Microsoft Defender 제로데이와 YellowKey 연계 공격 대응
CVE-2026-45498, CVE-2026-41091, YellowKey의 연계 위험과 Windows 엔드포인트 방어 아키텍처를 정리한다.
2026-08-14 · 최초 발행 2026-05-25
KEV 등재가 의미하는 Defender 공격 표면
CISA는 2026년 5월 Microsoft Defender 취약점 CVE-2026-45498과 CVE-2026-41091을 Known Exploited Vulnerabilities(KEV) 카탈로그에 올렸다. 두 취약점은 야생에서 악용된 정황이 확인된 제로데이로, 공격자는 Microsoft Defender의 실시간 보호를 약화시킨 뒤 후속 페이로드를 배포하는 데 활용했다.
동시에 공개된 YellowKey(CVE-2026-45585, CVSS 6.8)는 BitLocker 암호화 볼륨 우회와 연결된다. Defender 우회 뒤 데이터 보호 계층까지 겨냥할 수 있다는 점에서, 엔터프라이즈 Windows 환경은 패치와 탐지, 격리, 키 로테이션을 분리된 작업이 아니라 하나의 대응 체계로 다뤄야 한다.
| 항목 | CVE-2026-45498 | CVE-2026-41091 |
|---|---|---|
| 영향 컴포넌트 | Microsoft Defender Antivirus Engine | Microsoft Defender for Endpoint (MDE) Sensor |
| CVSS 점수 | 8.8 (High) | 7.8 (High) |
| 취약점 유형 | CWE-347 (서명 검증 실패) | CWE-122 (힙 버퍼 오버플로우) |
| 악용 방식 | 로컬 권한 상승 + 탐지 회피 | 원격 코드 실행 → 센서 무력화 |
| 패치 KB | KB5058500 | KB5058512 |
| KEV 기한 | 2026-06-09 | 2026-06-09 |
위협 인텔리전스 보고서는 APT 그룹으로 추정되는 공격자가 CVE-2026-41091로 MDE 센서를 먼저 무력화하고, 이어 CVE-2026-45498으로 악성 코드의 서명 검증을 우회하는 순서를 사용했다고 설명한다. CISA는 연방 민간 기관(FCEB)에 6월 9일까지 패치를 의무화했으며, 민간 조직에도 같은 일정을 강력 권고했다.
Microsoft는 2026년 5월 정기 패치 화요일(Patch Tuesday)에 두 CVE를 포함한 총 147개 취약점의 패치를 배포했다. CVE-2026-45498과 CVE-2026-41091은 Exploitation Detected 태그가 붙은 8개 제로데이 중 2개다.
서명 판정과 센서 가시성을 노리는 결함
조작된 PE 헤더가 통과하는 CVE-2026-45498
CVE-2026-45498은 Microsoft Defender Antivirus Engine의 PE(Portable Executable) 서명 검증 로직 결함이다. MsMpEng.exe(Malware Protection Engine)가 특정 형식으로 조작된 PE 헤더를 처리하는 과정에서 Authenticode 검증을 건너뛸 수 있는 조건 분기 오류(CWE-347)가 발생한다.
악용 시 합법적으로 서명된 바이너리의 PE 헤더에서 Checksum 필드와 DataDirectory[IMAGE_DIRECTORY_ENTRY_SECURITY] 섹션이 특정 방식으로 조작된다. MsMpEng가 파일을 검사할 때 조작된 헤더 값이 내부 파싱 루프의 경계 검사를 오류 경로로 유도하며, Authenticode 검증 단계가 생략된다. 그 결과 서명되지 않았거나 변조된 실행 파일이 서명된 파일로 오분류되어 실행 허용될 수 있다.
문제는 Windows Smart App Control(SAC), Windows Defender Application Control(WDAC) 정책과의 상호작용이다. 두 정책은 서명 기반 허용 목록을 1차 판단 기준으로 사용하므로, Defender가 서명 상태를 잘못 판정하면 SAC와 WDAC의 차단 계층도 함께 우회될 수 있다.
WMI 이벤트 처리에서 발생하는 CVE-2026-41091
CVE-2026-41091은 Microsoft Defender for Endpoint의 커널 모드 센서 드라이버 MsSense.sys에 존재하는 힙 버퍼 오버플로우(CWE-122)다. MDE 센서는 커널 수준에서 프로세스 생성, 네트워크 연결, 파일 I/O 이벤트를 수집하고 ETW(Event Tracing for Windows) 기반으로 Microsoft 365 Defender 포털에 전송한다.
취약한 경로는 MsSense.sys가 특수하게 조작된 WMI(Windows Management Instrumentation) 이벤트를 처리하는 부분이다. 높은 빈도와 특정 페이로드 크기의 WMI 이벤트가 연속 발생하면, 내부 이벤트 파싱 버퍼의 힙 할당 크기를 넘는 데이터가 인접 메모리를 덮어쓸 수 있다. 이 경로는 다음 결과로 이어진다.
MsSense.sys드라이버를 강제 크래시시켜 MDE 센서를 비활성화한다.- 크래시 재시작 지연 시간에 탐지 공백(detection gap)을 만든다.
- 크래시 덤프로 커널 주소 레이아웃 정보를 획득해 KASLR을 우회한다.
- 더 정교한 익스플로잇으로 커널 수준 코드 실행을 달성한다.
도메인 참가 머신에서는 WMI를 통한 원격 이벤트 트리거가 가능하다. 일반 사용자 권한 계정만 확보한 공격자도 MDE 센서 무력화 → 커널 권한 상승 체인을 구성할 수 있다는 점이 위험하다.
YellowKey가 BitLocker 보호를 우회하는 경로
YellowKey는 Microsoft가 CVE-2026-45585로 등록한 BitLocker 암호화 볼륨 우회 취약점의 연구자 별칭이다. CVSS 기본 점수는 6.8로 앞선 두 CVE보다 낮지만, 연계 공격에서는 데이터 유출 단계의 핵심 연결 고리가 된다.
결함은 BitLocker의 TPM(Trusted Platform Module) + PIN 모드에서 TPM 측정값을 검증하는 로직에 있다. PCR(Platform Configuration Register) 레지스터 7번과 11번의 측정 체인에서 특정 UEFI 변수 변조를 감지하지 못하는 경쟁 조건이 존재한다.
- 물리적 접근 없는 원격 우회: 이미 로컬 관리자 권한을 획득한 공격자가 재부팅 없이 UEFI 변수를 조작해 다음 부팅에서 BitLocker 해제를 유도한다.
- 가상 보안 모드(VSM) 격리 우회: Credential Guard가 활성화돼도 BitLocker 마스터 키(VMK, Volume Master Key)가 메모리에 남아 있는 특정 순간을 포착해 덤프한다.
- Recovery Key 없이 볼륨 마운트: 덤프한 VMK로 오프라인 BitLocker 볼륨 복호화를 수행한다.
이 취약점에는 로컬 관리자 권한이 전제되므로 CVSS 점수가 상대적으로 낮다. 그러나 CVE-2026-41091으로 커널 권한까지 얻은 공격자에게는 데이터 유출의 최종 단계가 된다.
탐지 회피에서 데이터 반출까지의 공격 연쇄
세 CVE는 권한 상승과 탐지 회피를 함께 수행하는 공격 경로를 만든다. 위협 인텔리전스 분석에서 관찰된 TTP(Tactics, Techniques, Procedures)를 MITRE ATT&CK로 매핑하면 다음과 같다.
| 단계 | ATT&CK 전술 | 기법 ID | 활용 취약점 |
|---|---|---|---|
| (1) 초기 접근 | Initial Access | T1566 (피싱) | — |
| (2) 탐지 회피 준비 | Defense Evasion | T1562.001 (보안 도구 비활성화) | CVE-2026-41091 |
| (3) 서명 우회 실행 | Execution | T1553.002 (코드 서명 우회) | CVE-2026-45498 |
| (4) 권한 상승 | Privilege Escalation | T1068 (취약점 악용) | CVE-2026-41091 |
| (5) 자격증명 접근 | Credential Access | T1552.004 (개인 키 탈취) | CVE-2026-45585 |
| (6) 데이터 수집 | Collection | T1005 (로컬 시스템 데이터) | YellowKey |
| (7) 반출 | Exfiltration | T1048 (대체 프로토콜 반출) | — |
CVE-2026-45498을 악용한 직후에는 서명 검증을 우회한 악성 DLL을 정상 Windows 서비스 프로세스인 svchost.exe, lsass.exe에 인젝션하는 방식이 사용된다. DLL 인젝션은 Defender가 프로세스 생성 이벤트가 아니라 메모리 내 실행 패턴으로 탐지해야 하므로, MDE 센서가 비활성화된 상태에서는 사실상 탐지가 불가능하다.
BitLocker 우회 뒤에는 즉시 데이터 유출 또는 지속성 확보로 갈린다. 전자는 VMK 덤프 후 오프라인 복호화를 통해 재무 데이터, 지적 재산권 문서, 사용자 크리덴셜 데이터베이스를 수집한다. 후자는 BitLocker가 해제된 볼륨에 부트킷(bootkit)이나 펌웨어 임플란트를 설치해 시스템 초기화 뒤에도 접근을 유지한다. 후자의 탐지와 제거는 더 복잡하다.
커널 권한을 획득한 공격자는 도메인 참가 머신의 LSA(Local Security Authority) 메모리에서 Kerberos 티켓과 NTLM 해시를 덤프할 수 있다. 이를 통해 같은 도메인의 다른 호스트로 횡적 이동(Lateral Movement)이 가능해진다.
Windows 환경에서 우선 적용할 방어 계층
CISA가 제시한 6월 9일 기한을 맞추면서 서비스 중단을 줄이려면 위험 기반 패치 우선순위화(Risk-Based Patch Prioritization)가 필요하다. WSUS 또는 Microsoft Endpoint Configuration Manager(MECM) 환경에서는 인터넷 노출 엔드포인트와 특권 접근 워크스테이션(PAW)에 72시간 내 KB5058500·KB5058512를 강제 배포한다. 서버 워크로드는 변경 관리 절차를 거쳐 계획된 유지보수 창에 반영하고, 패치 전후에는 MDE 센서 상태를 모니터링해 악용 흔적을 역추적 분석한다.
Microsoft Defender ASR(Attack Surface Reduction) 규칙도 함께 강화한다.
Block process creations originating from PSExec and WMI commands규칙을 감사(Audit) 모드에서 차단(Block) 모드로 전환해 CVE-2026-41091에 활용되는 WMI 기반 공격 표면을 줄인다.Block abuse of exploited vulnerable signed drivers규칙을 활성화해 조작된 서명 드라이버 로딩을 차단한다.Block credential stealing from the Windows local security authority subsystem (lsass.exe)규칙을 강화해 사후 권한 상승 체인을 차단한다.
MDE 센서 비활성화에 대응하는 자동 격리(Automated Isolation) 정책은 MsSense.sys 프로세스의 비정상 종료, Defender 서비스(WinDefend) 상태 변경, MDE Health Report가 5분 이상 Microsoft 365 Defender 포털에 도달하지 않는 경우를 트리거로 삼는다. 조건에 해당하는 엔드포인트는 자동 네트워크 격리(Network Isolation)로 전환한다. 격리 중에도 MDE 관리 채널은 유지돼 원격 포렌식 분석을 지원한다.
CVE-2026-45498 우회에 대한 심층 방어로는 WDAC 정책의 RequireWHQL 설정을 통한 드라이버 서명 강제와 File Publisher 기반 허용 목록 운영이 있다. 신규 실행 파일이 허용 목록에 없으면 즉시 SOC 알림을 발생시키도록 구성한다.
YellowKey 패치 KB5058589를 배포한 뒤에도, 패치 이전 VMK 노출 가능성은 남는다. 전체 엔드포인트에서 BitLocker 복구 키 로테이션을 즉시 적용해야 한다.
# PowerShell - Intune 정책을 통한 BitLocker 키 로테이션
# 모든 도메인 참가 머신에 GPO 또는 Intune으로 배포
# (1) 현재 BitLocker 상태 확인
manage-bde -status C:
# (2) 기존 복구 키 무효화 및 새 키 생성
manage-bde -protectors -delete C: -type RecoveryPassword
manage-bde -protectors -add C: -RecoveryPassword
# (3) 새 복구 키를 Azure AD / Active Directory에 에스크로
manage-bde -protectors -adbackup C: -id "{복구키-GUID}"
# (4) TPM 측정값 재초기화 (YellowKey UEFI 변수 조작 대응)
manage-bde -protectors -delete C: -type TPM
manage-bde -protectors -add C: -TPMAndPIN
BitLocker Network Unlock을 사용하는 환경에서는 네트워크 언락 인증서도 교체한다. Azure AD 조인 기기는 Microsoft Endpoint Manager의 Rotate BitLocker Recovery Key 원격 작업으로 개별 또는 일괄 키 로테이션을 수행할 수 있다.
Sentinel과 MDE를 잇는 자동 대응 흐름
CVE-2026-45498, CVE-2026-41091, YellowKey 대응은 Microsoft Sentinel과 MDE를 오케스트레이션 허브로 두고, 트리거와 조치를 계층별로 나눈다.
즉각 탐지 및 알림(0~5분) 단계에서는 Sentinel Analytics 규칙으로 MDE 센서 크래시를 감시한다.
// CVE-2026-41091 - MDE 센서 크래시 탐지
DeviceEvents
| where ActionType == "ServiceStopped"
| where InitiatingProcessFileName has_any ("MsSense.exe", "WdNisSvc.exe")
| where Timestamp > ago(10m)
| project Timestamp, DeviceName, ActionType, InitiatingProcessCommandLine
| join kind=inner (
DeviceNetworkEvents
| where RemotePort in (4433, 443)
| where Timestamp > ago(10m)
) on DeviceName
| summarize count() by DeviceName, bin(Timestamp, 5m)
| where count_ > 3자동화 대응(5~30분) 단계에서는 Logic Apps 또는 Microsoft Sentinel Playbook이 MDE 격리 API를 호출해 네트워크 격리를 적용한다. 이어 라이브 응답 세션을 시작해 메모리 덤프와 프로세스 목록을 수집하고, SOC 티켓 시스템(ServiceNow, Jira)에 P1 인시던트를 생성해 온콜 분석가에게 알린다.
심층 분석 및 복구(30분~4시간) 단계에서는 수집한 메모리 덤프와 ETW 로그로 침해 범위를 확정한다. BitLocker VMK 노출이 의심되면 즉시 키 로테이션을 실행하고, 레지스트리 키·예약 작업·서비스 등 지속성 메커니즘을 식별해 제거한다.
메모리 포렌식 자동화에는 Microsoft Defender for Endpoint의 라이브 응답 기능을 사용한다. GetFile 명령으로 의심 프로세스의 메모리 덤프를 수집하고, RunScript로 Sysinternals Autoruns 스캔을 원격 실행해 지속성 아티팩트를 식별한다. 수집된 아티팩트는 Azure Blob Storage에 보관해 장기 포렌식 분석과 법적 대응 자료로 활용한다.
보안 도구를 별도 경로로 감시하는 운영 모델
보안 솔루션 자체가 취약점의 대상이 될 수 있으므로, 보안 도구에 대한 보안(Security for Security Tools) 모니터링 파이프라인이 필요하다.
Defender가 Defender를 감시할 수 없다는 제약을 고려해 독립적인 모니터링 계층을 둔다. Windows Event Forwarding(WEF)으로 보안 솔루션 관련 이벤트를 별도 SIEM에 전달하고, 전달 경로는 MDE와 분리한다.
MDE 센서가 보고하지 않는 엔드포인트를 주기적으로 찾는 커버리지 갭 탐지(Coverage Gap Detection)도 운영한다. Microsoft Defender for Endpoint API로 5분 주기 마지막 하트비트를 확인하고, 10분 이상 침묵한 디바이스는 잠재 침해 대상으로 격리 여부를 검토한다.
CISA KEV, NVD, MSRC(Microsoft Security Response Center) API를 구독하는 취약점 인텔리전스 자동 연동도 필요하다. Microsoft 제품군의 신규 KEV 항목을 감지하면 내부 취약점 추적 시스템에 등록하고, 영향 자산 목록과 패치 가용성을 포함한 대응 태스크를 생성한다.
MDE Advanced Hunting에는 프로세스 인젝션, 비정상 자식 프로세스 생성, 레지스트리 Run 키 수정, 예약 작업 생성 같은 사후 활동 패턴을 대상으로 한 사용자 정의 탐지 규칙을 추가한다. CVE-2026-45498 악용 뒤 MDE가 재활성화됐을 때는 침해 이전 행동 로그를 소급 분석하는 사후 소급 분석(Retrospective Analysis)을 플레이북에 포함한다.
Microsoft Defender의 취약점은 단일 보안 제품 의존도의 위험을 보여 준다. 제3자 EDR 솔루션(CrowdStrike Falcon, SentinelOne, Palo Alto Cortex XDR)과의 병행 운영은 보안 가용성(Security Availability)을 위한 아키텍처 선택이다. 정기적인 레드팀 실연(Red Team Exercise)으로 Defender 우회 상황의 탐지·대응 역량을 측정하고 탐지 공백을 식별해야 한다.
Sources
- CISA Known Exploited Vulnerabilities Catalog
- Microsoft Security Response Center - May 2026 Security Updates
- Microsoft Defender for Endpoint - Attack Surface Reduction Rules
- BitLocker overview and requirements FAQ - Microsoft
- MITRE ATT&CK - Defense Evasion: Impair Defenses (T1562)
- Microsoft Sentinel - Automated Investigation and Response
- Windows Defender Application Control deployment guide
- NVD - National Vulnerability Database CVE Search