마이크로소프트, 2026년 11월 패치 터즈데이에서 아웃룩 제로데이 취약점 등 1,093개 보안 결함 수정

teal curved wallpaper — Pawel Czerwinski / Unsplash

마이크로소프트가 2026년 11월 10일 월요일에 정기 보안 업데이트를 배포하며 아웃룩에 존재하는 제로데이 취약점을 포함한 총 1,093개의 보안 결함을 수정했다. 이번 업데이트는 2026년 한 해 동안 두 번째로 많은 수의 취약점을 해결한 사례로 기록되었으며, 이미 공격에 악용되고 있는 아웃룩의 인증 정보 유출 문제를 해결하는 데 초점을 맞췄다.

이번에 수정된 1,093개의 취약점 중 63개가 심각 수준으로 분류되었다. 취약점 유형별로는 권한 상승 취약점이 535개로 전체의 절반 가까이를 차지했으며, 원격 코드 실행 취약점이 296개로 집계되었다. 제품별로는 윈도우 운영체제가 733개의 취약점으로 가장 많은 비중을 차지했고, 오피스 제품군이 174개, SQL 서버가 52개, 셰어포인트 서버가 27개, 익스체인지 서버가 9개의 취약점을 수정받았다. 10월에 기록된 1,407개라는 역대 최대 수치보다는 314개 적지만, 9월에 수정된 973개를 넘어선 수치이다.

가장 주목받는 취약점은 아웃룩의 제로데이 결함인 CVE-2026-124194이다. 이 취약점은 스푸핑 유형으로 분류되며, CVSS 점수는 10점 만점에 6.5점으로 중간 수준이지만 실제 공격에서 악용된 것으로 확인되었다. 공격자는 악성 오피스 파일을 피해자에게 전송하고, 사용자가 이 파일을 열면 아웃룩이 공격자가 제어하는 네트워크 위치에 경고 없이 연결되도록 만든다. 이 과정에서 사용자의 NTLMv2 해시값이 유출될 수 있으며, 공격자는 이를 통해 오프라인으로 비밀번호를 복호화하거나 NTLM 릴레이 공격을 시도할 수 있다. 마이크로소프트는 이 공격이 네트워크 연결과 사용자 상호작용이 필요하다고 설명했으며, 구체적인 공격 사례에 대한 세부 사항은 공개하지 않았다.

해당 취약점은 엔터프라이즈용 Microsoft 365 앱, 오피스 LTSC 2021 및 2024 버전에 영향을 미친다. 오피스 LTSC 2021은 16.0.14334.21048 버전, 오피스 LTSC 2024는 16.0.17932.21140 버전으로 업데이트를 통해 패치가 적용된다. 이번 패치는 마이크로소프트가 윈도우에서 NTLM 프로토콜을 단계적으로 폐기하려는 계획의 일환으로, 해당 프로토콜의 취약성을 다시 한번 강조하는 계기가 되었다.

이번 업데이트는 윈도우 11 23H2 버전의 마지막 보안 패치이기도 하다. 윈도우 11 24H2의 경우 엔터프라이즈 및 교육 에디션만 이번 업데이트를 적용받으며, 가정용 및 전문가용 에디션은 10월에 최종 업데이트를 받은 상태이다. 윈도우 10은 LTSC 에디션과 ESU 프로그램에 등록된 기기만 해당 업데이트를 받을 수 있다.