MS 7월 패치 570건, 한 달 만에 최다 경신

MS 7월 패치 570건, 한 달 만에 최다 경신 / AI 생성 일러스트(삽화)

마이크로소프트(Microsoft)가 7월 정기 보안 패치에서 570개에 달하는 보안 결함을 한꺼번에 손질했다. 지난달 역대 최다 기록을 세웠던 패치 화요일(Patch Tuesday) 대비 거의 3배에 이르는 규모다. 이번 패치에는 제로데이(사전 대응 없이 공개되거나 악용된 취약점) 3건이 포함됐고 이 중 2건은 이미 실제 공격에 활용된 것으로 확인됐다. 보안 전문 매체 크레브스 온 시큐리티(krebsonsecurity.com)와 블리핑컴퓨터(BleepingComputer)에 따르면 마이크로소프트는 이번 패치 규모 급증의 배경으로 인공지능(AI)을 활용한 취약점 발견 기술 도입을 지목했다.

570개 결함, 등급별로 어떻게 나뉘나

이번 패치에서 크리티컬(치명적) 등급으로 분류된 결함은 59개다. 이 가운데 48개는 원격 코드 실행(RCE), 9개는 권한 상승(Elevation of Privilege), 1개는 보안 기능 우회, 1개는 스푸핑 취약점이었다. 전체 570개를 유형별로 보면 권한 상승 취약점이 254개로 가장 많았고, 원격 코드 실행 145개, 정보 유출 102개, 서비스 거부(DoS) 35개, 보안 기능 우회 17개, 스푸핑 16개 순으로 집계됐다.

블리핑컴퓨터는 이 집계에 매리너(Mariner), 애저 오픈AI(Azure OpenAI), 애저 시냅스(Azure Synapse), M365 코파일럿, 마이크로소프트 익스체인지 온라인, 마이크로소프트 엣지 포 안드로이드, 마이크로소프트 엔트라 프로비저닝 서비스 등 이달 초 별도로 패치된 결함은 포함되지 않았다고 설명했다. 여기에 구글이 이달 자체적으로 수정한 468개의 엣지·크로미움(Chromium) 관련 결함도 이번 집계에서 제외됐다. 앞서 6월 패치 화요일 당시에도 구글이 360개의 결함을 수정해 이후 엣지에 반영한 바 있다.

제로데이 3건, 실제 악용된 취약점은 / AI 생성 이미지

제로데이 3건, 실제 악용된 취약점은

이번 달 확인된 제로데이 3건 가운데 2건은 이미 공격에 활용된 것으로 파악됐다. CVE-2026-56155는 액티브 디렉터리 페더레이션 서비스(Active Directory Federation Services, AD FS)의 권한 상승 취약점으로, 접근 제어의 세분화가 충분하지 않아 인증된 사용자가 관리자 권한을 획득할 수 있는 결함이다. 크레브스 온 시큐리티는 CVE-2026-56164 마이크로소프트 셰어포인트(SharePoint) 취약점도 이번 달 수정된 약 250개의 권한 상승 결함 중 하나로 함께 거론했다.

세 번째 제로데이인 CVE-2026-50661은 윈도우 비트락커(BitLocker)의 보안 기능 우회 취약점이다. 공격자가 기기에 물리적으로 접근할 경우 암호화된 데이터에 접근할 수 있는 결함으로, 마이크로소프트는 이 취약점이 이미 공개적으로 상세히 알려졌지만 실제 악용 사례는 확인되지 않았다고 밝혔다. 액션1(Action1)의 취약점 연구 담당 잭 바이서(Jack Bicer)는 CVSS 위협 점수 9.6을 기록한 CVE-2026-48561을 별도로 주목했다. 마이크로소프트 코파일럿(Copilot)의 원격 코드 실행 취약점으로, 공격자가 악성 웹사이트를 만들어 사용자가 이 사이트를 방문하면 마이크로소프트 엣지 포 안드로이드가 자동으로 조작된 프롬프트를 코파일럿에 전송하도록 만들어 네트워크를 통해 코드를 실행할 수 있다고 마이크로소프트는 설명했다.

AI가 취약점 발견 속도를 바꾸고 있다

마이크로소프트 부사장(Executive Vice President) 파반 다불루리(Pavan Davuluri)는 7월 9일(현지시각) 블로그 게시글에서 윈도우 사용자들이 “각 보안 릴리스에 포함된 보안 업데이트 물량이 더 늘어난 것을 체감할 것”이라고 밝혔다. AI가 취약점 발견을 돕고 있다는 것이 이유다. 다불루리는 “AI의 발전으로 취약점 발견 속도 자체가 달라지고 있다”며 “더 많은 코드를 더 빠르게, 더 많이 살펴볼 수 있게 됐고 발견과 분석을 동시에 가속화하는 새로운 메커니즘도 등장했다”고 설명했다.

블리핑컴퓨터에 따르면 마이크로소프트는 지난주 이미 패치 화요일 보안 업데이트 물량이 늘어날 것이라고 예고한 바 있다. 윈도우 코드베이스 전반에서 공격자가 악용하기 전에 더 많은 보안 결함을 찾아내기 위해 AI 기반 취약점 발견 시스템을 도입하기 시작했다는 설명이다.

늘어나는 패치 물량, 보안 담당자 부담도 커진다

크레브스 온 시큐리티는 AI가 취약점 발견과 대응 속도를 끌어올리는 동시에 공격자들이 알려진 소프트웨어 결함에 대한 작동 가능한 익스플로잇(공격 코드)을 더 빠르게 만들어내는 것도 쉬워지고 있다고 지적했다. 취약점을 찾는 쪽과 악용하는 쪽 모두에서 AI가 속도를 높이고 있다는 의미다.

이번 달 570개라는 수치는 지난달 이미 역대 최다를 기록했던 패치 물량을 한 달 만에 다시 갈아치운 결과다. 마이크로소프트가 예고한 대로 앞으로도 매달 패치 물량이 지금보다 더 늘어날 가능성이 있다. IT 관리자와 보안 담당자들은 매달 패치 검토와 적용에 들여야 하는 시간과 리소스가 계속 늘어날 수밖에 없는 상황에 놓이게 됐다.