Microsoft Defender 로컬 권한 상승 취약점 (CVE-2026-33825) 보안 권고

1. 공식 보안 패치 적용

Microsoft Defender는 일반적으로 Windows Update를 통해 자동으로 업데이트됩니다. 엔터프라이즈 환경에서는 아래 가이드에 따라 엔진 및 플랫폼 버전이 최신 상태인지 확인하십시오.

• 권장 최소 엔진 버전: 1.1.26030.0 이상 (또는 최신 릴리스)

PowerShell을 통한 버전 확인 및 강제 업데이트 명령:

# Microsoft Defender 버전 정보 확인
Get-MpComputerStatus | Select-Object AMRunningMode, AMProductVersion, EngineVersion

# 시그니처 및 엔진 즉시 업데이트 강제 실행
Update-MpSignature

2. 임시 완화 조치 및 모니터링

패치 적용이 지연되는 환경에서는 다음과 같은 완화 조치를 검토하십시오.

• 최소 권한 원칙(LUA) 준수: 로컬 사용자의 관리자 권한 남용을 방지하기 위해 일반 사용자 계정의 권한을 최소화합니다.
• 동작 모니터링 활성화: Defender의 실시간 보호 및 동작 모니터링 기능을 활성화하여 비정상적인 권한 상승 시도를 탐지합니다.

  Set-MpPreference -DisableRealtimeMonitoring $false
  Set-MpPreference -DisableBehaviorMonitoring $false

• 이벤트 로그 감시: Windows 이벤트 뷰어에서 권한 상승 시도와 관련된 이벤트 ID(예: 서비스 설치, 비정상적인 프로세스 생성 등)를 모니터링합니다.

기술 분석 및 취약점 원인

본 취약점(CVE-2026-33825)은 Windows의 기본 백신 및 엔드포인트 보안 솔루션인 Microsoft Defender에서 발생하는 로컬 권한 상승(LPE) 취약점입니다.

취약점의 핵심 원인은 불충분한 액세스 제어 세분성(CWE-1220)에 있습니다. Microsoft Defender의 특정 내부 프로세스, 서비스 또는 파일 시스템 객체에 대한 접근 권한 제어가 엄격하게 분리되지 않아 발생합니다. 로컬 시스템에 대한 일반 사용자 권한(Low-Privilege)을 가진 공격자는 Defender가 고권한(SYSTEM)으로 동작하는 과정에서 발생하는 리소스 접근 메커니즘을 가로채거나 조작할 수 있습니다.

공격 메커니즘 및 파급력

• 초기 침투 및 로컬 권한 획득: 공격자는 피싱, 타 취약점 악용 등을 통해 대상 Windows 시스템에 일반 사용자 권한으로 접근합니다.
• 액세스 제어 약점 악용: 공격자는 Microsoft Defender가 사용하는 특정 파일, 레지스트리 키 또는 심볼릭 링크(Symbolic Link)의 불충분한 권한 설정을 악용하여 악성 페이로드를 고권한 프로세스에 주입하거나 실행 흐름을 하이재킹합니다.
• SYSTEM 권한 상승: 결과적으로 공격자는 로컬 최고 권한인 NT AUTHORITY\SYSTEM 권한으로 임의 코드를 실행할 수 있게 됩니다.

이 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 있으며, 실제 위협 그룹에 의해 적극적으로 악용되고 있는 것이 확인되었습니다. 권한 상승 성공 시, 공격자는 보안 에이전트를 비활성화하고, 자격 증명을 탈취하며, 랜섬웨어를 배포하는 등 시스템 전체를 완전히 장악할 수 있습니다.