마이크로소프트가 8월 11일 하루에 취약점 400건을 고쳤습니다. 그 전달인 7월에는 570건이었어요.

이쯤 되면 질문이 바뀝니다. 다 패치할 수 있느냐가 아니라, 무엇부터 패치하느냐입니다.

감당할 수 없는 양으로 쌓인 패치를 표현한 3D 에디터리얼 콘셉트 씬 감당할 수 없는 양으로 쌓인 패치를 표현한 3D 에디터리얼 콘셉트 씬 — 출처: 개념 컷 · agy 자가 생성

한 달에 400건을 고쳤습니다

Microsoft 로고 Microsoft 로고 — 출처: Microsoft

용어를 하나 풀고 갑니다. CVE(Common Vulnerabilities and Exposures) 는 공개된 취약점 하나하나에 붙는 고유 번호입니다. CVE-2026-68820 처럼 연도와 일련번호로 씁니다.

매달 둘째 주 화요일에 마이크로소프트가 그달치 보안 패치를 한꺼번에 냅니다. 업계에서 패치 화요일이라고 부르는 날이에요. 8월 11일자는 400건이었고, 그중 긴급(Critical) 등급이 42건이었습니다.

집계 기준에 따라 숫자가 조금 갈립니다. 매체별로 400건에서 421건까지 나오는데, 크로미움 계열처럼 마이크로소프트가 재배포하는 제3자 취약점을 셈에 넣느냐에서 차이가 납니다.

건수가 늘어난 배경으로 마이크로소프트는 AI 기반 취약점 발견 시스템을 듭니다. 찾는 속도가 빨라진 만큼 고칠 목록도 길어진 거예요.

무엇이 400건인지 뜯어보면

2026년 8월 마이크로소프트 패치의 취약점 유형별 분포 2026년 8월 마이크로소프트 패치의 취약점 유형별 분포 — 출처: BleepingComputer 집계 기반 자가 렌더

가장 많은 건 권한 상승(EoP) 176건입니다. 이미 그 PC에 들어와 있는 공격자가 관리자 권한까지 올라가는 종류예요. 그다음이 원격 코드 실행 110건, 정보 유출 86건입니다.

이 분포가 알려 주는 게 있습니다. 권한 상승은 혼자서는 아무것도 못 합니다. 공격자가 이미 그 시스템에서 코드를 실행할 수 있어야 쓸 수 있어요. 실제 공격에서는 원격 코드 실행이나 피싱으로 먼저 발판을 잡고, 그다음 권한 상승을 붙여 쓰는 식으로 조합됩니다.

이번 달 제로데이(zero-day, 패치가 나오기 전에 알려지거나 공격에 쓰인 취약점)는 셋이었습니다.

CVE 무엇 상태
CVE-2026-68820 WinSock 드라이버 권한 상승 실제 악용
CVE-2026-62832 사용자 프로필 서비스 권한 상승 공개만 됨
CVE-2026-72971 컨테이너 격리 드라이버 변조 공개만 됨

셋 중 실제로 공격에 쓰인 건 하나입니다. CVE-2026-68820은 북한 연계 조직 Lazarus가 FudModule 루트킷을 심는 데 썼다고 보고됐어요. 나머지 둘은 공격 관측 없이 공개된 상태입니다.

실제로 공격에 쓰이는 건 극소수입니다

2026년 상반기 공개된 CVE와 실제 악용이 확인된 건수 2026년 상반기 공개된 CVE와 실제 악용이 확인된 건수 — 출처: JerryGamblin.com 집계·CISA KEV 기준 자가 렌더

여기가 이 글의 핵심입니다.

2026년 상반기에 공개된 CVE는 35,364건입니다. 그중 CISA의 KEV 목록에 오른 건 85건이에요. 비율로 0.24%입니다.

KEV(Known Exploited Vulnerabilities) 는 미국 사이버보안·기반시설안보국(CISA)이 관리하는 목록으로, 실제 공격에 쓰인 것이 확인된 취약점만 올립니다. 추정이나 가능성이 아니라 관측된 사실이 기준이에요.

다만 0.24%를 그대로 최종 수치로 읽으면 안 됩니다. KEV는 미국 정부 목록이라 공개 시점보다 몇 달 늦게 반영되고, 관측되지 않은 악용은 애초에 들어오지 못합니다. 바닥값으로 읽어야 하는 숫자예요.

다른 집계도 방향은 같습니다. FIRST가 운영하는 EPSS 연구는 공개된 CVE 중 실제로 악용되는 비율을 5% 미만, 좁게는 2~3%로 봅니다. CVSS 7점 이상만 추려도 실제 악용이 관측된 건 2.3%였다는 분석이 있고요.

심각도가 높다는 것과 실제로 쓰인다는 것은 다른 이야기입니다

표준 데이터베이스가 먼저 손을 들었습니다

NVD가 보강을 포기한 백로그와 상반기 공개량 비교 NVD가 보강을 포기한 백로그와 상반기 공개량 비교 — 출처: NIST 발표·JerryGamblin.com 집계 기반 자가 렌더

취약점 정보의 표준 창구는 미국 국립표준기술연구소(NIST)가 운영하는 NVD(National Vulnerability Database) 입니다. CVE 번호에 심각도 점수와 영향 범위를 붙여 주는 곳이에요.

그 NVD가 2026년 4월 15일부로 운영 방식을 트리아지(선별) 모델로 바꿨습니다. 밀려 있던 백로그 약 29,000건을 보강 대상에서 빼고, 앞으로 들어오는 CVE도 15~20%만 보강하겠다고 밝혔습니다.

숫자를 나란히 놓으면 사정이 보입니다. 상반기에만 35,364건이 들어왔고 연간 전망은 6만 건을 넘습니다. Cisco 소속 연구자 Jerry Gamblin은 70,135건을 예상했어요. 사람이 하나씩 검토하는 방식으로는 따라갈 수 없는 양입니다.

기업 쪽 통계도 같은 방향입니다. Action1 집계로 2025년에 공개된 기업용 소프트웨어 취약점이 전년 대비 92% 늘었고, 긴급·높음 등급은 각각 103% 증가했습니다.

정리하면 전부 패치한다는 전제가 무너진 것입니다. 표준 데이터베이스조차 전부는 못 본다고 공식화했으니까요.

그래서 기준이 바뀝니다

심각도 점수와 실제 악용 여부가 갈리는 지점을 표현한 3D 에디터리얼 콘셉트 씬 심각도 점수와 실제 악용 여부가 갈리는 지점을 표현한 3D 에디터리얼 콘셉트 씬 — 출처: 개념 컷 · agy 자가 생성

오래 쓰던 기준은 CVSS(Common Vulnerability Scoring System) 점수입니다. 0에서 10 사이로 심각도를 매기죠. 문제는 이게 “터지면 얼마나 나쁜가”만 답하고 “터질 가능성이 얼마나 되는가”는 답하지 않는다는 점입니다.

그 빈자리를 둘이 채웁니다.

지표 답하는 질문 성격
CVSS 터지면 얼마나 나쁜가 심각도
KEV 이미 쓰이고 있는가 관측된 사실
EPSS 앞으로 쓰일 확률은 예측

EPSS(Exploit Prediction Scoring System) 는 FIRST가 만든 모델로, 그 취약점이 앞으로 30일 안에 실제 공격에 쓰일 확률을 매일 갱신해 내놓습니다. 실제 악용 사례를 학습 데이터로 쓰고요.

실무에서 쓰는 순서는 대개 이렇습니다.

KEV에 올라 있으면 즉시 — 이미 쓰이고 있다는 뜻입니다

인터넷에 노출된 자산이면 그다음 — 공격 표면이 넓습니다

EPSS 확률이 높으면 그다음 — 아직은 아니어도 곧입니다

CVSS만 높고 위 셋에 안 걸리면 정기 주기로

이번 달에도 KEV 쪽이 더 급했습니다. PaperCut NG·MF의 제로데이 두 건(CVE-2026-76639·CVE-2026-76640)이 실제 공격에 쓰이고 있었고, SAP Commerce Cloud의 CVE-2026-58231은 공개 후 72시간 만에 악용됐습니다. VMware vCenter 취약점은 중국 연계 조직이 랜섬웨어를 심는 통로로 썼고요.

국내는 이제 과징금이 붙습니다

한국인터넷진흥원 로고 한국인터넷진흥원 로고 — 출처: KISA

우선순위를 정하는 일이 국내에서는 규제 문제이기도 해졌습니다.

정부는 2026년 3월 24일 국무회의에서 정보통신망법 전면 개정안을 의결했습니다. 2025년에 이어진 침해 사고들이 배경이에요. 담긴 내용 중 셋이 실무에 직접 걸립니다.

CISO를 임원급으로 올리고 정보보호위원회를 두는 의무

해킹 의심 정황만으로 정부가 직권 조사할 수 있는 심의위원회 신설

반복 침해 사고에 매출액 3% 과징금과 일 단위 이행강제금

시행은 공포 후 6개월이 지난 날부터이고, 정보보호 수준 평가는 1년 뒤입니다. 24시간 신고 체계를 그 전까지 갖춰야 해요.

무엇을 먼저 패치했는지가 사후에 설명 가능한 기록으로 남아야 한다는 뜻이기도 합니다. 근거 없이 미뤘다면 그게 곧 문제가 됩니다.

오늘 할 것

대상 할 것
개인 사용자 Windows 업데이트를 미루지 않기
운영자 KEV 목록과 자산을 대조
운영자 인터넷 노출 자산부터 순서 잡기

개인 쓰시는 분은 복잡하게 볼 게 없습니다. 이번 달 실제 악용된 CVE-2026-68820은 8월 11일 패치에 포함됐으니, Windows 업데이트를 미루지 않으면 끝납니다. 자동 업데이트를 꺼 두셨다면 다시 켜 두세요.

운영자 쪽은 목록 대조가 먼저입니다. CISA가 KEV 목록을 공개하고 있고, 국내 공지는 KISA 보안공지에서 받습니다. 침해 사고가 의심되면 KISA 118로 신고할 수 있고요.

🔗 링크 첨부 - https://www.cisa.gov/known-exploited-vulnerabilities-catalog

확인 방법이 없는 것도 있습니다. 아직 관측되지 않은 악용은 KEV에도 EPSS에도 안 잡힙니다. 이 순서는 위험을 없애는 방법이 아니라 한정된 시간을 어디에 쓸지 정하는 방법입니다.

다 막을 수 없다는 전제에서 시작하면, 무엇을 먼저 막을지가 실제 질문이 됩니다.

참고 출처