 공식 수정 패치를 제공해야 한다.
FCEB 기관 자산에 현실적인 위험이 존재해야 한다.

이 조건은 수만 개의 CVE 가운데 실질적인 위협 대응이 필요한 대상을 좁히는 역할을 한다. BOD 22-01에 따라 FCEB 기관은 KEV 취약점의 벤더 권고 업데이트를 기한 안에 적용해야 하며, 패치할 수 없는 단종 제품은 네트워크에서 제거해야 한다. KEV 카탈로그를 취약점 관리 시스템과 연계해 추적하는 일도 포함된다.

민간 기업에는 BOD 22-01이 직접 적용되지는 않는다. 다만 CISA는 민간 조직도 KEV를 취약점 관리 우선순위에 활용할 것을 강력히 권고한다.

⤢✕

Microsoft Defender에서 확인된 취약점

2026년 5월 Microsoft Defender에서는 야생 악용과 함께 두 취약점이 확인됐다. 둘 다 Microsoft Defender Antimalware Platform에 영향을 미치지만, 영향 유형과 수정 버전은 다르다.

링크 처리 결함으로 이어지는 권한 상승

CVE-2026-41091은 CVSS 7.8(High)의 권한 상승(Privilege Escalation) 취약점이다. 링크 해석(link following) 문제 때문에 파일 접근 전에 링크를 올바르게 처리하지 못하며, 로컬 공격자가 SYSTEM 수준 권한을 획득할 수 있다.

Defender 실시간 보호 기능이 특정 심볼릭 링크나 정션 포인트를 처리할 때 TOCTOU(Time-Of-Check to Time-Of-Use) 경쟁 조건이 발생하는 것이 핵심이다. 공격 흐름은 일반 사용자 권한으로 악성 심볼릭 링크를 만든 뒤, Defender 스캔 프로세스가 그 링크를 따라 파일에 접근하도록 유도하고, 링크 확인과 실제 접근 사이의 경쟁 조건을 악용해 SYSTEM 권한으로 올라가는 방식이다.

보안 제품을 무력화할 수 있는 DoS 결함

CVE-2026-45498은 CVSS 4.0(Medium)의 서비스 거부(Denial of Service) 취약점이다. Defender의 특정 파일 처리 로직에서 발생한다.

점수만 보면 CVE-2026-41091보다 낮다. 그러나 두 취약점을 함께 사용해 보안 솔루션을 무력화하고 권한을 높이는 공격 체인에 활용될 수 있다는 점에서 별도로 관리할 필요가 있다. 보안 연구 기업 Huntress에 따르면, 두 취약점은 BlueHammer(CVE-2026-33825)와 함께 Microsoft Defender 구성 요소를 노리는 광범위한 캠페인에서 동시에 악용되고 있다.

수정 여부는 버전별로 확인한다

취약점	수정 버전
CVE-2026-41091	Microsoft Defender Antimalware Platform 1.1.26040.8
CVE-2026-45498	Microsoft Defender Antimalware Platform 4.18.26040.7

Microsoft Defender는 일반적으로 Windows Update를 통해 자동 업데이트된다. 인터넷 연결이 제한된 환경이나 업데이트가 지연되는 환경에서는 수동 확인이 필요하다.

Apple 업데이트가 보여주는 교차 플랫폼 위험

Apple은 iOS 26.5.1 및 macOS Tahoe 26.5.1을 2026년 6월 1일 배포했다. 이 업데이트는 iPhone 17 충전 문제와 M5 Mac 종료 문제 수정에 초점이 맞춰져 있었다.

공식 릴리스 노트에는 iOS 26.5.1의 공개 CVE 항목이 포함되지 않았다. 다만 이 업데이트는 5월 11일 출시된 iOS 26.5의 보안 기반 위에서 제공됐다.

iOS 26.5에서는 60개 이상의 CVE가 수정됐고, WebKit 취약점 20개 이상이 패치됐다. 샌드박스 데이터 유출과 기기 충돌을 막는 조치, 다수의 임의 코드 실행 취약점 수정도 포함됐다. macOS Tahoe 26.5에서는 80개 가까운 취약점이 수정됐으며, 루트 수준 권한 상승을 허용하는 결함과 임의 코드 실행 취약점이 수정됐다.

TechRepublic은 iPhone 익스플로잇과 제로데이 취약점이 수백만 명의 사용자를 위협하는 상황에서 Apple이 신속한 대응을 이어가고 있다고 보도했다.

이 시기의 업데이트는 공격 캠페인이 특정 벤더에만 머물지 않는다는 점을 보여준다. Windows에서 권한을 높인 뒤 macOS 환경으로 횡적 이동(lateral movement)하는 시나리오, BYOD(Bring Your Own Device) 환경에서 iOS 기기를 통한 기업 네트워크 침투, 멀티 플랫폼 악성코드 확산을 함께 고려해야 한다.

FCEB 기관이 KEV 기한을 이행하는 방식

BOD 22-01은 미국 연방 정부의 사이버보안 수준을 높이기 위한 패치 의무화 체계다. KEV가 갱신되면 기관 보안팀은 영향 자산을 확인하고, 운영팀은 테스트와 운영 환경 적용, 완료 보고를 수행한다.

⤢✕

KEV 등재 후 기한은 취약점 심각도와 악용 활성도에 따라 달라진다.

취약점 유형	통상 패치 기한
활발히 악용 중인 RCE	2주 이내
활발히 악용 중인 권한 상승	2-3주 이내
활발히 악용 중인 DoS	3주 이내
기타 활발히 악용 중인 취약점	3-4주 이내

CVE-2026-41091과 CVE-2026-45498은 2026년 5월 20일경 KEV에 등재된 뒤 6월 3일을 패치 기한으로 받았으며, 약 2주의 기간이 주어졌다.

민간 조직도 KEV를 기준으로 삼으면 수천 개 CVE 가운데 실제 위협을 식별하고, 제한된 인력과 예산을 우선순위가 높은 취약점에 집중할 수 있다. 보안 규정 및 프레임워크와 연계할 근거를 만들고, 경영진에게 보안 투자의 필요성을 설명하는 데도 활용할 수 있다.

자산과 벤더를 함께 다루는 패치 운영

기업 환경에는 Microsoft, Apple, Linux, 수십 개의 서드파티 소프트웨어가 공존한다. 따라서 취약점 인텔리전스, 자산 인벤토리, 우선순위 판단, 패치 배포와 컴플라이언스 확인을 하나의 운영 흐름으로 연결해야 한다.

⤢✕

Microsoft Defender는 자동 업데이트 메커니즘을 내장한다. Windows Update를 통한 자동 배포가 기본값이며, Microsoft Update 카탈로그에서 수동으로 내려받거나 WSUS(Windows Server Update Services)로 중앙 관리할 수 있다.

에어갭(air-gapped) 환경에서는 수동 오프라인 업데이트가 필요하다. 업데이트 링(update ring) 설정은 지연을 일으킬 수 있고, Intune이나 SCCM 같은 엔드포인트 관리 솔루션을 통한 강제 배포도 고려 대상이다.

Apple 기기는 MDM(Mobile Device Management)으로 관리한다. Jamf Pro 또는 Jamf Now는 macOS와 iOS 기기를 통합 관리하며, Microsoft Intune은 Windows와 Apple 기기를 함께 관리할 수 있다. Apple Business Manager는 기업 기기 프로비저닝과 관리에 사용된다. iOS는 업데이트 강제 적용 정책을 통해 일정 버전 이하 기기의 기업 리소스 접근을 차단할 수 있다.

KEV와 자산 노출도를 결합한 우선순위

모든 취약점을 동시에 패치할 수 없는 환경에서는 실제 악용, KEV 등재 여부, CVSS, 인터넷 노출 자산 여부를 함께 판단해야 한다.

우선순위	기준	권장 패치 기한
P0 (긴급)	KEV 등재 + 활발한 악용 + 인터넷 노출 자산	24-48시간
P1 (높음)	KEV 등재 + CVSS 7.0 이상	1주일
P2 (중간)	CVSS 7.0 이상 (KEV 미등재)	2-4주
P3 (낮음)	CVSS 4.0-6.9	1-3개월
P4 (정보)	CVSS 4.0 미만	다음 정기 패치

CVE-2026-41091은 CVSS 7.8, KEV 등재, 활발한 악용이라는 조건을 모두 갖추므로 P0~P1 수준으로 분류해야 한다.

취약점 관리 프로세스와 용어

ISMS-P 관점의 취약점 관리는 식별, 위험 평가, 패치 계획, 적용, 검증 및 모니터링으로 이어진다. CVE 데이터베이스, 벤더 권고문, CISA KEV로 취약점을 모니터링하고, CVSS 점수·실제 악용 여부·자산 중요도를 바탕으로 위험을 평가한다. 이후 변경관리 절차와 연계해 일정을 정하고, 테스트·스테이징·프로덕션 순으로 적용한 뒤 재스캔으로 제거 여부를 검증한다.

용어	설명
CVE (Common Vulnerabilities and Exposures)	공개된 취약점에 부여되는 표준 식별자
CVSS (Common Vulnerability Scoring System)	취약점 심각도를 0.0~10.0으로 정량화하는 표준 점수 체계
KEV (Known Exploited Vulnerabilities)	실제 악용이 확인된 취약점 목록 (CISA 운영)
BOD (Binding Operational Directive)	미국 연방 기관에 대한 구속력 있는 사이버보안 지침
FCEB (Federal Civilian Executive Branch)	미국 연방 민간 행정부 기관 (군 제외)
TOCTOU (Time-Of-Check to Time-Of-Use)	확인 시점과 사용 시점 사이의 경쟁 조건 취약점 유형
Zero-Day	공개 또는 패치 이전에 악용되는 취약점

2026년에는 월별 패치 화요일(Patch Tuesday) 외에도 긴급 패치가 빈번하게 배포되고 있다. AI 기반 위협 탐지로 취약점 악용 패턴을 사전에 감지해 패치 전 임시 차단 조치를 취하는 방식, 클라우드 관리 단말 원격 패치 자동화, Microsoft·Apple·Google 등 주요 벤더 간 위협 인텔리전스 공유 확대도 이어지고 있다.

CVE-2026-41091과 CVE-2026-45498 사례에서는 Huntress 등 보안 연구 기업이 야생 악용을 탐지하고 CISA에 보고해 KEV 등재로 이어지는 공조 체계가 작동했다. 패치 적용이 끝났다면 Microsoft Defender 버전이 1.1.26040.8 이상(CVE-2026-41091 수정) 및 4.18.26040.7 이상(CVE-2026-45498 수정)인지 확인해야 한다.