Windows AFD.sys Use-After-Free 로컬 권한 상승 취약점 (CVE-2026-68820) 긴급 보안 권고

1. 공식 보안 패치 적용 (최우선 권장)

본 취약점은 커널 레벨의 결함으로, Microsoft의 공식 누적 업데이트를 적용하는 것이 유일한 완전한 해결책입니다.

• Windows Update 실행: 설정 > 업데이트 및 보안 > Windows 업데이트에서 최신 누적 업데이트를 설치합니다.
• MSRC 가이드 참조: 시스템 환경에 맞는 패치 패키지를 다운로드하여 적용하십시오.

2. 임시 완화 조치 및 모니터링

패치 적용 전까지 시스템 노출을 최소화하기 위해 아래 조치를 권장합니다.

• 최소 권한 원칙(PoLP) 적용: 공격자가 로컬 권한을 획득하는 것을 방지하기 위해 사용자 계정 컨트롤(UAC)을 강화하고 불필요한 로컬 계정을 제거합니다.
• EDR 및 시스템 이벤트 로그 감시: 커널 드라이버 비정상 호출 및 권한 상승 시도를 탐지하기 위해 아래와 같은 Sysmon 규칙을 적용하여 모니터링합니다.

<!-- Sysmon을 통한 비정상적인 시스템 권한 상승 프로세스 생성 감시 예시 -->
<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Sysmon/Operational">
    <Select Path="Microsoft-Windows-Sysmon/Operational">
      *[System[(EventID=1)]] and *[EventData[Data[@Name='ParentImage']='C:\Windows\System32\svchost.exe' and Data[@Name='IntegrityLevel']='System']]
    </Select>
  </Query>
</QueryList>

본 취약점(CVE-2026-68820)은 Windows 소켓(WinSock)의 핵심 커널 모드 드라이버인 보조 기능 드라이버(Ancillary Function Driver, afd.sys)에서 발생하는 Use-After-Free(UAF, 해제된 메모리 재사용) 취약점입니다.

취약점 발생 원인 및 메커니즘

• 메모리 관리 결함 (CWE-416): afd.sys 드라이버가 특정 소켓 연결 상태나 IOCTL(입출력 제어) 요청을 처리하는 과정에서, 이미 해제(Free)된 메모리 객체의 포인터를 적절히 무효화하지 않고 계속 참조합니다.
• 커널 메모리 오염: 공격자는 특수하게 조작된 로컬 애플리케이션을 실행하여 해당 메모리 영역이 해제되도록 유도한 후, 커널 풀(Kernel Pool) 레이아웃을 조작(Pool Feng Shui)하여 해제된 영역을 공격자가 제어하는 데이터로 덮어씁니다.
• 권한 상승: 이후 드라이버가 해당 객체를 다시 참조하여 함수 포인터를 호출할 때, 공격자가 주입한 페이로드가 커널 컨텍스트(Ring 0)에서 실행되어 일반 사용자 권한에서 최고 권한인 NT AUTHORITY\SYSTEM으로 권한이 상승합니다.

위협 인텔리전스 관점의 위험도

• 실제 악용 사례 존재 (CISA KEV 등재): 본 취약점은 공격자들에 의해 실제 와일드(In-the-Wild)에서 적극적으로 악용되고 있음이 확인되어 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되었습니다.
• 높은 EPSS 점수: EPSS(Exploit Prediction Scoring System) 점수가 0.94(94%)에 달해, 단기간 내에 추가적인 대규모 공격에 활용될 가능성이 극도로 높습니다.