Microsoft의 2026년 10월 13일 보안 업데이트는 1400건 넘는 수정을 포함하지만 같은 긴급 상황이 1400개라는 뜻은 아니다. 새로 고친 Windows Shell 결함 하나는 이미 악용되고 있었다. 이것이 큰 작업량에서 가장 명확한 구분이다.
제품 범위·이전 수정·데이터 시점에 따라 연구자 집계는 1407~1415건이었다. 9월도 약 1000건이었다. 자동화·AI가 증가의 일부와 연결되지만 정확히 몇 건을 찾았는지 측정하지 않는다.
발견이 빨라져도 자산 목록·호환 시험·변경 시간·확인이 수정의 보호 전환을 결정한다. 운영 능력은 같은 속도로 확장되지 않는다.
수치는 달라도 규모는 같다
ZDI는 신규 CVE 1415건, Rapid7은 1413건 중 Windows 1102건을 셌다. 다른 집계는 1407·1409·1411이다. 클라우드·구성요소·선행 수정을 포함하는 규칙이 달라 정확한 수치에는 방법이 필요하다.
Windows가 다수지만 Office·SharePoint·Exchange·.NET·SQL Server·개발 도구·Azure도 있다. CrowdStrike는 Critical 75건과 제로데이 3건을 보고했다. 제로데이와 악용 중은 같지 않으며 신규 수정 가운데 하나에 실제 공격이 확인됐다.
Microsoft의 risk cohorts는 관련 결함을 묶지만 개별 CVE 검토·배포 지침을 대신하지 않는다. 회사의 설치·도달성·중요도도 자동으로 알려주지 않는다.
악용되지 않아도 인증·네트워크·원격·업무 앱 시험이 필요하다. 9월 Remote Desktop·오디오·가상 파일공유 문제는 호환 검증 이유이지 알려진 공격을 무시할 이유는 아니다.
악용되는 Shell은 다른 긴급도다
CVE-2026-96951은 8.8점 보안 우회로 Windows 10·11 포함 지원 클라이언트·서버에 영향을 준다. 연구자는 외부 출처를 표시해 경고와 추가 검사를 일으키는 Mark of the Web 메타데이터 우회라고 설명한다.
장벽 제거는 악성 첨부·다운로드 사슬을 돕지만 결함 단독의 자동 침해는 아니다. 공개 시점에는 공격자·확산·후속 페이로드를 포함한 전체 경로가 제시되지 않았다.
실제 악용은 가상의 9.8점과 다르다. CVSS는 표준 기술 특성이지 작동 공격 도구·실제 도달성·기기 가치를 측정하지 않는다. 외부 서비스를 열지 않은 단말도 첨부·다운로드 경로를 갖는다.
관리자·개발자·재무·경영진 기기는 중요한 자격증명과 권한을 가질 수 있다. 단말·첨부·앱 통제는 배포 중 유용하지만 패치 불필요나 설치 이전 무사고를 증명하지 않는다.
KEV는 관측 악용을 기록한다. 연방 기한은 적용 기관의 의무이지 민간에 자동 적용되지 않는다. Fortra의 Tyler Reguly는 당시 2026년 Microsoft KEV 26건을 언급했으나 나머지가 무의미하다는 뜻은 아니다.
자동 발견이 실제 수정 운영을 앞선다
정적 분석·퍼징·변형 분석은 공유 코드의 패턴을 확장한다. 퍼징은 비정상 입력, 변형 분석은 알려진 결함의 유사형을 찾는다. LLM이 검토·시험·수정을 도와도 사람의 검증은 필요하다.
Krebs는 증가를 Microsoft LLM 사용과 연결했다. 총수만으로 오래된 결함의 빠른 발견·대상 확대·CVE 부여·공개 방식을 나눌 수 없다. 공통 패턴이 여러 번호가 되기도 한다.
ZDI는 2026년 10월까지 제로데이 15건, 2023년 동기 17건과 2023년 전체 CVE 914건을 제시했다. 한 달이 과거 1년을 넘어도 관측 악용은 비례 증가하지 않았다.
가시성 증가이지 방어 승리의 증거는 아니다. 공격자도 신구 바이너리를 비교해 약점을 재구성한다. 검토가 많아지면 공개·설치 간격이 길어지며 적은 유용한 노출 경로 하나만 찾으면 된다.
Critical도 환경 조건이 있다
ZDI는 인증·사용자 상호작용 없는 원격 침해라는 정의로 잠재 전파형 59건을 꼽았다. 인터넷 웜 59개 예측이 아니다. 서비스가 비활성·내부·제약 상태일 수 있다.
DHCP·NPS·Remote Desktop Gateway·DNS·TCP/IP·IIS가 포함된다. Message Queuing은 9.8 원격 실행 수정이 있지만 기본 활성화가 아니며 실제 설치·비신뢰 접근이 우선순위를 바꾼다.
SharePoint CVE-2026-102866은 서명 검증의 Critical 권한 상승이며 대상 사용자의 유효 proof token이 필요하다고 한다. 무인증 네트워크 침해와 다르지만 기업 데이터는 가치가 있다.
Exchange·Office·AD·.NET·네트워크는 구조에 따라 다르다. 클라우드 전용과 오래된 자체 메일 서버는 다르며 일부 클라우드는 Microsoft가 이미 수정해 고객 배포가 필요 없다.
비해당 항목 제거는 소홀이 아니라 제품·도달성·인증·상호작용·결과를 구분하는 일이다. 보완 통제는 시험할 시간을 주지 영구 면역은 아니다.
닫힌 티켓보다 실제 노출 제거
노트북·서버·산업·클라우드는 담당·주기가 다르고 스캐너는 중복·불완전 매핑을 만든다. 대조 작업이 실제 위험 감소를 늦춘다.
대표 집단으로 단계 시험하고 고위험을 가속할 수 있다. 실패와 대기는 나눠야 한다. 전자는 수리·앱 변경, 후자는 다음 시간일 수 있다. 예외에는 담당자와 만료가 필요하다.
높은 종료율이 노출 서버나 특권 단말 하나를 숨길 수 있다. 악용·도달 가능한 Critical·미지원 자산·설치 실패·지난 예외를 나눠야 한다. 평균은 위험한 꼬리를 감춘다.
다음은 추가 악용·작동 코드·설치 신뢰성이다. 공개 코드는 광범위 공격 증거가 아니어도 필요한 기술과 시간을 줄인다. 권고·KEV·스캔·배포 원격측정이 첫날 판단을 바꾼다.
Windows가 1400배 나빠진 것도 나머지가 무해한 것도 아니다. 발견이 안전한 배포보다 빠르다. 실제 보호와 지연 사유·감시를 문서로 설명할 수 있는지가 증거다.