실제 악용 취약점은 전체의 0.5%
최근 30일 조회수 — 좋아요 —핵심 요약
마이크로소프트는 취약점 대응 시 개수보다 악용 가능성과 침해 범위를 함께 평가해야 한다고 분석했다.
마이크로소프트가 2026년 9월까지 공개된 취약점을 분석한 결과, 실제 공격에 악용된 취약점은 전체의 약 0.5%에 불과했으며 원격 코드 실행(RCE), 권한 상승, 인증 우회처럼 시스템 장악으로 이어지는 유형에 집중됐다. 취약점 수만 기준으로 대응 순서를 정하기보다 악용 가능성과 침해 범위를 함께 따져야 한다는 결론이다.1
마이크로소프트 시큐리티 블로그에 따르면 1999년부터 2026년 9월까지 여러 플랫폼과 기술에서 공개된 소프트웨어 취약점은 약 38만3,000개다. 이 가운데 실제 공격과 연결된 공통 취약점 및 노출(CVE)은 약 2,000개로, 200개 중 1개보다 적다. 특히 네트워크에 노출된 서비스에서 사용자 동작 없이 실행되는 서버 측 RCE는 공개된 전체 CVE의 20%였지만, 실제 악용된 CVE에서는 37%로 비중이 17%포인트 높아졌다.1
이번 분석은 각 CVE를 공격자가 직접 얻을 수 있는 가장 큰 효과와 영향을 받는 플랫폼이라는 두 축으로 분류했다. 인증을 우회한 뒤 곧바로 원격 코드를 실행할 수 있다면 인증 우회가 아니라 RCE로 집계하는 방식이다. 영향 유형에는 서버·클라이언트 측 RCE, 로컬 코드 실행, 로컬 권한 상승, 인증·인가 우회, 보안 통제 우회, 정보 노출, 데이터 변조, 서비스 거부, 사이트 간 스크립팅(XSS), 임의 파일 접근, 스푸핑·리디렉션이 포함됐다.1
플랫폼은 윈도, 리눅스·유닉스, 모바일, 네트워크 장비, 사물인터넷·운영기술(IoT·OT), 가상화 호스트, 개발자 패키지로 나눴다. 하나의 CVE가 여러 플랫폼에 걸치면 플랫폼 분석에서는 각각 집계하되, 영향 분석에서는 한 번만 셌다. 전체 취약점의 상당수는 서버, 웹 애플리케이션, 브라우저, 업무용 소프트웨어, 라이브러리 같은 애플리케이션 코드에 몰렸고, 커널·드라이버·펌웨어 등 운영체제와 시스템 코드의 비중은 더 작았다.1
패치는 여전히 기본 대응책이지만, 핵심 시스템을 고치는 데 수주에서 수개월이 걸리거나 지원이 끝난 시스템이라 패치할 수 없는 경우도 있다. 따라서 방어 조직은 CVE의 총량이나 심각도만 볼 것이 아니라 실제 악용 가능성과 공격 성공 시 피해가 퍼질 범위를 함께 고려해 보호 대상을 좁혀야 한다. 마이크로소프트는 인공지능을 활용한 취약점 발견과 공격 코드 개발이 빨라지면 대응 시간은 더 짧아질 수 있다고 봤다. 다만 이는 가능성에 관한 관측이며, 이번 자료가 제시한 실증 분석 범위는 2026년 9월까지 추적한 CVE다.1
Footnotes
읽기 목록은 이 브라우저에 저장됩니다.
출처
- What exploited vulnerabilities have in common: A data-driven analysis of real-world attacks | Microsoft Security Blog — Microsoft Security Blog
이 글은 위 출처를 근거로 자동 생성된 뒤 발행됐습니다. 원문을 함께 확인해 주세요. 교차 보도 없이 단독 출처로 작성됐습니다.