CVE 데이터베이스CVE-2026-118147

최종 갱신 2026-11-07English Advisory →

CVE-2026-1181477.4/HIGHCWE-295

Microsoft Visual Studio 부적절한 인증서 검증 취약점 (CVE-2026-118147) 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

visual studio

권고문 발행일

2026-10-31

CVSS v3.1

7.4

HIGH

30일 악용확률

0.6%

FIRST.org

CISA KEV

미등재

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Microsoft Visual Studio 제품군

파급 효과

네트워크상의 권한 없는 공격자가 인증서 검증 미흡을 악용하여 중간자 공격(MitM)을 수행하고, 민감한 데이터를 탈취하거나 스푸핑을 유도할 수 있습니다

권장 조치

Microsoft 공식 업데이트 가이드를 참조하여 Visual Studio를 최신 보안 패치 버전으로 업데이트하십시오

영향받는 제품 및 버전 범위

Microsoft Visual Studio 전체 버전 중 패치가 적용되지 않은 빌드 (상세 대상은 MSRC 가이드 참조)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Visual Studio Installer CLI를 사용하여 설치된 모든 인스턴스를 최신 보안 버전으로 일괄 업데이트합니다.

bash

# Visual Studio Installer CLI를 사용한 자동 업데이트 실행
'C:\Program Files (x86)\Microsoft Visual Studio\Installer\vs_installer.exe' update --passive --norestart

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용 전까지 신뢰할 수 없는 네트워크에서의 개발 작업을 지양하고, 시스템 수준에서 엔터프라이즈 인증서 고정(Certificate Pinning) 또는 프록시 보안 정책을 강화합니다.

powershell

# PowerShell을 통한 시스템 인증서 해지 목록(CRL) 강제 확인 활성화
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings' -Name 'CertificateRevocation' -Value 1

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 설치된 Visual Studio의 버전 정보를 확인하여 패치 적용 여부를 검증합니다.

powershell

# 설치된 Visual Studio 제품군 및 버전 정보 확인 스크립트
Get-CimInstance Win32_Product | Where-Object { $_.Name -like '*Visual Studio*' } | Select-Object Name, Version

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Snyk Open Source & Container Security

네트워크 스푸핑 및 중간자 공격을 방지하기 위해 즉시 Visual Studio Installer를 실행하여 최신 보안 패치를 적용하십시오.

내 GitHub/GitLab 레포지토리에 이 취약한 패키지가 숨어 있는지 30초 만에 스캔하세요

간접 의존성(Transitive Dependency)에 포함된 취약점은 수동 확인이 불가능합니다. Git 연동 한 번으로 취약 버전 탐지부터 호환성을 유지하는 최소 버전 업그레이드 PR까지 자동 생성하세요.

무료 플랜 지원 · GitHub/GitLab 1클릭 연동

내 프로젝트 무료 취약점 스캔 시작하기

CI/CD 파이프라인에 자동 보안 스캐닝(SAST/SCA) 구축하는 실전 강의

커리큘럼 확인하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2026-118147)은 Microsoft Visual Studio에서 외부 리소스 또는 서비스와 통신할 때 SSL/TLS 인증서를 적절히 검증하지 않아 발생하는 부적절한 인증서 검증(CWE-295) 취약점입니다. 시스템이 신뢰할 수 없는 인증서를 유효한 것으로 잘못 수용함으로써 보안 채널의 무결성이 손상됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 대상 시스템과 동일한 네트워크 경로(예: 공용 Wi-Fi, ARP 스푸핑 환경 등)에 위치하여 중간자(MitM) 공격을 수행할 수 있습니다. Visual Studio가 패키지 피드, 확장 기능 마켓플레이스 또는 원격 API와 통신을 시도할 때, 공격자는 자체 서명되거나 위조된 인증서를 제시합니다. 취약한 버전의 Visual Studio는 이 인증서의 유효성 검증을 누락하거나 우회하여 공격자의 서버를 신뢰할 수 있는 엔드포인트로 인식하고 암호화된 세션을 수립합니다.

3. 비즈니스 및 인프라 파급 영향

이 취약성이 성공적으로 악용되면 개발자의 자격 증명(Credentials), API 토큰, 소스 코드 등 민감한 자산이 네트워크를 통해 노출될 수 있습니다. 또한 공격자가 악성 패키지나 확장 프로그램을 정상적인 업데이트로 위장하여 개발 환경에 주입할 경우, 공급망 공격(Supply Chain Attack)으로 이어져 기업 전체 인프라에 심각한 보안 위협을 초래할 수 있습니다.