Microsoft Defender 로컬 권한 상승 취약점 (CVE-2026-41091) 분석 및 대응 가이드

1. 공식 보안 패치 적용

Microsoft에서 제공하는 최신 누적 업데이트를 적용하여 Defender 엔진을 업데이트하십시오.

2. Microsoft Defender 엔진 버전 확인 및 수동 업데이트

Windows PowerShell을 관리자 권한으로 실행하여 현재 설치된 Defender 엔진 버전을 확인하고 업데이트를 강제 적용할 수 있습니다.

# Defender 구성 요소 버전 확인
Get-MpComputerStatus | Select-Object AMEngineVersion, AMProductVersion, AntispywareSignatureVersion

# Defender 시그니처 및 엔진 즉시 업데이트
Update-MpSignature

3. 임시 완화 조치 (패치 적용이 불가능한 경우)

• 최소 권한 원칙 적용: 로컬 사용자 계정의 권한을 엄격히 제한하고, 신뢰할 수 없는 사용자의 로컬 세션 로그인을 차단하십시오.
• 행위 기반 모니터링: 엔드포인트 탐지 및 대응(EDR) 솔루션을 통해 일반 사용자 영역(C:\Users\*\AppData 등)에서 시스템 디렉터리로 향하는 비정상적인 심볼릭 링크/정크션 생성 행위를 모니터링하고 차단하십시오.

본 취약점(CVE-2026-41091)은 Microsoft Defender가 파일에 액세스하기 전에 링크 대상의 유효성을 적절히 검증하지 않아 발생하는 '임의 링크 확인(Link Following, CWE-59)' 취약점입니다.

공격 메커니즘

• 권한 불일치 악용: Microsoft Defender는 실시간 보호 및 시스템 검사를 수행할 때 가장 높은 권한인 NT AUTHORITY\SYSTEM 권한으로 동작합니다.
• 심볼릭 링크 생성: 로컬 공격자(일반 사용자 권한)는 Defender가 주기적으로 접근하거나 검사하는 특정 임시 디렉터리 또는 로그 파일 경로에 악의적인 심볼릭 링크(Symlink) 또는 정크션(Junction)을 생성합니다.
• TOCTOU (Time-of-Check to Time-of-Use) 및 권한 상승: Defender가 해당 경로의 파일을 읽거나 쓸 때, 실제 대상 파일이 아닌 공격자가 유도한 시스템 중요 파일(예: 시스템 DLL, 서비스 실행 파일 등)을 가리키는 링크를 따라가게 됩니다. 이를 통해 공격자는 보호된 시스템 파일을 덮어쓰거나 임의의 코드를 시스템 권한으로 실행하여 최종적으로 로컬 권한 상승(LPE)을 달성합니다.

위협 인텔리전스 관점

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 등재되어 실제 야생(In-the-Wild)에서 적극적으로 악용되고 있음이 확인되었습니다. EPSS 점수가 0.94(94%)로 매우 높아, 공격 도구 및 PoC가 무기화되어 랜섬웨어 유포나 APT 공격의 내부 이동(Lateral Movement) 단계에서 권한 상승 목적으로 빈번히 사용될 수 있으므로 즉각적인 조치가 요구됩니다.