마이크로소프트 엔트라 ID CVSS 10점 결함 실제 악용 확인, 공격자 정보는 비공개

마이크로소프트 엔트라 ID CVSS 10점 결함 실제 악용 확인, 공격자 정보는 비공개 / AI 생성 일러스트(삽화)

마이크로소프트가 클라우드 기반 인증·접근관리(IAM) 플랫폼 엔트라 ID(Entra ID)에서 발견된 최고 위험도 취약점이 실제 공격에 악용된 사실을 확인했다고 밝혔다. 해당 취약점은 CVE-2026-69836으로 식별되며 공통취약점점수시스템(CVSS) 기준 10.0점, 즉 만점을 받았다. 인증 없이 네트워크를 통해 원격으로 코드를 실행할 수 있는 결함으로, 마이크로소프트는 목요일(현지시각) 보안권고를 통해 이를 공개하며 이미 자체적으로 완전히 조치를 마쳤다고 설명했다. 엔트라 ID는 과거 애저 액티브 디렉터리(Azure Active Directory, Azure AD)로 불리던 서비스로 마이크로소프트365·애저·다이내믹스 CRM 온라인 고객의 인증과 정책 적용, 리소스 보호를 담당한다. 마이크로소프트는 이용자가 별도로 취할 조치는 없다고 강조했지만 누가, 어떤 방식으로 이 결함을 악용했는지는 공개하지 않았다.

CVSS 10점 만점, 클릭 한 번 없이도 뚫리는 구조

마이크로소프트에 따르면 이번 취약점은 신뢰할 수 없는 데이터를 제대로 검증하지 않고 그대로 객체로 복원하는 “역직렬화(deserialization)” 과정에서 발생했다. 회사는 보안권고에서 “엔트라 ID의 신뢰할 수 없는 데이터 역직렬화로 인해 인증되지 않은 공격자가 네트워크를 통해 코드를 실행할 수 있다”고 설명했다. 더 레지스터(The Register)는 CVSS 세부 지표를 근거로 이 결함이 원격에서 공격 가능하고 공격 복잡도가 낮으며 별도 권한이나 사용자 상호작용 없이도 기밀성·무결성·가용성에 큰 영향을 미칠 수 있어 만점을 받았다고 짚었다.

이 결함을 발견해 신고한 인물은 마이크로소프트 소속 수석 보안엔지니어(principal security engineer) 로버트 피츠패트릭(Robert Fitzpatrick)이다. 블리핑컴퓨터(BleepingComputer)에 따르면 마이크로소프트는 CVE-2026-69836을 겨냥한 공격 코드가 아직 온라인에 공개되지 않았다고 설명했다. 다만 회사는 공격이 언제 시작됐는지, 얼마나 광범위했는지, 공격자가 침투 이후 무엇을 했는지에 대해서는 별다른 정보를 내놓지 않았다. 더 레지스터는 마이크로소프트가 자사 질의에도 즉답하지 않았다고 전했다.

“이용자 조치 불필요”…클라우드 서비스라 원격 자체 수정 / AI 생성 이미지

“이용자 조치 불필요”…클라우드 서비스라 원격 자체 수정

마이크로소프트는 보안권고에서 “이 취약점은 이미 마이크로소프트에 의해 완전히 완화됐다. 이 서비스 이용자가 취해야 할 조치는 없다. 이 CVE의 목적은 투명성을 더 제공하기 위함”이라고 설명했다. 엔트라 ID가 마이크로소프트가 직접 운영하는 클라우드 서비스이기 때문에, 개별 기업이 패치를 내려받아 설치하는 절차 없이 회사 측이 백엔드 인프라 자체를 수정하는 방식으로 대응할 수 있었다.

The Hacker News에 따르면 이런 유형의 결함은 애플리케이션이 사용자가 조작할 수 있는 데이터를 제대로 검증하지 않고 다시 활성 객체나 코드 구조로 변환할 때 발생한다. 이 경우 코드 실행은 물론 서비스 거부(denial-of-service), 접근제어 우회로 이어질 수 있고 공격자가 정상 권한 없이 시스템 내에서 각종 동작을 수행하도록 허용할 위험이 있다.

같은 주에 터진 애저·익스체인지 결함들, 지난해 “전 세계 테넌트 접근” 사고도

블리핑컴퓨터에 따르면 마이크로소프트는 이번 발표 하루 전에도 최고 위험도 결함 4건을 추가로 패치했다. 이 중 3건은 인증되지 않은 공격자가 원격으로 권한을 상승시킬 수 있는 결함으로 애저 아크(Azure Arc, CVE-2026-65816·CVE-2026-69555)와 익스체인지 온라인(Exchange Online, CVE-2026-65801)에서 발견됐다. 나머지 하나인 CVE-2026-65770은 아파치 카산드라용 애저 매니지드 인스턴스(Azure Managed Instance for Apache Cassandra)에서 원격 코드 실행을 허용하는 결함이었다.

엔트라 ID를 둘러싼 심각한 결함이 발견된 건 이번이 처음이 아니다. 블리핑컴퓨터는 마이크로소프트가 2025년 9월 아웃사이더 시큐리티(Outsider Security) 소속 보안연구원 디르크얀 몰레마(Dirk-jan Mollema)가 신고한 또 다른 엔트라 ID 권한상승 결함(CVE-2025-55241)을 패치했다고 전했다. 당시 결함은 공격자가 전 세계 모든 기업의 엔트라 ID 테넌트(tenant)에 완전한 접근 권한을 확보할 수 있게 하는 수준으로 심각했다.

같은 주 금요일에는 CISA도 별도로 윈도우 인터넷 키 교환(Internet Key Exchange, IKE) 서비스 확장 구성요소의 치명적 원격코드실행 결함을 실제 공격에 악용되고 있다고 태그했다고 블리핑컴퓨터는 덧붙였다.

정체불명의 공격 주체…국가 배후 해킹조직 활동도 계속

더 레지스터는 마이크로소프트가 엔트라 ID 결함을 누가 악용했는지, 언제부터 공격이 시작됐는지, 공격 범위가 얼마나 넓었는지, 공격자가 침투 뒤 무엇에 접근했는지 등 핵심 질문에 답하지 않고 있다고 지적했다. 회사가 공개한 내용은 결함의 기술적 정의와 “이미 조치했다”는 짧은 확인이 전부다.

The Hacker News는 이달 초 마이크로소프트가 윈도우 앤실러리 펑션 드라이버 포 윈속(Windows Ancillary Function Driver for WinSock)의 고위험 권한상승 결함(CVE-2026-68820, CVSS 7.0)도 패치했다고 전했다. 이 결함은 북한과 연계된 해킹조직 라자루스(Lazarus Group)가 “오퍼레이션 드림 잡(Operation Dream Job)”이라는 장기간 캠페인의 일환으로 제로데이로 악용한 사례다. 엔트라 ID 결함의 공격 주체와는 별도 사안이지만, 마이크로소프트 생태계를 둘러싼 위협이 동시다발적으로 이어지고 있음을 보여준다.

클라우드 인증 인프라의 특성상 마이크로소프트가 고객 대응 없이 자체적으로 결함을 봉합할 수 있다는 점은 긍정적이지만, 공격이 얼마나 은밀하게 얼마나 오래 진행됐는지 파악되지 않은 상태에서 “조치 불필요”라는 안내만으로는 기업들의 우려를 완전히 해소하기 어렵다는 지적이 나온다.