2026년, 마이크로소프트 디펜더의 최신 패치를 우회하는 ‘ShieldBreak’ 취약점이 공개되었습니다. Nightmare Eclipse가 발견한 이 PoC는 공격자가 시스템 제어권을 완전히 탈취하게 하며, 이미 패치를 적용한 조직도 안심할 수 없는 심각한 보안 위협입니다. 즉각적인 방어 강화가 시급합니다.
디펜더 패치 우회 ‘ShieldBreak’ 비상
2026년, 마이크로소프트 디펜더의 핵심 보안 패치 적용 후 불과 몇 주 만에 새로운 위협이 등장했습니다.
사이버 보안 연구원 ‘Nightmare Eclipse’는 디펜더의 취약점을 우회하는 ‘ShieldBreak’라는 개념 증명(PoC) 코드를 공개했습니다.
이 PoC는 공격자가 시스템에 어떤 방식으로든 접근을 획득하면 시스템 수준의 완전한 제어권을 탈취할 수 있게 만듭니다.
Nightmare Eclipse는 마이크로소프트 보안팀과 오랜 갈등을 겪어왔으며, 이번 ShieldBreak는 이전의 어떤 우회 기법보다 파괴적일 수 있다고 경고합니다.
시스템 제어권을 노리는 새로운 위협
ShieldBreak는 다른 최근 보고된 취약점들처럼, 공격자가 피싱 사기 등으로 시스템 접근 권한을 먼저 확보해야 합니다.
하지만 일단 침투에 성공하면, 공격자는 관리자 또는 루트 권한을 완전히 획득할 수 있습니다.
컨설팅 회사 Acceligence의 CEO 저스틴 그레이스(Justin Greis)는 이 점이 심각하다고 지적합니다.
특히 최근 배포된 마이크로소프트 패치(CVE-2026-50656)의 우회라는 점은 더욱 심리적인 문제를 야기합니다.
CISO의 오해를 불러오는 심리적 요인
그레이스 CEO는 “이 문제는 패치 우회가 근본적인 해결책의 무결성을 직접적으로 훼손하기 때문에 우려스럽다”고 말했습니다.
조직들이 이미 패치를 적용했으므로 안전하다고 믿을 수 있다는 것이죠.
그는 ShieldBreak가 CVE-2026-50656에 대한 마이크로소프트의 수정 사항을 우회하고 엔드포인트에서 시스템 수준 권한을 얻을 수 있음을 보여주는 듯하다고 설명합니다.
이는 기업 방어자들에게 중요한 차이점입니다.
패치 무용론과 신뢰도 하락
성공적인 패치 우회는 일반적인 취약점 관리 프로세스가 시스템이 보호된다고 말한 후에도 노출이 지속될 수 있음을 의미합니다.
그레이스는 이러한 우회책이 공식 패치에 대한 전반적인 신뢰를 떨어뜨릴 수 있다고 덧붙였습니다.
“개념 증명 코드가 우회할 수 있다면, CISO의 질문은 단순히 ‘패치를 배포했는가?’가 아니라 ‘실제로 노출을 제거했는가?’가 됩니다.”
그는 아키텍처 관점에서 동일한 보안 제품이 의존하는 제어 수단이자 제어가 작동하고 있다는 유일한 증거가 되는 것에 주의해야 한다고 조언했습니다.
시기 적절한 PoC 공개의 의도
LexisNexis Risk Solutions Group의 CISO 플라비오 빌라누스트레(Flavio Villanustre)는 PoC 공개 시점에 대해 특히 우려를 표했습니다.
이는 마이크로소프트에 가장 큰 압력을 가하려는 의도가 있는 듯합니다.
그는 “이 취약점이 유효하다면 마이크로소프트의 수정이 필요하지만, 패치는 보통 매달 둘째 화요일에만 배포된다”고 지적했습니다.
연구원이 PoC 공개 시기를 신중하게 조율했기에, 마이크로소프트가 이를 초고위험으로 간주하지 않는 한 우리는 향후 4주 동안 이 노출에 취약할 수 있습니다.
디펜더를 악용하는 치명적인 위협
사이버 보안 컨설턴트 브라이언 레바인(Brian Levine)은 이 PoC가 유효한 것으로 판명되면 CISO가 그 피해 잠재력을 과소평가해서는 안 된다고 강조합니다.
“위험한 점은 침투 후 발생합니다. 즉, 일반적인 낮은 권한 계정을 상자의 최고 권한으로 실행되는 보안 도구인 디펜더 자체를 악용하여 완전한 시스템 제어로 전환시킨다는 것입니다.”
그는 이 취약점이 랜섬웨어 그룹이나 수동 침투 공격자에게 이상적인 두 번째 단계가 될 수 있다고 경고합니다.
즉각적인 방어 강화와 위협 헌팅
레바인 컨설턴트는 CISO가 마이크로소프트의 수정 사항을 기다리지 말고 즉시 적극적인 방어 태세를 취할 것을 제안합니다.
“디펜더를 유일한 방어선으로 간주하는 것은 실패하는 시나리오입니다.
WDAC 또는 AppLocker와 같은 애플리케이션 허용 목록(Application allowlisting)이 가장 강력한 강화 조치이며, 침투가 성공하더라도 페이로드를 막을 수 있습니다.”
그는 로컬 관리자 권한을 강화하고 최소 권한 원칙을 적용하며, 한 가지 특정 사항을 주시해야 한다고 조언합니다.
MsMpEng.exe를 통한 이상 징후 포착
레바인 컨설턴트는 디펜더의 엔진인 MsMpEng.exe를 부모 프로세스로 하는 시스템 권한으로 실행되는 인터랙티브 셸 또는 스크립팅 호스트를 주의 깊게 살펴볼 것을 권고했습니다.
“이것은 정상적인 환경에서는 절대 발생해서는 안 되며, 누군가 이 공격을 실행하고 있다는 높은 신뢰도의 징후입니다.”
그는 또한 PoC가 광고된 대로 작동한다고 맹목적으로 가정해서는 안 된다고 덧붙였습니다.
독립적인 검증이 필요하며, 연구원과 마이크로소프트 간의 갈등도 고려해야 한다고 언급했습니다.
독립적인 검증과 위협의 현실화
“하지만 이를 무시할 수도 없습니다. 패치 우회는 극히 흔하며, 마이크로소프트의 ‘RoguePlanet’ 수정이 문을 완전히 닫지 못했다는 주장은 전적으로 타당합니다.
방어자들은 반대로 증명될 때까지 이를 신뢰할 만한 것으로 간주해야 합니다.”
초기에는 회의적이었던 레바인과 다른 분석가들의 의견과 달리, 현재 PoC의 효과가 독립적으로 검증되었다는 징후가 나타나고 있습니다.
ShieldBreak의 실제 작동 방식 확인
월마트의 전 사이버 보안 리스크 전문가였던 스티븐 에릭 피셔(Steven Eric Fisher)는 “ShieldBreak가 작동한다는 독립적인 확인을 보았다”고 말했습니다.
그는 ShieldBreak의 악용 방식이 원래의 RoguePlanet 익스플로잇과는 본질적으로 다르다고 설명했습니다.
“RoguePlanet이 파일 시스템 경쟁 조건을 사용한 반면, ShieldBreak는 다른 디펜더/클라우드 필터 API 경로를 사용하는 것으로 보입니다.”
따라서 이는 마이크로소프트의 CVE-2026-50656 수정 우회로 특징지어지지만, 단순히 원본 익스플로잇의 재현은 아닙니다.
즉각적인 모니터링 및 방어 조치
피셔는 사이버 보안 연구원 케빈 보몽(Kevin Beaumont)이 이미 ShieldBreak에 대한 마이크로소프트 디펜더 고급 헌팅 탐지 규칙을 게시했으며, 조직들이 노출을 평가하는 동안 이를 모니터링에 통합할 수 있다고 덧붙였습니다.
이번 ShieldBreak 취약점은 2026년 기업 보안 환경에 새로운 과제를 던지며, 적극적이고 다층적인 방어 전략의 중요성을 다시 한번 상기시키고 있습니다.
