마이크로소프트가 7월 정기 보안 업데이트에서 무려 570개의 보안 결함을 한꺼번에 패치했어요. 매달 나오는 업데이트이긴 한데, 570개라는 숫자는 역대 최다 기록이거든요. 보안 담당자들 사이에서는 '이걸 언제 다 검토하냐'는 한숨이 절로 나올 만한 규모예요.
패치 화요일이 뭐냐면요
마이크로소프트는 2003년부터 매달 둘째 주 화요일에 보안 업데이트를 몰아서 발표해요. 그래서 이 날을 '패치 화요일(Patch Tuesday)'이라고 부르는데요. 아무 때나 패치를 뿌리면 기업의 IT 관리자들이 매번 대응하느라 정신이 없으니까, 날짜를 정해두고 한 번에 발표해서 예측 가능하게 만든 거예요. 기업 입장에서는 이 날에 맞춰 테스트와 배포 일정을 짜는 게 월례 행사처럼 굳어져 있어요.
570개, 어느 정도로 많은 걸까요
평소 패치 화요일에 발표되는 취약점은 보통 수십 개에서 100개대 수준이었어요. 그런데 이번엔 그 몇 배가 한 번에 쏟아진 거죠. 취약점이라고 다 같은 게 아니라 등급이 나뉘는데요. 가장 위험한 건 원격 코드 실행(RCE) 취약점이에요. 이게 뭐냐면, 공격자가 내 컴퓨터에 손도 대지 않고 네트워크 너머에서 악성 코드를 실행시킬 수 있는 구멍이에요. 그다음으로 권한 상승(EoP) 취약점이 있는데, 일반 사용자 권한으로 들어온 공격자가 관리자 권한을 탈취하는 데 쓰여요. 보통 이 둘을 조합해서 '침투한 뒤 장악'하는 게 공격의 정석 코스거든요. 그래서 개수 자체보다 중요한 건 '이미 실제 공격에 쓰이고 있는 취약점(제로데이)이 포함됐는가', 그리고 '인증 없이 원격에서 뚫리는 치명적 등급이 몇 개인가'예요.
왜 이렇게 늘어나는 걸까요
몇 가지 흐름이 겹쳐 있어요. 우선 마이크로소프트의 제품군 자체가 어마어마하게 커졌어요. 윈도우와 오피스만이 아니라 애저 클라우드, 엣지 브라우저, 개발 도구까지 전부 한 회사의 포트폴리오거든요. 공격 표면(공격당할 수 있는 코드의 면적)이 넓어지니 발견되는 구멍도 비례해서 늘어나는 거죠. 여기에 취약점을 찾는 쪽의 생산성도 확 올라갔어요. 버그 바운티(취약점을 신고하면 보상금을 주는 제도)가 자리를 잡았고, 퍼징 같은 자동화 도구에 더해 최근에는 AI가 코드를 훑으며 취약점 후보를 찾아내는 기법까지 실전에 들어오고 있거든요. 찾는 사람과 도구가 늘면 발표되는 CVE(취약점마다 붙는 공식 식별 번호)의 숫자도 늘 수밖에 없어요.
진짜 문제는 패치 이후의 속도전이에요
패치가 공개되면 역설적으로 공격자에게도 힌트가 돼요. 패치 전후의 코드를 비교 분석(리버스 엔지니어링)하면 어디가 고쳐졌는지, 즉 어디가 뚫려 있었는지 알 수 있거든요. 그래서 패치 공개부터 실제 공격 코드가 나돌기까지의 시간이 점점 짧아지고 있어요. '패치 나왔으니 천천히 적용하자'는 여유가 예전만큼 허락되지 않는 거죠.
한국의 실무자라면 이렇게 해보세요
개인 사용자라면 답은 간단해요. 윈도우 업데이트를 미루지 말고 바로 설치하는 거예요. 문제는 수백, 수천 대를 관리하는 기업인데요. 570개를 전부 같은 우선순위로 볼 수는 없으니, 인터넷에 노출된 서버와 서비스에 해당하는 것, 이미 악용 중이라고 표시된 것, 인증 없이 원격으로 뚫리는 치명적 등급부터 처리하는 게 정석이에요. WSUS나 Intune 같은 패치 관리 도구로 테스트 그룹에 먼저 배포해보고 전사로 확산하는 프로세스가 아직 없다면, 이번 기회에 만들어두는 걸 추천해요.
정리하면, 발견되는 취약점은 앞으로도 계속 늘어날 테고 승부는 '얼마나 빨리, 얼마나 우선순위 있게 패치하느냐'로 갈린다는 얘기예요. 여러분 조직은 패치 화요일에 어떻게 대응하고 계신가요? 테스트 없이 바로 전사 배포하는 곳도 있을까요?
🔗 출처: Hacker News