Microsoft 4월 Patch Tuesday: 제로데이를 중심으로 세우는 패치 우선순위

실제 공격이 확인된 SharePoint 취약점부터 봐야 하는 이유

Microsoft는 2026년 4월 Patch Tuesday에서 보안 취약점 167개를 수정했다. 이는 2025년 10월에 이어 월간 수정 건수 기준 두 번째로 많은 규모다. SharePoint Server 스푸핑(CVE-2026-32201)과 Microsoft Defender 권한 상승(CVE-2026-33825) 제로데이 2건도 포함됐다.

그중 SharePoint 취약점은 실제 공격에 사용된 사실이 확인됐다. CISA는 이를 Known Exploited Vulnerabilities(KEV) 카탈로그에 즉시 등재했고, 연방 기관에는 4월 28일까지 조치를 의무화했다.

Patch Tuesday는 Microsoft가 2003년부터 매월 둘째 화요일에 정기 보안 업데이트를 내놓는 일정이다. 제로데이는 벤더가 패치를 배포하기 전 이미 공격에 활용되거나 공개된 취약점을 뜻한다. 이 글에서 사용하는 판단 기준은 다음과 같다.

CVSS(Common Vulnerability Scoring System)는 취약점의 기술적 심각도를 0~10 점으로 평가하는 산업 표준 점수 체계다.
EPSS(Exploit Prediction Scoring System)는 향후 30일 내 실제 공격에 활용될 확률을 예측하는 모델이다.
SSVC(Stakeholder-Specific Vulnerability Categorization)는 Carnegie Mellon SEI와 CISA가 공동 개발한 의사결정 트리 기반의 취약점 우선순위 분류 프레임워크다.
KEV(Known Exploited Vulnerabilities)는 CISA가 관리하는 실제 공격에 활용된 취약점 목록이며, 연방 기관에는 기한 내 조치를 의무화한다.

권한 상승이 가장 큰 비중을 차지한 월간 업데이트

167개 취약점 가운데 권한 상승(Elevation of Privilege)이 가장 큰 비중을 보였다.

⤢✕

권한 상승 취약점은 62건으로 전체의 37.1%를 차지하며 Windows 커널, Win32k, NTFS 같은 핵심 OS 컴포넌트에 집중됐다. 원격 코드 실행(RCE)은 47건으로 Microsoft Excel, Outlook, SharePoint 등 Office 제품군과 Windows 네트워크 스택에 분포했다.

정보 유출은 26건이며 메모리 내용 노출과 파일 시스템 정보 유출이 포함된다. SharePoint, Edge, Windows 인증과 관련된 스푸핑은 14건, Windows Hyper-V와 네트워크 드라이버 관련 서비스 거부는 12건이다. Windows Defender와 SmartScreen 관련 보안 기능 우회는 6건이다.

심각도별로는 Critical이 8건, Important가 155건, Moderate가 4건이다. Important는 전체의 92.8%를 차지한다. Critical 8건 중 7건은 원격 코드 실행 유형이며, 네트워크를 통한 원격 공격이 가능한 고위험 항목이다.

CVE-2026-32201: Medium 점수와 별개로 긴급한 SharePoint 제로데이

CVE-2026-32201은 Active Exploitation이 확인된 SharePoint Server 스푸핑 제로데이다.

⤢✕

CVE ID: CVE-2026-32201
CVSS 점수: 6.5 (Medium)
CWE: CWE-20 (Improper Input Validation)
공격 벡터: 네트워크 기반, 인증 불필요, 사용자 상호작용 불필요
공격 복잡도: Low — 특별한 조건 없이 원격에서 트리거 가능
영향 범위: 기밀성(일부 민감 정보 노출), 무결성(정보 변조 가능), 가용성(영향 없음)
공격 결과: 크로스 사이트 스크립팅(XSS)을 통한 세션 하이재킹, 자격 증명 수집, 내부 서비스 피벗
영향 버전: SharePoint Server Subscription Edition, 2019, 2016
CISA KEV 등재: 2026년 4월 14일 등재, 연방 기관 조치 기한 4월 28일

CVSS는 6.5이지만 인증 없이 네트워크에서 직접 공격할 수 있고 실제 공격도 확인됐다. SharePoint를 협업 플랫폼으로 운영하는 조직에서는 사용자 사칭을 통해 내부 워크플로우와 접근 제어가 우회될 수 있다.

CVE-2026-33825: Defender 업데이트 경로를 노린 권한 상승

CVE-2026-33825는 패치 배포 전에 공개된 Publicly Disclosed 제로데이로, BlueHammer로 알려진 익스플로잇과 연결된다.

CVE ID: CVE-2026-33825
CVSS 점수: 7.8 (High)
CWE: CWE-1220 (Insufficient Granularity of Access Control)
공격 벡터: 로컬 접근 필요, 사용자 상호작용 불필요
공격 복잡도: Low
공격 결과: 일반 사용자에서 SYSTEM 권한으로 상승
익스플로잇 기법: Defender 서명 업데이트 메커니즘 악용 — TOCTOU(Time-of-Check to Time-of-Use) 레이스 컨디션과 경로 혼동(Path Confusion) 체이닝
공개 경위: 2026년 4월 3일 BlueHammer라는 이름으로 독립 연구자가 공개, PoC 코드 존재
패치 버전: Microsoft Defender Antimalware Platform 4.18.26030.3011 — 자동 업데이트로 배포

SYSTEM 권한을 얻으면 보안 도구 비활성화, 영구적 악성코드 설치, 추가 계정 생성 등 시스템 전체 장악이 가능하다. PoC 코드가 공개된 상태이므로 자동 업데이트 적용 여부를 확인해야 한다.

Critical 항목은 노출된 서비스와 배포 경로를 함께 확인한다

Critical 등급 8건에는 원격 코드 실행이 가능한 고위험 항목이 포함됐다.

영향 제품군	유형	공격 벡터	비고
Windows LDAP	RCE	네트워크	도메인 컨트롤러 대상
Windows SSTP	RCE	네트워크	VPN 터널링 프로토콜
Microsoft Office	RCE	파일 기반	Excel, Outlook 악성 문서
Windows Hyper-V	DoS	네트워크	가상화 인프라 대상
Windows TCP/IP	RCE	네트워크	IPv6 패킷 처리

LDAP 서비스 RCE는 Active Directory 도메인 컨트롤러에 직접 영향을 주므로 인터넷 노출 여부를 즉시 점검해야 한다. SSTP VPN 취약점은 원격 접속 인프라를 대상으로 하며 재택근무 환경에 위협이 된다. Office RCE의 주요 공격 경로는 피싱 이메일을 통한 악성 문서 전달이다.

패치를 자산 영향에 연결해 배포하는 흐름

167개 취약점을 한 번에 처리하려면 CVE 목록을 실제 자산과 연결하고, 검증과 배포를 분리해 운영해야 한다.

⤢✕

자산 인벤토리 기반 매핑에서는 167개 CVE를 조직 내 자산과 자동 매핑해 실제 영향 범위를 산정한다. 이를 위해 CMDB(Configuration Management Database)와 취약점 스캐너를 연동한다.

배포는 테스트 그룹, 비핵심 시스템, 핵심 서버 순으로 진행해 호환성 문제를 일찍 찾는다. 제로데이 2건과 Critical 8건은 일반 패치 주기와 분리해 24~48시간 내 긴급 적용한다. 대규모 적용 전에는 시스템 스냅샷 또는 백업 포인트를 생성해 장애 발생 시 복구 경로를 확보한다.

WSUS, SCCM/MECM, Intune 같은 Microsoft 네이티브 도구와 서드파티 패치 관리 솔루션을 조합하면 배포 속도와 가시성을 확보할 수 있다.

CVSS 점수만으로는 부족한 우선순위 결정

CVSS 7.0 이상 취약점 가운데 실제 공격에 활용되는 비율은 약 2.3%에 불과하다는 연구 결과가 있다. CVSS만으로 167개 취약점의 실질적 위험을 구분하기 어려운 이유다.

⤢✕

CVSS 7+를 기준으로 삼으면 약 16,000건의 취약점이 긴급 대상이 되지만, KEV와 EPSS를 결합하면 약 850건으로 95% 축소할 수 있다. EPSS는 향후 30일 내 실제 공격 확률을 예측해 이론적 심각도와 실질적 위협을 구분하는 데 사용된다.

SSVC는 취약점 자체만이 아니라 조직(Stakeholder) 관점에서 Act(즉시), Attend(긴급), Track*(주시), Track(정기)으로 조치 단계를 나눈다. 같은 CVSS 점수라도 인터넷에 노출된 도메인 컨트롤러와 격리된 테스트 서버의 우선순위는 다르다.

우선순위 = CVSS(영향도) × EPSS(공격 확률) × KEV(실제 공격 여부) × 자산 중요도

이번 4월 패치에 이 기준을 적용하면 CVE-2026-32201은 CVSS 6.5의 Medium이지만 KEV 등재와 Active Exploitation 때문에 Act(즉시 조치) 등급이 된다. CVE-2026-33825는 CVSS 7.8이며 PoC가 공개된 상태이므로 Attend(긴급 조치) 등급에 해당한다.

Microsoft 4월 Patch Tuesday에서는 제로데이와 Critical 항목을 167개 전체 업데이트와 같은 순서로 처리하기 어렵다. 실제 공격 여부, 공개된 PoC, 자산의 중요도와 노출 상태를 함께 반영해 긴급 항목을 분리하고, 나머지는 검증된 단계별 배포 흐름으로 관리해야 한다.