Windows 11·Edge 브라우저 연쇄 침해… Pwn2Own 베를린서 최신 0-day 실증

Microsoft 최신 OS·브라우저의 핵심 취약점 공개 악용, 에어갭 환경 돌파 경고

국제 해킹 경진 대회 Pwn2Own 2026 베를린 대회 개최 첫날, Windows 11의 커널 권한 상승 취약점과 Microsoft Edge 브라우저의 원격 코드 실행(RCE) 취약점이 연쇄적으로 공개 악용되었습니다. 이는 Microsoft의 최신 보안 업데이트가 적용된 최신 버전 시스템도 현재 위협으로부터 안전하지 않음을 의미하며, 글로벌 기업 및 정부 기관의 엔드포인트 보안 전략에 대한 근본적 재검토를 촉구합니다.
공격 연쇄 과정은 ①Edge 브라우저 취약점을 통한 사용자 권한 코드 실행 → ②Windows 11 커널 취약점을 통한 권한 상승 → ③시스템 완전 제어(Admin/SYSTEM 권한 획득)로 진행되며, 이는 고급 위협 집단(APT)이 사용할 수 있는 ‘다단계 침투 체인’의 실제 작동을 입증했습니다.
보안 연구팀들이 이번 취약점들의 패치 조건을 분석한 결과, Microsoft가 2026년 6월 정기 보안 업데이트에서 해당 결함을 수정할 계획인 것으로 파악되었으나, 현재까지 3주 이상의 ‘보안 공백(Security Gap)’ 기간이 지속되고 있습니다. 이 기간 동안 공개된 PoC(Proof of Concept) 악용 코드가 이미 이더리움 및 Telegram 채널을 통해 유포되고 있습니다.
Pwn2Own 대회의 전례상, 이번에 공개된 취약점 악용 기법들은 향후 국가 정보기관, 높은 수익성의 사이버 범죄 조직(Conti, LockBit 계열) 등에 의해 신속히 채택될 가능성이 높으며, 특히 금융, 통신, 정부 부문의 이더넷 기반 업무용 컴퓨터들이 우선 공격 대상이 될 수 있습니다.
국내 금융권과 공공기관 중 Windows 11 도입 기업은 현재 전체의 68% 수준이며, 보안 패치 적용률이 평균 45일 지연되는 추세를 감안하면 최소 2주 이상의 취약점 노출 상태가 계속될 것으로 예상됩니다.

한국 정부는 Pwn2Own 및 유사 보안 경진 대회 결과를 국가 사이버 보안 위협 레이더에 정기 반영하는 체계를 구축하고, 금융감독위원회, 과학기술정보통신부 등이 Windows 11 기반 핵심 정보 보호 대상에 대해 ’72시간 내 보안 업데이트 완료’ 의무 지침을 발행하며, 긴급 취약점 대응을 위한 국내 보안 기업의 신속 패치 및 위협 탐지 기술 지원 체계를 강화해야 합니다.

주요 용어: Pwn2Own(국제 해킹 경진 대회로 최신 OS, 브라우저, 하드웨어의 취약점을 경합하는 행사), RCE(Remote Code Execution, 공격자가 원격으로 피해 시스템에서 임의의 코드 실행), 권한 상승(Privilege Escalation, 낮은 수준의 사용자 권한에서 관리자 권한 획득), PoC(Proof of Concept, 취약점 악용 가능성을 입증하는 코드)

출처: BleepingComputer