Windows Update Stack 링크 확인 오류로 인한 로컬 권한 상승 취약점 (CVE-2026-81963) 분석 및 대응 가이드

1. 공식 보안 패치 적용

Microsoft에서 제공하는 최신 누적 업데이트(Cumulative Update)를 적용하는 것이 가장 확실한 해결책입니다.

• Windows Update 실행:

설정 > 업데이트 및 보안 > Windows 업데이트에서 최신 업데이트를 확인하고 설치합니다.

• PowerShell을 통한 업데이트 설치 (관리자 권한):

  Install-Module PSWindowsUpdate
  Get-WindowsUpdate -AcceptAll -Install -AutoReboot

2. 임시 완화 조치 (패치 적용이 불가능한 경우)

• 임시 디렉터리 권한 제한:

일반 사용자가 시스템 임시 폴더(C:\Windows\Temp 등)에 심볼릭 링크를 생성하지 못하도록 NTFS 권한(ACL)을 검토하고 제한합니다.

• 로컬 사용자 계정 통제:

신뢰할 수 없는 사용자의 로컬 로그인 권한을 박탈하고, 불필요한 로컬 계정을 비활성화합니다.

• EDR/백신 모니터링 규칙 추가:

일반 사용자 권한의 프로세스가 시스템 디렉터리를 대상으로 심볼릭 링크를 생성하는 행위(예: CreateSymbolicLink API 호출)를 탐지 및 차단하도록 보안 정책을 설정합니다.

기술 분석 및 취약점 원인

본 취약점(CVE-2026-81963)은 Windows Update Stack이 파일에 접근하기 전 링크 확인을 적절히 수행하지 않아 발생하는 임의 링크 확인 오류(CWE-59, Link Following) 및 부적절한 접근 제어(CWE-284) 취약점입니다.

Windows Update 프로세스는 시스템 업데이트 및 유지보수를 위해 최고 권한인 NT AUTHORITY\SYSTEM 권한으로 동작합니다. 이 과정에서 특정 임시 디렉터리나 로그 파일에 접근하게 되는데, 공격자는 일반 사용자 권한으로 쓰기가 가능한 경로에 심볼릭 링크(Symbolic Link) 또는 하드 링크(Hard Link)를 생성하여 Windows Update Stack이 시스템 중요 파일(예: 시스템 드라이버, 서비스 실행 파일 등)을 가리키도록 유도할 수 있습니다.

공격 메커니즘 (Exploit Mechanics)

• 로컬 권한 획득: 공격자는 먼저 대상 Windows 시스템에 일반 사용자 권한으로 로그인하거나 악성코드를 통해 로컬 실행 권한을 확보합니다.
• 심볼릭 링크 생성: Windows Update Stack이 파일 생성/수정 작업을 수행하는 임시 경로(예: C:\Windows\Temp 하위 폴더 등)에 타깃 시스템 파일(예: C:\Windows\System32\...)을 가리키는 심볼릭 링크를 생성합니다.
• 트리거: Windows Update 서비스 또는 관련 백그라운드 작업이 실행될 때, 고권한의 프로세스가 링크 검증 없이 해당 경로에 접근하여 쓰기 작업을 수행합니다.
• 권한 상승: 이를 통해 시스템 중요 파일이 변조되거나 공격자가 의도한 악성 DLL/실행 파일이 로드되어 최종적으로 SYSTEM 권한으로 임의 코드가 실행됩니다.

실무적 파급력

이 취약점은 CVSS 7.8(High) 등급으로 분류되었으며, CISA의 실제 악용된 취약점 목록(KEV)에 등재되어 있어 실제 야생(In-the-Wild)에서 공격자들에 의해 적극적으로 악용되고 있는 매우 위험한 취약점입니다. EPSS 점수 또한 0.94(94%)로 매우 높아 신속한 패치가 요구됩니다.