CISA, 랜섬웨어 조직이 악용하는 윈도우 ‘Task Host’ 취약점 확인

랜섬웨어 조직이 악용하는 윈도우 ‘Task Host’ 권한 상승 취약점 확산

• 미국 사이버보안·인프라보안국(CISA)은 2026년 8월 18일 공지에서 윈도우 핵심 구성요소인 ‘Host Process for Windows Tasks(Task Host)’의 권한 상승 취약점 CVE-2025-60710이 랜섬웨어 조직에 의해 실제로 악용되고 있다고 확인했으며, 이 취약점은 윈도우 11과 Windows Server 2025에서 링크 추적 오류를 통해 일반 사용자 계정을 시스템 전체를 통제하는 최고 권한(SYSTEM)으로 끌어올리는 구조로 작동해 패치가 적용되지 않은 단말과 서버가 공격자에게 완전 장악당하는 통로가 된다.
• Microsoft는 2025년 11월 보안 업데이트에서 CVE-2025-60710을 수정했으나, CISA는 2026년 4월 13일 이 취약점을 ‘Known Exploited Vulnerabilities Catalog’에 추가하며 이미 공격에 활용되는 것으로 분류했고, 2026년 8월 중순 다시 목록을 업데이트하면서 연방 민간 행정부(FCEB) 기관뿐 아니라 민간 방어자에게도 윈도우 11과 Windows Server 2025 환경에서 Task Host가 사용자 쓰기 가능한 AppData 경로에서 심볼릭 링크와 정션을 제대로 검증하지 않고 삭제 작업을 수행하는 행태를 악용하면 보호된 시스템 파일 삭제와 코드 실행으로 이어진다는 점을 경고했다.
• Task Host는 DLL 기반 백그라운드 프로세스를 실행하고 윈도우 종료 시 데이터 손상을 막기 위해 작업을 안전하게 마무리하는 코어 컴포넌트로 설계됐으나, CVE-2025-60710에서는 이 시스템 수준 작업이 사용자 영역 디렉터리의 링크를 따라가면서 시스템 보호 파일에 대한 삭제 권한을 행사할 수 있어, 공격자가 랜섬웨어를 포함한 악성코드를 일반 사용자 권한으로 먼저 심은 뒤 공개된 익스플로잇 기법을 사용해 SYSTEM 권한을 획득하고 엔드포인트 전체를 암호화하거나 보안 제품을 무력화하고 로그를 삭제하는 등 후속 공격을 자동화하는 발판으로 활용하기 쉽다는 점이 문제다.
• CVE-2025-60710은 링크 추적 취약점으로서 로컬 권한 상승에 해당해 원격 코드 실행이나 인증 우회를 직접 제공하지는 않지만, CISA는 2026년 4월 13일자로 이 취약점을 적극 악용되는 목록에 포함하고 연방 민간 행정부 기관에 14일 이내 패치 적용을 요구했으며, Microsoft의 보안 권고는 2025년 11월 패치 배포 시점을 비롯해 영향을 받는 플랫폼으로 윈도우 11, Windows Server 2025를 명시하고, 보안 연구자 Erik Krell 등은 공격자가 AppData 경로의 정션을 이용해 시스템 수준 작업을 임의의 보호된 파일 삭제와 SYSTEM 권한 코드 실행으로 전환하는 구체적 메커니즘을 설명해 관리자가 위험을 이해하고 조치 우선순위를 설정할 수 있게 했다.
• CISA가 2026년 8월 18일자로 Known Exploited Vulnerabilities Catalog의 CVE-2025-60710 항목을 업데이트하며 랜섬웨어 조직에 의한 악용을 명시한 것은, 단순 권한 상승 취약점이 랜섬웨어 생태계에서 필수적인 ‘권한 확장 모듈’로 자리잡았다는 점을 제도적 차원에서 인정한 것으로, 이는 2021년 발령된 Binding Operational Directive 22-01에 따라 미국 연방 기관이 지정된 취약점에 대해 기한 내 패치를 의무적으로 수행해야 한다는 규범을 다시 상기시키며, 랜섬웨어 공격에서 초기 침해는 피싱·취약한 원격접속 등으로 이뤄지더라도 실제 데이터 암호화와 백업 파괴, 보안 시스템 비활성화에는 이런 권한 상승 취약점이 필수라는 현실을 정책 문서에 반영한 신호이다.
• 윈도우 11과 Windows Server 2025의 Task Host 취약점이 공개 패치 이후에도 대규모로 미적용 상태로 남아 있고 미국 CISA까지 랜섬웨어 조직의 실사용을 확인했다는 점은, 한국 내 공공·국방·핵심 기간시설에서 사용하는 윈도우 기반 단말·서버 자산의 패치 거버넌스를 재점검해 CVE-2025-60710과 같은 권한 상승 취약점을 ‘중간 단계 위험’이 아닌 랜섬웨어 완성 경로로 간주하고, 전사적 패치 SLA와 그룹정책(GPO)·엔드포인트 관리시스템에서 패치 강제, 취약한 Task Host 동작을 탐지하는 위협 헌팅 룰 개발, 국산 보안 솔루션이 이런 윈도우 내부 권한 상승 흐름을 탐지·차단하는 기능을 내재화하도록 정책·조달 기준을 조정해야 한다는 함의를 제공한다.

윈도우 Task Host 권한 상승 취약점이 랜섬웨어 조직의 표준 도구로 확인된 만큼, 국내 공공·국방·기간산업 윈도우 자산의 패치 준수율을 긴급 점검하고 CVE-2025-60710과 유사한 권한 상승 취약점을 우선 차단 대상으로 지정해, 국산 보안 제품과 조달 기준에 ‘내부 권한 상승 탐지·차단’ 능력을 명시하는 정책 정비가 필요하다.

주요 용어: CISA(미국 사이버보안·인프라보안국으로 연방 기관·민간의 취약점 관리와 위협 정보를 조정하는 기관), Known Exploited Vulnerabilities Catalog(CISA가 실제 공격에 사용되는 취약점을 CVE 번호와 기한을 지정해 패치를 의무화하는 목록)

출처: BleepingComputer