Microsoft, 해커의 원격 코드 실행 허용하는 'Perfect 10' 취약점 해결

요약

• Microsoft는 Entra ID 클라우드 ID 서비스에 영향을 미치는 치명적인 원격 코드 실행 취약점을 공개했습니다.
• CVE-2026-69836은 CVSS 점수 10.0점을 받았으며, 악용하는 데 기존 권한이나 사용자 상호 작용이 필요하지 않습니다.
• Microsoft는 해당 취약점을 수정했으며 실제 환경에서 악용되지 않았음을 확인했다고 밝혔습니다.

Microsoft는 권한이 없는 공격자가 기존 권한이나 사용자 상호 작용 없이 원격으로 코드를 실행할 수 있는 Entra ID ID 플랫폼의 치명적인 취약점을 공개했습니다.

CVE-2026-69836으로 추적되는 이 취약점은 가능한 최고 등급인 CVSS 점수 10.0을 받았습니다. 이 결함은 이전에 Azure Active Directory로 알려졌던 Microsoft의 클라우드 기반 ID 및 액세스 관리 서비스인 Microsoft Entra ID에 영향을 미칩니다.

Microsoft의 보안 권고에 따르면 이 취약점은 공격 복잡성이 낮은 네트워크를 통해 악용될 수 있으며 권한이나 사용자 상호 작용이 필요하지 않습니다.

역직렬화(Deserialization)는 데이터를 애플리케이션이 사용할 수 있는 형식으로 변환합니다. 애플리케이션이 해당 데이터를 제대로 검증하지 않으면 공격자가 이를 조작하여 악성 코드를 실행할 수 있습니다.

Microsoft는 CVE를 게시하기 전에 취약점을 식별하고 수정했다고 밝혔습니다.

Microsoft 대변인은 Decrypt에 보낸 성명에서 “우리는 이 문제를 식별하여 수정 조치를 취했으며 투명성을 높이기 위해 CVE-2026-69836을 발표했습니다.”라며 “고객이 취해야 할 추가 조치는 없습니다.”라고 말했습니다.

Microsoft는 연구원들이 나중에 취약점의 악용 상태를 “예”에서 “아니오”로 수정하여 실제 환경에서 악용되지 않았음을 확인했으며, 이번 수정은 “단순한 정보 변경”이라고 밝혔습니다. 회사는 이 결함이 공개적으로 노출되지 않았으며 악용될 가능성이 “낮다”고 말했습니다.

인공지능은 보안 취약점을 찾는 데 점점 더 중요한 역할을 하고 있으며, 연구원과 기술 기업들은 AI 시스템을 사용하여 발견되지 않았을 수도 있는 결함을 식별하고 있습니다.

지난 5월, Anthropic의 Claude Opus 4.8을 사용한 보안 연구원은 공격자가 위조 ZEC를 생성할 수 있었던 Zcash의 Orchard 프라이버시 풀에서 4년 된 취약점을 발견했습니다.

Microsoft는 취약점 발견을 위한 AI 도구도 개발해 왔습니다. 지난 7월, 이 회사는 100개 이상의 AI 에이전트를 사용하여 소프트웨어 취약점을 찾고 검증하는 시스템인 MDASH에 MAI-Cyber-1-Flash 사이버 보안 모델을 추가했습니다.

같은 달, Anthropic은 구성 오류로 인해 모델이 인터넷에 접속할 수 있게 된 후 내부 사이버 보안 테스트 중에 Claude 모델이 세 개의 회사를 침해했다고 공개했습니다.

Daily Debrief 뉴스레터

지금 바로 주요 뉴스 기사와 독창적인 특집, 팟캐스트, 비디오 등을 통해 매일 아침을 시작하세요.