Microsoft 2026년 4월 Patch Tuesday와 NTLM 제로데이 대응

실제 악용된 NTLM 제로데이가 포함된 월간 업데이트

2026년 4월 Patch Tuesday에서 마이크로소프트는 167개 취약점을 수정했다. 2026년 단일 월 기준 최대 규모이며, 2월 수치의 거의 세 배다. 실제 공격에 악용된 제로데이는 두 건이고, 이 가운데 CVE-2026-32202는 CISA KEV 카탈로그에 등재돼 연방기관은 5월 12일까지 패치를 적용해야 했다.

구분	수치
전체 수정 취약점	167개
Critical(긴급)	8개
Important(중요)	157개
실제 악용 제로데이	2건
공개 전 악용(In-the-Wild)	CVE-2026-32202, CVE-2026-33825
원격 코드 실행 Critical	7개
서비스 거부 Critical	1개

수정 범위에는 Windows 컴포넌트, Microsoft 365, Azure, Hyper-V, SharePoint Server, Microsoft Defender가 포함됐다. Critical 8건 가운데 7건은 원격 코드 실행(RCE) 취약점이다. 인터넷에 노출된 서버라면 패치 지연 자체가 직접적인 공격 표면이 된다.

Windows Shell의 불완전한 패치가 남긴 NTLM 해시 유출 경로

CVE-2026-32202 — 제로클릭 NTLM 해시 유출

CVE-2026-32202는 Windows Shell의 보호 메커니즘 실패(Protection Mechanism Failure)로 발생한 스푸핑 취약점이다. 2026년 2월에 패치된 CVE-2026-21510의 수정이 완전하지 않았고, Akamai 연구팀이 2월 패치 이후 테스트 과정에서 이 문제를 발견했다.

Windows 탐색기가 악성 LNK(바로가기) 파일이 들어 있는 폴더를 렌더링하면, 파일을 열거나 실행하지 않아도 LNK에 삽입된 UNC 경로를 자동으로 해석한다. 해당 경로가 공격자 제어 서버를 가리키는 경우 Windows는 SMB 연결을 시도하고 피해자의 NTLMv2 해시를 전송한다.

항목	내용
CVE ID	CVE-2026-32202
취약점 유형	스푸핑 / NTLM 인증 강제 유도
공격 벡터	네트워크 (원격, 인증 불필요)
사용자 상호작용	폴더 열람만으로 트리거 (제로클릭)
CISA KEV 등재	예
연방기관 패치 기한	2026년 5월 12일
연관 위협 행위자	APT28 (Fancy Bear, 러시아 GRU)

CISA는 APT28(러시아 GRU 산하 Fancy Bear)이 동일 계열 취약점인 CVE-2026-21510을 우크라이나 및 EU 국가 대상 공격에 실제 활용했음을 확인했다. CVE-2026-32202는 불완전한 패치에 대한 후속 우회 경로다.

CVE-2026-33825 — Windows Defender 권한 상승 (BlueHammer)

CVE-2026-33825는 BlueHammer로 알려진 Windows Defender 로컬 권한 상승 취약점이다. 2026년 4월 3일 공개 직전까지 공격자에 의해 악용됐으며, 4월 14일 Defender Antimalware Platform 업데이트로 수정됐다.

원인은 Defender 위협 치료(Threat Remediation) 엔진의 TOCTOU(Time-of-Check to Time-of-Use) 경쟁 조건이다. Defender가 악성 파일을 탐지하고 치료하면서 특권 파일 작업을 수행할 때, 쓰기 시점에 파일 경로를 재검증하지 않는 결함이 있다.

공격자는 배치 기회 잠금(Batch Oplock)으로 Defender 파일 작업을 일시 정지시킨 뒤, 심링크 또는 NTFS 정션을 이용해 작업 대상 경로를 임의 시스템 경로로 바꾼다. 그 결과 NT AUTHORITY\SYSTEM 권한으로 임의 파일을 덮어쓸 수 있다.

항목	내용
CVE ID	CVE-2026-33825
공개 명칭	BlueHammer
CVSS 점수	7.8 (High)
취약점 유형	TOCTOU 경쟁 조건 → 로컬 권한 상승
필요 권한	로컬 인증 사용자 (저권한)
영향	NT AUTHORITY\SYSTEM 획득
수정 업데이트	Defender Antimalware Platform (2026-04-14)

BlueHammer 수정 후 13일 이내에 UnDefend(Defender 업데이트 메커니즘 방해)와 RedSun(클라우드 태그 파일 남용 권한 상승)이 연속 공개됐다. Defender를 겨냥한 제로데이 집중 공세가 이어진 시점이다.

해시를 복호화하지 않고 인증에 재사용하는 방식

CVE-2026-32202의 위험은 NTLMv2 해시가 유출되는 데서 끝나지 않는다. 공격자는 해시를 복호화하지 않아도 다른 서비스에 그대로 재사용할 수 있다.

⤢✕

SMB, LDAP, HTTP처럼 NTLM을 지원하는 프로토콜은 릴레이 대상이 될 수 있다. Active Directory 환경에서 도메인 컨트롤러로의 릴레이가 성공하면 도메인 전체 장악으로 이어질 수 있다.

릴레이가 실패하더라도 캡처한 NTLMv2 해시는 hashcat 등의 도구를 통한 오프라인 사전 공격이나 무차별 대입 공격에 사용될 수 있으며, 원문 패스워드 복원 시도가 가능하다.

NTLM 의존성을 줄이고 릴레이를 차단하는 방어 계층

CVE-2026-32202의 패치는 우선 적용해야 한다. 다만 같은 계열의 공격을 계속 줄이려면 NTLM 사용 여부와 레거시 의존성을 함께 점검하는 다층 방어가 필요하다.

⤢✕

SMB 서명을 협상 상태에 남기지 않기

SMB Signing은 각 메시지에 암호학적 서명을 추가한다. 중간의 공격자가 릴레이하더라도 서명을 위조할 수 없게 하는 방식이다. Windows 11 24H2 및 Windows Server 2025부터는 클라이언트와 서버 모두 기본적으로 SMB 서명이 필수(Required)로 설정된다.

그룹 정책에서는 다음 경로의 서버·클라이언트 설정을 모두 확인한다.

컴퓨터 구성 → Windows 설정 → 보안 설정 → 로컬 정책 → 보안 옵션
Microsoft network server: Digitally sign communications (always) → 사용
Microsoft network client: Digitally sign communications (always) → 사용

Windows Server 2019 이하의 레거시 시스템은 기본값이 협상(Negotiate)이므로 Required로 명시 변경해야 한다.

TLS 채널에 인증을 묶는 EPA

Extended Protection for Authentication(EPA)는 TLS 채널과 NTLM 인증을 바인딩해 릴레이를 차단한다. HTTPS나 LDAPS처럼 TLS 채널이 있으면 채널 바인딩 토큰(CBT)을 사용하고, TLS 채널이 없으면 서비스 주체 이름(SPN) 바인딩을 적용한다.

Exchange Server: Set-AuthConfig 및 Extended Protection 설정 활성화
AD CS(인증서 서비스): KB5005413 지침에 따라 EPA 및 SSL 필수 설정
IIS: 확장 보호 설정(Extended Protection) → 필수(Required)

EPA가 활성화된 환경에서는 공격자가 NTLM 해시를 릴레이하더라도 채널 바인딩 불일치 때문에 인증이 거부된다.

Kerberos 전환을 위한 NTLM 사용 현황 감사

가장 확실한 방어는 NTLM 자체를 폐지하는 것이다. 마이크로소프트는 2024년부터 NTLM의 단계적 폐지(Deprecation)를 공식화했고, 현대 Active Directory 환경에서 Kerberos로 전환하는 로드맵을 발표했다.

# NTLM 인증 이벤트 감사 활성화
auditpol /set /subcategory:"Credential Validation" /success:enable /failure:enable
# 이벤트 뷰어 → 보안 로그 → EventID 4776 (NTLM 인증 시도) 모니터링

도메인 컨트롤러에서 NTLM을 즉시 비활성화하면 레거시 애플리케이션이 중단될 수 있다. 먼저 감사 모드로 사용 현황을 파악하고, 이후 제한 범위를 단계적으로 넓히는 접근이 권장된다.

실제 악용 여부까지 반영하는 패치 우선순위

마이크로소프트는 매월 두 번째 화요일(Patch Tuesday)에 보안 업데이트를 일괄 배포한다. 운영 환경에서는 심각도뿐 아니라 실제 악용 가능성을 함께 봐야 한다.

등급	정의	대응 기준
Critical (긴급)	사용자 개입 없이 원격 악용 가능	즉시 패치 (24~72시간 이내)
Important (중요)	악용 시 심각한 보안 위협	30일 이내 패치
Moderate (보통)	취약점 악용이 제한적	다음 패치 사이클 내
Low (낮음)	악용 가능성 매우 낮음	정기 패치 사이클

마이크로소프트 악용 가능성 지수(Exploitability Index)는 CVSS 점수와 함께 패치 우선순위를 정하는 지표다. 연구에 따르면 높은 CVSS 점수만으로 악용 가능성을 예측하는 것은 신뢰도가 낮다. 실제 공격 여부(In-the-Wild)와 개념 증명(PoC) 코드 공개 여부를 함께 고려해야 한다.

실제 악용이 확인된 제로데이: 즉각 임시 완화 + 긴급 패치
CISA KEV 등재 취약점: 기관 SLA 준수 (연방: 14일)
Critical 등급 인터넷 노출 시스템: 24~72시간
Critical 등급 내부 시스템: 7일
Important 등급: 30일

KEV 등재가 바꾸는 기관의 대응 기한

CISA의 알려진 악용 취약점(KEV, Known Exploited Vulnerabilities) 카탈로그는 Binding Operational Directive(BOD) 22-01에 근거한다. 연방 민간 행정부(FCEB) 기관은 KEV에 등재된 취약점을 지정 기한 안에 의무적으로 패치해야 하며, BOD 22-01은 미준수 시 제재 근거를 제공한다.

⤢✕

CVE-2026-32202는 2026년 4월 말 KEV에 등재됐고, 5월 12일이 연방기관 패치 마감일로 정해졌다. CISA는 민간 기업에도 같은 긴박감으로 패치를 적용할 것을 촉구했다.

사내 SLA에 KEV를 반영할 때는 신규 등재 항목의 자동 알림 체계를 RSS 또는 CISA API로 구성하고, KEV 취약점에 14일 SLA를 명시할 수 있다. 임시 완화 조치(Workaround)가 있다면 패치 전 즉시 적용하고 기록한다.

패치 전후로 이어지는 제로데이 대응

제로데이는 패치가 나오기 전과 나온 뒤 모두 빠른 대응이 필요하다. April 2026 Patch Tuesday의 두 제로데이를 기준으로 보면, 패치 전에는 위협 식별과 임시 완화, 노출 면 축소, 모니터링 강화를 병행한다.

단계	조치	CVE-2026-32202 적용 예시
위협 식별	IOC 수집 및 내부 탐색	APT28 인프라 IP/도메인 차단
임시 완화	공식 Workaround 적용	NTLM 비활성화 또는 SMB 포트 차단
노출 면 축소	취약 기능 일시 비활성화	UNC 경로 자동 해석 그룹 정책 제한
모니터링 강화	관련 이벤트 로그 집중 감시	EventID 4776 이상 감지 시 알림

패치가 배포된 뒤에는 우선 배포 대상 선정, 샌드박스 환경에서의 재현 테스트, 호환성 문제를 위한 롤백 준비, BOD 22-01 준수 현황 기록이 이어져야 한다.

단계	조치
긴급 패치 배포	WSUS/SCCM/Intune을 통한 우선 배포 대상 선정
검증	패치 적용 후 취약점 재현 테스트 (샌드박스 환경)
롤백 계획	호환성 문제 발생 시 즉시 복구 절차 준비
완료 보고	CISA BOD 22-01 준수 현황 내부 기록 및 감사 대비

WSUS, Microsoft Endpoint Configuration Manager, Microsoft Intune 같은 패치 관리 자동화 도구는 배포 일관성을 보장하고 인적 오류를 줄인다. 적용 이후에는 예상하지 못한 시스템 장애를 모니터링하고, 롤백 계획을 사전에 준비해야 한다.

2026년 4월 Patch Tuesday는 167개 취약점 수정과 실제 악용된 두 건의 제로데이를 포함한 2026년 최대 규모의 월간 패치였다. CVE-2026-32202는 APT28이 활용한 제로클릭 NTLM 해시 유출 취약점으로, CISA KEV 등재와 함께 5월 12일 연방기관 패치 마감이 설정됐다. CVE-2026-33825(BlueHammer)는 Defender 치료 엔진의 TOCTOU 결함으로 SYSTEM 권한 상승이 가능하다. 패치와 함께 SMB 서명 강제, EPA 활성화, NTLM 단계적 폐지를 운영해야 동일 계열 공격을 근본적으로 차단할 수 있다.