무슨 일이 있었나
2026년 9월 8일 패치 화요일에 마이크로소프트는 964개 CVE를 수정했습니다. Tenable에 따르면 7월을 넘어선 역대 최대 규모이며, 긴급 104개, 중요 860개입니다. 권한 상승이 44.7%, 원격 코드 실행이 **26.8%**를 차지했습니다.
제로데이 2건
- CVE-2026-81963 (Windows Update Stack): 링크 추적 결함으로 SYSTEM 권한까지 상승할 수 있습니다. CVSS 7.8. 2022년 이후 Update Stack 권한 상승이 제로데이로 악용된 첫 사례입니다.
- CVE-2026-85880 (Windows ALPC): SYSTEM 권한 상승, CVSS 7.8. CVE-2023-21674 이후 ALPC 두 번째 제로데이입니다.
둘 다 로컬 접근이 필요하지만, 피싱 등으로 초기 침투한 뒤 공격자가 연결해 쓰는 전형적인 취약점입니다.
함께 우선할 취약점
- CVE-2026-69730 (Windows DNS Server): 인증 없는 RCE, CVSS 9.8, "악용 가능성 높음".
- CVE-2026-69525 (원격 데스크톱 서비스): use-after-free RCE, CVSS 9.8.
- CVE-2026-69676 (Kerberos): RCE, CVSS 8.8.
- CVE-2026-69380 (Exchange Server): 인증된 사용자가 다른 사서함에 접근 가능, CVSS 8.1.
지금 할 일
- 9월 누적 업데이트를 PC와 서버에 적용하되, 인터넷을 쓰는 사용자 PC부터 시작하세요.
- DNS 서버, RDS 호스트, 도메인 컨트롤러를 우선하세요.
- 한 달에 천 개 가까운 CVE에 대비해 패치를 자동화하고 CISA KEV로 순서를 정하세요.