AI로 늘어난 대규모 취약점 패치, 기업 대응역량 부담 심화
- Microsoft가 2026년 9월 Patch Tuesday에서 Windows와 기타 소프트웨어 취약점 974건을 한 번에 패치하며 역대 최대 규모 업데이트를 배포한다. AI 기반 취약점 탐지로 속도는 빨라졌지만, 기업의 테스트·배포 부담은 급격히 커진 상황이다.
- 이번 9월 패치로 2026년 누적 취약점 패치 건수는 2,600건을 넘어서며, 2020년 기록인 1,245건을 두 배 이상 상회한다. 7월에는 570건을 한 번에 수정해 이전 최대치를 기록했고, 남은 3개월 추가 패치까지 예고된 상태다.
- 이번 업데이트에는 실제 악용 중인 윈도우 권한상승 제로데이 CVE-2026-81963, CVE-2026-85880이 포함되고, 113건이 원격에서 시스템 장악이 가능한 ‘중요’ 등급이다. 윈도우 서버 DNS와 Windows Shell의 원격코드실행 취약점은 공격 복잡도가 낮고 인증 없이 악용 가능해 위험도가 특히 크다.
- CVE-2026-69730은 Windows Server 2012 이후 버전과 Windows 10의 DNS 구성에서 발견된 결함으로, 인증 없는 공격자가 특수 제작 패킷만으로 취약 시스템을 노릴 수 있다. CVE-2026-69829는 Windows Shell의 CVSS 9.8 원격코드실행 취약점으로, 권한 요구와 사용자 상호작용이 거의 없어 자동화 공격에 적합하다.
- Microsoft뿐 아니라 Adobe, Cisco, Google, Mozilla, Oracle 등 대형 벤더가 AI 보조 연구를 통해 패치 주기를 단축하고 물량을 늘리고 있다. Google은 2주마다 보안 업데이트를 제공하겠다고 밝혀, 글로벌 기업 IT 환경이 상시 패치·재부팅을 전제로 설계돼야 하는 시대로 이동하고 있다.
- Fortra와 Tenable 연구자는 CISO와 CSO가 야간·주말 배포를 포함한 패치 조직 운영을 재설계하고, 실제로 자사에 영향을 주는 취약점을 선별하는 위험 기반 우선순위가 핵심이라고 강조한다. 한국 공공·민간도 대량 패치 시대를 상정한 예산·인력·도구 체계를 조속히 구축할 필요가 크다.
AI로 급증한 취약점 패치 물량은 기술 문제가 아니라 거버넌스 과제이다. 한국 정책 담당자는 공공·기간산업에 위험 기반 패치 우선순위와 야간·주말 배포를 허용하는 제도·예산을 마련하고, 국산·외산 SW 모두를 대상으로 한 통합 취약점 관리 플랫폼 구축을 서둘러야 한다.
주요 용어: Patch Tuesday(매월 둘째 화요일에 수행되는 Microsoft 정기 보안 업데이트 일정), 제로데이 취약점(공개·패치 이전에 공격자가 먼저 악용하는 소프트웨어 결함)
출처: Krebsonsecurity