마이크로소프트 10월 조기 보안 업데이트, 10점 CVE도 패치가 없는 이유

2026년 10월 9일, 마이크로소프트 보안 대응 센터(MSRC)가 마이크로소프트 10월 조기 보안 업데이트 릴리스 노트를 올렸다. 묶인 CVE는 8개다. 기본 점수만 보면 파트너 센터가 10.0, Bookings가 9.9, Dataverse와 Azure App Service가 9.8이다. 점수가 이 정도면 보통은 업데이트 파일부터 찾게 된다. 그런데 파트너 센터 안내에는 설치 링크가 없다. 마이크로소프트는 이미 서비스를 고쳤고, 고객이 받을 파일이 없다고 적었다.

10점인데 다운로드가 없는 이유

가장 높은 점수는 CVE-2026-96207, Microsoft Partner Center 권한 상승이다. 공식 요약은 “Microsoft Partner Center의 부적절한 인증서 검증으로, 인증되지 않은 공격자가 네트워크를 통해 권한을 올릴 수 있다”이다. 약점 분류는 CWE-295다. 인증서가 없거나, 있어도 서명·발급 체인·이름 같은 속성을 제대로 보지 않을 때 붙는 분류다.

벡터는 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N이다. 네트워크로 도달하고, 조건이 단순하며, 사전 권한과 사용자 클릭이 필요 없다. 영향 범위는 취약한 구성 요소 밖으로 바뀐다. 기밀성과 무결성은 높고, 가용성 영향은 없다. 기본 점수 10.0, 시간 점수 8.7이다. 시간 점수가 낮은 이유는 공식 악용 코드가 없고, 공식 수정이 있으며, 보고 신뢰도가 확인됨으로 잡혀 있기 때문이다.

악용 가능성 평가는 Exploitation Less Likely다. 사전 공개 No, 실제 악용 No다. FAQ는 업데이트 링크가 없는 이유를 이렇게 적는다. “이 취약점은 마이크로소프트가 이미 완전히 완화했다. 이 서비스 사용자가 할 조치는 없다. 이 CVE의 목적은 추가 투명성이다.” 10점은 결함이 가벼웠다는 뜻이 아니다. 클라우드라서 고객 PC에 패치 파일이 내려가지 않는다는 뜻이다.

여덟 개 중 설치할 파일은 어디에 있나

마이크로소프트 10월 조기 보안 업데이트의 실용적인 구분은 점수가 아니라 ‘누가 고쳤는가’다. 릴리스 노트는 우회책과 완화책 칸을 모두 No로 둔다. 이 칸의 No는 고객용 임시 조치가 없다는 쪽에 가깝다. 클라우드 6건의 개별 페이지는 그와 별도로 “이미 완화”를 명시한다.

점수가 가장 낮은 Event Grid가 확인이 덜 된 항목이다. CVE 기록의 설명은 “Azure Event Grid의 인가 누락으로, 권한이 있는 공격자가 네트워크에서 위장할 수 있다”이고, 분류는 CWE-862다. 벡터는 낮은 권한이 필요하고 기밀성·가용성 영향은 없다. 같은 조기 업데이트에 들어 있지만, 개별 안내 페이지 본문은 이번 작성 중 열리지 않았다. “고객 조치 없음”을 이 한 건에만 공식 문장처럼 옮기지는 않는다.

인증서 검증이 깨지면 파트너 업무에서 무엇이 달라지나

파트너 센터는 일반 윈도우 업데이트가 아니다. 마이크로소프트 파트너가 고객 테넌트, 라이선스, 인센티브를 다루는 쪽의 서비스다. 인증서 검증이 느슨하면 공격자가 정상 연결로 위장한 뒤 권한을 올리려 할 수 있다는 것이 공식 문장의 범위다. 어떤 인증서 필드가 빠졌는지는 공개되지 않았다. 공격 절차를 추정해 적지 않는다.

영향 범위가 ‘변경됨’이라 파트너 센터 화면 안의 문제로 끝나지 않을 수 있다. 다만 가용성 점수는 없다. 서비스가 통째로 멈춘다는 점수 구조가 아니다. 기밀성과 무결성이 높으므로, 파트너 계정으로 보는 고객·계약 정보가 읽히거나 바뀌는 쪽이 점수상 핵심이다.

이미 완화됐다는 문장은 “과거에도 아무 일도 없었다”는 뜻이 아니다. 공개 시점의 악용 여부가 No일 뿐이다. 파트너 센터 관리 권한이 있는 조직이라면 패치 파일 대신 최근 관리자 동의, 고객 테넌트 접근, 사용자 추가 기록을 보는 편이 맞다. 일반 직원 PC에서 윈도우 업데이트를 다시 받을 이유는 이 CVE에 없다. 볼 기록은 성공한 로그인만이 아니다. 동의한 앱, 새로 만든 사용자, 고객 테넌트로 넘어간 관리자 역할이 점수상 영향과 더 가깝다. 공개된 공격 절차가 없으므로, 특정 로그 한 줄을 침해 증거로 단정하는 검색식은 만들지 않는다.

코드 실행 두 건은 왜 패치 안내가 없나

CVE-2026-88131은 Dataverse 원격 코드 실행이다. 신뢰되지 않은 데이터의 역직렬화, CWE-502다. 인증되지 않은 공격자가 네트워크로 코드를 실행할 수 있다고 적혀 있다. 기본 9.8, 시간 8.5. 악용 가능성 칸은 N/A이고, 사전 공개와 실제 악용은 No다. 고객 조치 문장은 파트너 센터와 같다.

CVE-2026-77900은 Azure App Service 원격 코드 실행이다. 중요 기능에 인증이 빠졌다는 CWE-306이다. 역시 인증 없이 네트워크로 코드를 실행할 수 있고, 기본 9.8, 시간 8.5다. 영향 범위는 바뀌지 않는다. App Service 안의 문제로 점수가 닫혀 있다는 뜻이지, 앱이 안전했다는 뜻은 아니다.

두 건 모두 고객이 확장 프로그램을 끄거나 앱을 재배포하라는 안내는 없다. 마이크로소프트가 서비스 쪽에서 고친 클라우드 CVE다. 직접 운영하는 App Service 앱이 있다면, 플랫폼 패치를 받을 절차는 없고, 앱 자체의 인증 누락과는 별개다. 이번 안내를 자기 코드의 인증 버그까지 고쳤다는 의미로 읽으면 안 된다.

예약, 에이전트, API, 이벤트는 권한이 갈린다

CVE-2026-94510은 Microsoft Bookings 권한 상승이다. 사용자가 통제하는 키로 인가를 우회하는 CWE-639다. 인증과 클릭이 필요 없고, 영향 범위는 바뀐다. 기밀성은 낮음, 무결성은 높음, 가용성은 낮음이다. 기본 9.9, 시간 8.6. 악용 가능성은 Exploitation Less Likely, 실제 악용은 No다. 예약 페이지를 쓰는 소규모 사업장도 설치할 업데이트는 없다.

CVE-2026-69435는 Azure SRE Agent 권한 상승이다. 요약은 “인가 누락으로, 권한이 있는 공격자가 네트워크에서 권한을 올린다”이다. 약점 분류는 CWE-918, 서버 측 요청 위조다. 요약의 ‘인가 누락’과 분류의 ‘요청 위조’가 한 페이지에 같이 있다. 어느 쪽으로 공격이 이어지는지 세부 경로는 공개되지 않았다. 벡터상 낮은 권한이 필요하다. 기본 9.6. 고객 조치는 없다.

CVE-2026-83943은 Azure API Center 정보 노출이다. 인증되지 않은 공격자가 네트워크로 정보를 볼 수 있다. 공격 조건은 높다(AC:H). 기본 8.7. 기밀성과 무결성이 높고 가용성은 없다. 이 건도 이미 완화, 고객 조치 없음이다. API를 직접 만든 팀의 키 관리 문제와는 별개다.

Event Grid는 낮은 권한이 있는 계정의 위장 문제다. 점수는 7.7로 이번 묶음에서 가장 낮다. 이벤트 구독과 전달 경로를 운영하는 팀이면, 개별 안내가 다시 열리는 대로 고객 조치 문장만 확인하면 된다. 지금 문장으로 확인된 것은 결함 설명과 점수까지다.

누구에게 해당하고, 누구는 넘겨도 되나

해당한다. 마이크로소프트 파트너로 고객 테넌트를 다루는 조직, Bookings로 예약을 받는 사업장, Dataverse나 Power Platform 데이터를 쓰는 팀, App Service·API Center·Event Grid·SRE Agent를 켠 Azure 구독, 온프레미스 Exchange를 직접 운영하는 곳이다. 이 가운데 설치 작업이 공식으로 적힌 곳은 온프레미스 Exchange뿐이다.

넘겨도 된다. 개인 윈도우 PC, 회사 노트북의 월간 업데이트, 마이크로소프트 365 메일만 쓰는 일반 직원이다. 파트너 센터 계정이 없고 Exchange를 직접 깔아 두지 않았다면, 10점이라는 숫자만으로 오늘 야간 작업을 열 이유가 없다. 보안 공지를 받는 창구라면 “클라우드 건은 제조사가 고쳤고, 우리가 넣을 파일은 Exchange 온프레미스뿐”이라고 나누는 편이 점수 목록을 그대로 전달하는 것보다 낫다.

흔한 실수는 세 가지다. 첫째, 조기 보안 업데이트를 10월 정기 업데이트로 부르고 윈도우 업데이트 카탈로그에서 파일을 찾는다. 클라우드 6건은 그 목록에 없다. 둘째, 10점을 이미 악용된 제로데이로 공지한다. 공식 악용 칸은 No다. 셋째, Exchange Online 사용자에게도 같은 패치를 설치하라고 안내한다. 확인한 문장은 온프레미스다.

온프레미스 Exchange만 사람이 설치한다

CVE-2026-96940은 10월 9일에 새로 생긴 결함이 아니다. 개별 페이지 공개일은 10월 2일이고, 이번 조기 업데이트 목록에 다시 들어 있다. Outlook 웹 액세스(OWA)가 웹 요청을 제대로 다루지 못해 권한 상승이 가능하다. 공격자가 만든 메일의 링크를 사용자가 눌러야 한다. 대화 창으로 링크를 누르게 하는 경로도 공식 요약에 있다. 기본 8.8, 시간 7.7. 악용 가능성은 Exploitation More Likely이고, 실제 악용은 No다.

고객 안내는 명확하다. 영향받는 온프레미스 Exchange는 보안 업데이트 표의 업데이트를 설치한다. 클라우드 7건과 달리 파일이 고객 서버에 있다. Exchange Online이 같은 결함의 대상인지는 이번 확인한 문장에 없다. 온라인까지 포함된다고 적지 않는다. 온프레미스를 쓰지 않으면 이 건으로 긴급 작업을 열 이유는 없다. 하이브리드라면 온프레미스 쪽 빌드만 보면 된다.

오늘 관리자가 볼 항목

윈도우 업데이트 기록을 뒤지는 작업은 이번 조기 보안 업데이트의 본업이 아니다. 볼 곳은 서비스 관리 기록이다.

• 파트너 센터 관리 권한이 있으면 최근 고객 테넌트 접근, 사용자 추가, 관리자 동의를 본다. 설치 파일은 없다.
• Bookings, Dataverse, App Service, API Center, SRE Agent는 공식 완화 문장이 있다. 앱을 다시 배포하거나 확장 기능을 끌라는 안내는 없다.
• Event Grid는 CVE 설명과 점수만 확인됐다. 개별 페이지가 열리면 고객 조치 문장만 추가 확인한다.
• 온프레미스 Exchange만 10월 2일 업데이트를 이미 넣었는지 본다. 악용 가능성이 More Likely라 클라우드 10점보다 설치 우선순위가 높다.
• 8건 모두 실제 악용 No다. 점수만으로 침해 사고 공지를 쓸 단계는 아니다. 다만 ‘완화됨’은 침해 여부 조사까지 대신하지 않는다.

자주 나오는 질문

개인 PC도 업데이트해야 하나

이번 8건 때문에 개인 윈도우를 다시 받을 이유는 없다. 대상이 파트너 센터, Bookings, Dataverse, Azure 서비스, 온프레미스 Exchange다.

10점이면 이미 뚫린 것 아닌가

아니다. 파트너 센터는 기본 점수 10.0이지만 악용 가능성은 Less Likely이고, 실제 악용은 No다. 10점은 조건이 단순하고 인증이 필요 없으며 기밀성·무결성 영향이 크다는 점수다.

Exchange Online도 패치하나

확인한 공식 문장은 온프레미스 설치다. Exchange Online을 같은 대상이라고 단정하지 않는다.

10월 정기 업데이트와 같은가

아니다. 릴리스 노트 제목은 October 2026 Early Security Updates다. 10월 정기 화요일 업데이트로 바꾸어 부르면 안 된다.

확인일: 2026년 10월 9일. 출처는 MSRC 2026년 10월 조기 보안 업데이트 릴리스 노트와 CVE-2026-96207, CVE-2026-88131, CVE-2026-77900, CVE-2026-94510, CVE-2026-69435, CVE-2026-83943, CVE-2026-96940 안내입니다. Event Grid 설명은 마이크로소프트가 CNA인 CVE 기록을 기준으로 했고, 개별 안내 본문은 이번 확인에서 열리지 않았습니다.