Microsoft Windows Shell 커맨드 인젝션 및 보안 기능 우회 취약점 (CVE-2026-96951) 긴급 보안 권고
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTWindows 10, 11 및 Windows Server 등 Windows Shell 구성 요소를 사용하는 운영체제 전반
공격자가 네트워크를 통해 보안 기능을 우회하고 시스템 내 임의 명령을 실행하여 전체 권한을 탈취할 수 있음
Microsoft 공식 보안 업데이트를 즉시 적용하고, 신뢰할 수 없는 URI 핸들러 및 파일 실행 차단
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND- 보안 패치 적용: Microsoft MSRC 가이드를 통해 시스템 버전에 맞는 최신 누적 업데이트(LTM/B)를 즉시 설치하십시오.
- 공격 표면 감소(ASR): 그룹 정책(GPO)을 통해 '자식 프로세스를 생성하는 Office 응용 프로그램 차단' 및 '신뢰할 수 없는 실행 파일 차단' 규칙을 활성화하십시오.
- 레지스트리 완화: 사용하지 않는 위험한 프로토콜 핸들러를 비활성화하십시오.
# 예시: 특정 프로토콜 핸들러 비활성화 (주의: 서비스 영향 확인 필요)
Remove-Item -Path "HKCR:\<DangerousProtocol>" -Recurse패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요
Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.
취약점 발생 원리 및 공격 메커니즘
CVE-2026-96951 취약점은 Windows Shell이 특정 특수 문자나 명령 인자를 처리하는 과정에서 발생하는 커맨드 인젝션(CWE-77) 결함입니다. 공격자는 특수하게 조작된 URI 프로토콜이나 바로가기 파일을 배포하여 사용자가 이를 클릭하도록 유도합니다. 이 과정에서 Windows의 'Mark of the Web(MotW)'과 같은 보안 경고를 우회하고, 쉘 실행 컨텍스트에 악성 명령어를 주입하여 원격 코드 실행(RCE)을 수행합니다. 특히 CISA KEV(Known Exploited Vulnerabilities)에 등재되었고 EPSS 점수가 0.94에 달하는 만큼, 실제 위협 그룹에 의해 활발히 악용되고 있는 고위험군 취약점입니다.
공식 보안 권고문 및 참조 링크
Improper neutralization of special elements used in a command ('command injection') in Windows Shell allows an unauthorized attacker to bypass a security feature over a network.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.