Windows ALPC 힙 기반 버퍼 오버플로우 권한 상승 취약점 (CVE-2026-85880) 긴급 보안 권고

1. 공식 보안 패치 적용

Microsoft 공식 업데이트 가이드를 참조하여 최신 누적 보안 업데이트(LCU)를 즉시 적용하십시오.

• Windows Update 실행:

  # Windows Update 에이전트를 통한 패치 확인 및 설치
  Install-Module PSWindowsUpdate
  Get-WindowsUpdate -AcceptAll -Install -AutoReboot

2. 임시 완화 조치 및 모니터링

패치 적용 전까지 로컬 공격 표면을 최소화하기 위해 아래 조치를 권장합니다.

• 최소 권한 원칙 적용: 일반 사용자의 로컬 로그온 권한을 제한하고, 불필요한 원격 데스크톱(RDP) 세션을 차단합니다.
• EDR/SIEM 탐지 룰 설정: 비정상적인 부모-자식 프로세스 관계(예: 일반 사용자 프로세스에서 생성된 SYSTEM 권한의 cmd.exe 또는 powershell.exe)를 모니터링합니다.

  // Sysmon Event ID 1 (Process Creation) 기반 탐지 예시
  ParentImage: (*\explorer.exe OR *\chrome.exe)
  User: "NT AUTHORITY\SYSTEM"
  Image: (*\cmd.exe OR *\powershell.exe)

본 취약점(CVE-2026-85880)은 Windows의 프로세스 간 통신(IPC) 메커니즘인 ALPC(Advanced Local Procedure Call) 포트 메시지 처리 과정에서 발생하는 힙 기반 버퍼 오버플로우(CWE-122) 및 초기화되지 않은 메모리 참조(CWE-908) 취약점입니다.

공격 메커니즘 및 원인

• ALPC 메시지 처리 오류: 공격자는 특수하게 조작된 ALPC 메시지를 로컬 포트로 전송합니다. 시스템 커널이 이 메시지의 크기를 검증하는 과정에서 경계값 검사 오류가 발생하여 커널 풀(Kernel Pool) 영역에 할당된 힙 버퍼의 크기를 초과하는 데이터가 기록됩니다.
• 초기화되지 않은 메모리 참조: 특정 조건에서 초기화되지 않은 메모리 버퍼(CWE-908)가 참조되어 커널 메모리 레이아웃의 예측 가능성을 높이고, 주소 공간 레이아웃 무작위화(ASLR) 우회를 용이하게 만듭니다.
• 권한 상승: 공격자는 이 오버플로우를 통해 커널 메모리의 프로세스 토큰(Token) 구조체 또는 함수 포인터를 덮어씀으로써, 일반 사용자 권한에서 최상위 권한인 NT AUTHORITY\SYSTEM으로 권한을 상승시킵니다.

위협 인텔리전스 관점의 위험성

본 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 야생(In-the-Wild)에서 활발히 악용되고 있음이 확인되었습니다. EPSS 점수가 0.94(94%)에 달해 무기화된 익스플로잇이 널리 유포되어 있을 가능성이 매우 높으므로, 내부 침투(Lateral Movement) 단계에서 권한 상승 도구로 악용되기 전에 즉각적인 조치가 필요합니다.