Windows 9월 보안 업데이트, 이미 쓰인 제로데이 2건부터 보면 된다

974건이라는 숫자가 집 PC에 바로 의미 있는 이유

Windows 9월 보안 업데이트를 검색하는 이유는 보통 두 가지입니다. 이번 달에 깔아야 할 누적 업데이트가 맞는지, 뉴스에 나온 제로데이가 내 PC 이야기인지입니다. Microsoft 보안 업데이트 가이드 9월 릴리스 노트는 이번 공개분을 “974 Microsoft CVEs”로 적습니다. Windows만 723건, Office 111건, SQL 62건, 개발 도구 22건, SharePoint 16건, Exchange 9건입니다.

숫자가 큰 이유는 공격이 974종류로 동시에 온다는 뜻이 아닙니다. Microsoft가 올해 중반부터 AI 기반 취약점 탐색을 코드베이스에 넓히면서 월례 공개량이 늘었다는 설명이 BleepingComputer와 여러 보안 매체에 나옵니다. 일반 이용자가 볼 지점은 건수가 아니라, 이미 쓰인 것으로 표시된 항목과 재시작이 필요한 누적 업데이트입니다.

매체 제목의 966, 972, 973은 오류라기보다 세는 범위가 다릅니다. BleepingComputer는 패치 화요일 당일 Microsoft가 새로 공개한 항목만 세고, 타사·Edge(Chromium) 일부는 빼는 방식을 써 왔습니다. 글에서 공식 숫자로 쓰는 값은 MSRC 974건입니다.

이미 쓰인 제로데이 2건이 실제로 하는 일

MSRC가 “Exploitation Detected”로 표시한 항목은 두 개입니다. 둘 다 중요(Important), CVSS 7.8, 영향은 권한 상승입니다. 공격자가 얻는 결과는 SYSTEM입니다. 공개 여부는 둘 다 No, 악용 여부는 둘 다 Yes입니다. 어떤 그룹이 어떤 캠페인에 썼는지는 공개되지 않았습니다. CISA는 랜섬웨어 사용 여부를 Unknown으로 적었습니다.

CVE-2026-85880, 낮은 권한 앱에서 SYSTEM으로

Windows ALPC(Advanced Local Procedure Call)의 힙 버퍼 오버플로입니다. ALPC는 프로그램끼리 메시지를 주고받는 Windows 내부 통신입니다. 공식 FAQ는 이렇게 적습니다. 낮은 권한 AppContainer에서 코드를 실행할 수 있는 공격자가 이 취약점을 로컬에서 이용해 샌드박스를 탈출하고 권한을 올릴 수 있다. 추가 이용자 조작은 필요 없습니다.

Tenable은 2022년 이후 ALPC 패치가 16건이었지만, 패치 화요일에 ALPC가 다시 올라온 것은 2023년 4월 이후 처음이며, 제로데이로 악용된 것은 2023년 1월 CVE-2023-21674 이후 두 번째라고 정리했습니다. 일반 이용자 언어로 바꾸면, 브라우저나 앱 샌드박스 안에 이미 들어온 코드가 한 단계 더 올라갈 수 있는 구멍입니다. 메일을 열기만 해서 바로 SYSTEM이 되는 원격 구멍으로 적힌 내용은 아닙니다.

CVE-2026-81963, 업데이트 설치 경로를 따라 올라가는 권한

Windows Update Stack의 링크 추적(link following) 오류입니다. 파일을 열기 전에 바로 가기를 잘못 풀어, 낮은 권한 공격자가 다른 맥락으로 파일을 심고 SYSTEM을 얻는 형태입니다. 공개 원문은 “Improper link resolution before file access (‘link following’) in Windows Update Stack allows an authorized attacker to elevate privileges locally”입니다.

제보자는 Romain Deperne와 Microsoft Threat Intelligence Centre(MSTIC)입니다. Tenable은 2022년 이후 Update Stack 권한 상승이 일곱 번 패치됐지만, 실제 악용이 확인된 제로데이는 이번이 처음이라고 적었습니다. 아이러니한 지점은 업데이트를 설치하는 구성 요소 자체에 구멍이 있었다는 점입니다. 그래서 이번 누적 업데이트를 미루면, 나중에 업데이트를 설치하는 경로가 공격 면으로 남습니다.

집 PC와 회사 서버에서 우선순위가 갈리는 이유

두 제로데이는 “이미 그 PC 안에서 코드를 돌릴 수 있는 사람”이 대상입니다. 집 PC 한 대를 쓰는 사람에게는 이번 달 누적 업데이트를 받아 재시작하는 것이 대응의 전부입니다. 악성 문서, 변조된 설치 파일, 이미 뚫린 브라우저 탭처럼 선행 단계가 있어야 이 구멍이 의미가 있습니다.

공유 PC, 개발용 가상 머신, 직원 노트북처럼 여러 계정이 오가는 기기는 이야기가 달라집니다. 낮은 권한 계정이나 샌드박스 앱이 SYSTEM으로 올라가면 백신 설정, 이벤트 로그, 예약 작업까지 바뀝니다. CISA는 2026년 9월 8일 두 CVE를 알려진 악용 취약점(KEV) 목록에 올렸고, 미 연방 민간 기관 기한을 9월 22일로 잡았습니다. 한국 개인·중소기업에 같은 날짜가 법적 의무는 아닙니다. 다만 이미 쓰인 항목이라는 신호로는 충분합니다.

서버 담당자가 제로데이만 보고 끝내면 순서가 어긋납니다. 같은 날 공개된 CVE-2026-69730은 Windows DNS Server 원격 코드 실행입니다. 인증 없는 공격자가 특수 패킷을 보내 코드를 실행할 수 있고, CVSS는 9.8, 심각도는 Critical, 악용은 No, 평가는 Exploitation More Likely입니다. 공개 DNS를 돌리는 Windows Server가 있다면 이쪽이 인터넷에 바로 닿습니다. 보안 매체는 웜으로 번질 수 있는 부류로 이 DNS 계열을 따로 적었습니다. 악용 탐지 표시는 없지만, 노출면은 제로데이 2건보다 넓습니다.

Windows 11·10에서 지금 확인할 번호

일반 이용자는 CVE 목록을 다 읽지 않아도 됩니다. 버전별 누적 업데이트 번호만 맞으면 두 제로데이를 포함한 Windows 패치가 들어갑니다.

확인 순서는 짧습니다. 설정 > Windows 업데이트 > 업데이트 확인. 설치 후 다시 시작이 뜨면 미루지 않는 편이 맞습니다. 권한 상승 패치는 재시작 전에는 완전히 닫히지 않는 경우가 많습니다. 설치 여부는 설정 > 시스템 > 정보에서 OS 빌드, 또는 설정 > Windows 업데이트 > 업데이트 기록에서 KB 번호로 봅니다.

회사 PC는 WSUS·Intune·MECM 배포 고리가 한 템포 늦을 수 있습니다. 로컬에 “최신 상태”로 보여도 승인 그룹이 9월 누적을 아직 안 탔을 수 있으니, 업데이트 기록의 KB가 위 번호와 같은지 한 번 더 봅니다. Office, Exchange, SQL, SharePoint를 같은 서버에 둔 환경은 Windows만 받고 끝내지 않습니다. MSRC 표 기준으로 Office 111건, SQL 62건이 별도 누적·개별 업데이트입니다.

재시작 뒤에 한 번만 더 보면 됩니다. Win+R에 winver를 입력해 빌드가 24H2·25H2라면 26100.9445 또는 26200.9445 근처인지 확인합니다. 23H2는 지원 문서 기준 22621.7582입니다. 업데이트 기록에 보안 업데이트(KB5124008) 또는 KB5122880이 성공으로 남아 있어야 합니다. 실패·취소로 남아 있으면 다시 받기 전에 이벤트 뷰어의 Windows Update 로그를 여는 편이 빠릅니다.

가정용 Microsoft 365 구독 PC는 Windows 누적과 Office 클릭 투 런 업데이트가 따로 갑니다. Word·Excel만 오래 열어 둔 채 Windows만 받으면, Office 쪽 원격 실행 항목은 다음날까지 안 닫힐 수 있습니다. Office 앱에서 계정 > 업데이트 옵션 > 지금 업데이트를 한 번 눌러 버전을 맞춥니다. 엑셀 파일만 주고받는 집에서도 이 한 번은 의미가 있습니다.

설치가 0%에서 멈추거나 실패할 때

KB5124008 설치가 0%나 100%에서 멈춘다는 제보는 업데이트 당일부터 커뮤니티에 올라왔습니다. Microsoft가 이 증상을 공식 알려진 문제로 확정했다는 문서는 확인일 기준으로 찾지 못했습니다. 원인은 보통 업데이트 캐시 손상, 디스크 여유 공간 부족, 서비스 스택 꼬임, 이전 미리보기 업데이트를 건너뛴 상태입니다.

다시 시도하기 전에 확인할 것은 단순합니다. 시스템 드라이브 20GB 이상 여유, BitLocker 복구 키가 다른 기기에 있는지, 작업 관리자에서 Windows Update 서비스가 실행 중인지입니다. 캐시를 지울 때는 서비스에서 Windows Update를 중지한 뒤 C:\Windows\SoftwareDistribution\Download 내용을 비우고 서비스를 다시 켭니다. 그다음 업데이트 카탈로그에서 해당 아키텍처의 .msu를 받는 방법이 있습니다. Windows Latest가 공개한 25H2 x64 패키지 크기는 약 4.9GB입니다.

설치 실패를 이유로 업데이트를 꺼 두면, 이번 달 구멍뿐 아니라 이후 누적도 끊깁니다. 가짜 업데이트 안내 사이트에서 받은 실행 파일로 “수동 설치”를 대신하는 것은 피합니다. 공식 경로는 Windows 업데이트, Microsoft Update Catalog, 회사 관리 콘솔입니다.

패치 다음 날 나온 ShieldCrash 주장을 어디에 둘지

2026년 9월 9일 BleepingComputer는 Nightmare Eclipse라는 연구자가 Microsoft Defender 권한 상승의 패치 우회 PoC를 ShieldCrash라는 이름으로 공개했다고 보도했습니다. 주장의 골자는 이렇습니다. 9월 패치가 막은 ShieldBreak(CVE-2026-69414)를 특정 조건에서 다시 트리거할 수 있고, 패치된 Windows 10·11·Server에서 SYSTEM으로 임의 파일 읽기가 된다. 쓰기는 안 된다고 연구자 본인이 적었습니다.

이 글 기준으로 ShieldCrash는 공식 제로데이 목록에 없습니다. Microsoft 대변인 논평은 보도 시점 기준 “즉시 확인할 수 없었다”입니다. 9월 8일 MSRC가 Exploitation Detected로 적은 2건과 같은 선에 두면 안 됩니다. Defender를 쓰는 환경이라면 연구자 공개 이후 서명·동작 모니터링이 흔들릴 수는 있습니다. 대응은 Defender 엔진 업데이트와 Microsoft 공식 권고를 기다리는 쪽이지, 검증되지 않은 우회 코드를 직접 돌려 보는 쪽이 아닙니다.

같은 주 브라우저 이슈는 별건입니다. Google은 Chrome V8 엔진의 활성 악용 CVE-2026-87491을 포함해 데스크톱 안정 채널 153.0.8010.36(Windows·Linux), 153.0.8010.37(Mac)을 배포했다고 BleepingComputer가 전했습니다. Windows를 막았어도 브라우저가 남아 있으면 선행 침입 면이 남습니다. Chrome·Edge 자동 업데이트가 꺼져 있는지 같이 확인하는 편이 맞습니다.

누구에게 당장 필요한가

지금 업데이트가 필요한 사람은 Windows 11·10을 켜 두는 개인, 직원 노트북을 관리하는 실무자, DNS·파일·원격 데스크톱을 여는 Windows Server 관리자입니다. 할 일은 버전별 KB를 설치하고 재시작한 뒤, 업데이트 기록과 OS 빌드가 맞는지 확인하는 것입니다. 회사라면 미승인 9월 누적이 남아 있는 배포 그룹이 없는지만 추가로 봅니다.

굳이 이 글을 보안 사고 대응 매뉴얼로 쓸 필요는 없는 경우도 있습니다. 이미 KB5124008 또는 KB5122880이 설치돼 재시작까지 끝난 개인 PC, Chrome·Edge까지 최신인 환경, DNS 역할을 올리지 않은 가정용 컴퓨터입니다. 그런 기기에서 남은 일은 가짜 수동 설치 파일을 받지 않는 정도입니다.

아직 확인되지 않은 부분은 분명합니다. 두 제로데이를 누가, 어떤 악성코드 체인에 붙였는지는 Microsoft가 공개하지 않았습니다. ShieldCrash는 연구자 PoC 단계입니다. 23H2 빌드 표기가 22621과 22631로 갈리는 점은 지원 문서와 매체 요약의 차이로 두고, 기기 화면의 KB 번호를 기준으로 판단하면 됩니다.