MS 8월 패치 튜스데이 400여 개 수정 — AFD.sys 제로데이(CVE-2026-68820), 북한 공격에 이미 악용

무슨 일이 있었나

2026년 8월 패치 튜스데이에서 Microsoft는 자사 제품군 전반에 걸쳐 400여 개 취약점을 수정했다. Krebs on Security와 SecurityWeek는 이번 릴리스가 421개 CVE를 다뤘다고 보도했으며, 그중 하나는 배포 시점에 이미 공격자가 악용하고 있던 제로데이였다.

그 제로데이가 CVE-2026-68820이다. Windows Ancillary Function Driver for WinSock, 즉 우리가 흔히 AFD.sys라고 부르는 커널 드라이버의 use-after-free(해제 후 사용) 취약점이다. AFD.sys는 사용자 공간의 소켓 API 호출을 커널의 TCP/IP 스택으로 연결하는 얇지만 특권적인 계층으로, 모든 Windows 시스템에 기본 로딩되어 있다. 이 결함을 이용하면 로컬에서 코드를 실행할 수 있는 저권한 공격자가 SYSTEM 권한으로 상승할 수 있다.

Check Point 연구진에 따르면, 이 취약점은 북한 연계 공격자가 오래 이어 온 Operation Dream Job 캠페인의 새로운 파상(wave)에서 관측됐다. 공격자는 이 권한상승을 발판 삼아 커널 모드 루트킷을 심었다. 이 조합, 즉 저권한 진입점에서 커널까지 곧장 뚫는 경로가 이번 사건을 단순한 무더기 패치 이상의 사안으로 만든다.

AFD.sys 제로데이가 왜 위험한가

use-after-free는 이미 해제된 메모리 객체를 계속 참조·재사용할 때 발생한다. 공격자가 그 해제된 자리에 자신이 통제하는 데이터를 다시 채워 넣으면, 커널이 그 조작된 객체를 정상인 양 다루면서 임의 읽기/쓰기나 제어 흐름 탈취로 이어진다. 문제는 AFD.sys가 커널 컨텍스트에서 동작한다는 점이다. 이 계층이 무너지면 그 영향은 곧 커널 전체의 무결성 붕괴다.

이 취약점의 진짜 위험은 체인의 한 조각이라는 데 있다. 단독으로는 원격에서 시스템을 처음 뚫지 못한다. 하지만 피싱, 악성 문서, 탈취된 자격증명 등으로 일단 저권한 코드 실행이 확보된 뒤라면, 이런 로컬 EoP(Elevation of Privilege) 결함이 최종 단계를 완성한다. "평범한 사용자 계정 하나"가 "기계 전체의 SYSTEM"으로 바뀌는 순간이다.

Operation Dream Job은 채용 담당자·헤드헌터를 사칭해 개발자와 엔지니어에게 가짜 입사 제안·코딩 과제를 보내는 방식으로 알려져 왔다. 표적이 개발자라는 점이 특히 뼈아프다. 개발 워크스테이션은 대개 소스코드, 서명 키, 클라우드 자격증명, CI/CD 접근 토큰이 모여 있는 고가치 자산이기 때문이다.

함께 나온 크리티컬 취약점들

제로데이만 있는 게 아니다. 실제 악용 정황은 아직 보고되지 않았지만, 원격에서 인증 없이 노려질 수 있어 우선순위가 높은 크리티컬 결함이 여럿 함께 수정됐다.

CVE-2026-62815는 Microsoft QUIC 구현의 원격코드실행으로 CVSS 9.8에 달한다. QUIC은 HTTP/3의 전송 계층으로 UDP 위에서 동작하기 때문에, 방화벽에서 TCP 위주로만 통제하던 조직이라면 노출 면을 다시 점검할 필요가 있다. CVE-2026-62873은 Microsoft 365 Admin Center의 권한상승(9.8), CVE-2026-70332는 SharePoint Online 스푸핑(9.6)이다. 뒤 둘은 클라우드 서비스 측면이 크므로 Microsoft가 서버 측에서 이미 완화했을 수 있으나, 관리자는 자사 테넌트 구성과 권한 위임 상태를 함께 살펴야 한다.

이번 릴리스의 분포

421개라는 숫자는 압도적으로 보이지만, 구성요소별로 나눠 보면 어디에 패치 노력을 집중해야 하는지 가늠할 수 있다. 결함의 대다수는 Windows 코어와 Office에 몰려 있다.

무엇을 먼저 패치할 것인가

421개를 한 번에 다 검증하고 배포할 수는 없다. 위험 기반으로 우선순위를 잡아야 한다. 아래 순서를 권한다.

• 1순위 — CVE-2026-68820(AFD.sys): 이미 악용 중인 제로데이. 모든 Windows 엔드포인트·서버에 최우선 배포. 특히 개발자 워크스테이션과 도메인에 붙은 관리 단말.
• 2순위 — 원격·인증 불필요 크리티컬: QUIC RCE(CVE-2026-62815). 인터넷에 노출된 서비스가 HTTP/3·QUIC을 쓴다면 즉시.
• 3순위 — 인터넷 노출 서버 자산: Exchange·SharePoint 온프레미스, 그리고 M365/SharePoint Online 테넌트 구성 점검.
• 4순위 — 나머지: 정기 패치 링(ring) 배포 주기로 순차 처리하되, 크리티컬은 링을 앞당긴다.

개발자·운영자가 지금 할 일

패치는 시작이지 끝이 아니다. 배포 전후로 탐지와 최소권한을 함께 챙겨야 실질적 위험이 줄어든다.

먼저 자산 현황을 빠르게 파악한다. 개발 조직이라면 워크스테이션·CI 러너·빌드 서버까지 포함해 패치 상태를 뽑아 보는 게 좋다. 아래는 PowerShell로 특정 KB 설치 여부를 확인하는 예시다.

# 특정 KB(예: 이번 롤업)의 설치 여부 확인
Get-HotFix | Where-Object { $_.HotFixID -eq "KB5060000" } |
  Select-Object HotFixID, InstalledOn, Description

# 다수 호스트를 원격으로 점검(WinRM 활성 전제)
$hosts = Get-Content .\hosts.txt
Invoke-Command -ComputerName $hosts -ScriptBlock {
  $kb = Get-HotFix -Id "KB5060000" -ErrorAction SilentlyContinue
  [PSCustomObject]@{ Host = $env:COMPUTERNAME; Patched = [bool]$kb }
} | Sort-Object Patched

다음으로 커널 EoP 악용의 흔적을 찾는다. 커널 모드 루트킷은 정상적으로 서명되지 않은 드라이버를 로드하거나, 알려지지 않은 서비스/드라이버를 등록하려 시도하는 경우가 많다. Sysmon의 드라이버 로드 이벤트(Event ID 6)와 서비스 설치 이벤트(시스템 로그 7045)를 함께 모니터링하면 이상 징후를 조기에 잡을 수 있다.

<!-- Sysmon: 서명되지 않은/미검증 드라이버 로드 탐지 규칙 예시 -->
<Sysmon schemaversion="4.90">
  <EventFiltering>
    <RuleGroup name="driver-load" groupRelation="or">
      <DriverLoad onmatch="include">
        <Signed condition="is">false</Signed>
        <SignatureStatus condition="is not">Valid</SignatureStatus>
      </DriverLoad>
    </RuleGroup>
  </EventFiltering>
</Sysmon>

구조적으로는 최소권한 원칙을 다시 점검한다. 개발자라도 일상 작업 계정은 로컬 관리자가 아니어야 하고, 관리 작업은 분리된 계정·PAW(Privileged Access Workstation)에서만 수행하는 것이 이런 EoP 체인을 끊는 데 효과적이다. 또한 Microsoft의 취약 드라이버 차단 목록(HVCI/메모리 무결성)을 켜 두면, 알려진 취약 드라이버를 통한 커널 진입을 상당 부분 차단할 수 있다.

이 사건이 개발자에게 주는 의미

한 가지 분명한 교훈은, CVSS 점수만으로 위협을 줄 세우면 안 된다는 것이다. 이번에 가장 시급한 결함은 CVSS 9.8짜리 원격 RCE가 아니라, 상대적으로 점수가 낮은 로컬 권한상승 제로데이였다. 실제 악용 여부와 공격 체인상의 위치가 종종 점수보다 중요하다.

또 하나는 개발자 자신이 표적이라는 자각이다. 국가 연계 그룹이 개발자의 신뢰(채용 제안, 오픈소스 협업, 코딩 과제)를 사회공학의 지렛대로 쓰는 흐름은 계속되고 있다. 패치를 빠르게 적용하는 위생과, 낯선 코드를 함부로 실행하지 않는 습관은 별개의 문제가 아니라 같은 방어의 두 축이다.

자주 묻는 질문

CVE-2026-68820은 원격에서 바로 공격당할 수 있나요?

아니요. 이 취약점은 로컬 권한상승(EoP)입니다. 공격자가 원격에서 이것만으로 시스템을 처음 뚫지는 못합니다. 다만 피싱이나 악성 문서 등으로 이미 저권한 코드 실행을 확보한 뒤에 SYSTEM 권한으로 올라서는 데 쓰입니다. 그래서 초기 침투 방어와 이 패치를 동시에 챙겨야 합니다.

AFD.sys가 정확히 무엇인가요?

Ancillary Function Driver for WinSock의 약자로, 사용자 공간의 소켓(WinSock) API 호출을 커널의 네트워크 스택으로 이어 주는 Windows 기본 커널 드라이버입니다. 모든 Windows 시스템에 로딩되어 있고 커널 컨텍스트에서 동작하기 때문에, 이곳의 use-after-free 결함은 곧바로 커널 수준 권한 탈취로 이어질 수 있습니다.

우리 조직은 무엇을 가장 먼저 패치해야 하나요?

이미 악용 중인 CVE-2026-68820을 모든 Windows 엔드포인트·서버에 최우선으로 배포하세요. 특히 개발자 워크스테이션과 관리용 단말이 우선입니다. 그다음으로 인터넷에 노출된 서비스가 QUIC/HTTP/3을 쓴다면 CVE-2026-62815(RCE)를, 이어서 Exchange·SharePoint 같은 노출 서버 자산을 처리하는 순서를 권합니다.

M365나 SharePoint Online도 우리가 직접 패치해야 하나요?

클라우드 서비스인 Microsoft 365 Admin Center(CVE-2026-62873)나 SharePoint Online(CVE-2026-70332) 관련 결함은 상당 부분 Microsoft가 서버 측에서 완화합니다. 다만 관리자는 자사 테넌트의 권한 위임 구성, 외부 공유 설정, 관리자 계정 보호 상태를 함께 점검해 스푸핑·권한상승 악용 여지를 줄여야 합니다.

개발자가 이번 공격에서 특히 주의할 점은?

이 캠페인(Operation Dream Job)은 채용 제안이나 코딩 과제를 미끼로 개발자를 노려 왔습니다. 낯선 출처의 저장소나 과제 코드를 로컬에서 바로 빌드·실행하지 말고, 격리된 VM이나 일회용 컨테이너에서 검토하세요. 일상 계정을 로컬 관리자에서 분리하고 HVCI(메모리 무결성)와 취약 드라이버 차단 목록을 켜 두는 것도 커널 EoP 체인을 끊는 데 도움이 됩니다.

패치를 적용했는데도 이미 침해됐을 수 있나요?

가능성을 배제할 수 없습니다. 제로데이는 패치 이전에 이미 악용됐기 때문에, 노출 기간에 침해가 발생했을 수 있습니다. 서명되지 않은 드라이버 로드(Sysmon Event ID 6), 알 수 없는 서비스 설치(7045), 보안 제품의 비정상 종료 같은 흔적을 소급 조사하고, 의심되면 자격증명 재발급과 포렌식을 병행하세요.

출처

• Krebs on Security — Microsoft Plugs Nearly 400 Security Holes
• SecurityWeek — August 2026 Patch Tuesday: Microsoft Fixes 421 CVEs, One Exploited Zero-Day
• Help Net Security — August 2026 Patch Tuesday: CVE-2026-68820