새 Windows ‘MiniPlasma’ 제로데이, SYSTEM 권한 획득 가능·PoC 공개
한 사이버 보안 연구자가 “MiniPlasma”라 명명된 Windows 권한 상승 제로데이의 개념 증명(POC) 익스플로잇을 공개했습니다. 이 익스플로잇을 사용하면 완전히 패치된 Windows 시스템에서도 공격자가 SYSTEM 권한을 획득할 수 있습니다.
이 익스플로잇은 Chaotic Eclipse(또는 Nightmare Eclipse)라는 이름으로 알려진 연구자에 의해 공개되었으며, 그는 GitHub에 소스 코드와 컴파일된 실행 파일을 모두 올렸습니다. 연구자는 Microsoft가 2020년에 보고된 취약점을 제대로 패치하지 못했다고 주장했습니다.
연구자에 따르면, 결함은 ‘cldflt.sys’ 클라우드 필터 드라이버와 그 안의 ‘HsmOsBlockPlaceholderAccess’ 루틴에 영향을 미치며, 이는 Google Project Zero 연구원 James Forshaw가 2020년 9월에 Microsoft에 최초 보고한 바 있습니다.
당시 이 결함은 CVE‑2020‑17103으로 지정되었으며 2020년 12월에 수정된 것으로 알려졌습니다.
“조사를 해보니 Google Project Zero가 Microsoft에 보고한 바로 그 문제가 아직도 존재하고, 패치되지 않은 상태였습니다,”라고 Chaotic Eclipse는 설명합니다(GitHub 프로필).
“Microsoft가 문제를 전혀 패치하지 않았는지, 아니면 어떤 이유로 패치가 조용히 롤백됐는지는 확실치 않습니다. Google이 만든 원본 PoC는 전혀 수정 없이 동작했습니다.”
BleepingComputer는 최신 2026년 5월 Patch Tuesday 업데이트가 적용된 완전 패치된 Windows 11 Pro 시스템에서 이 익스플로잇을 테스트했습니다.
테스트에서는 일반 사용자 계정을 사용했으며, 익스플로잇을 실행한 뒤 SYSTEM 권한을 가진 명령 프롬프트가 열렸습니다. 아래 이미지에서 확인할 수 있습니다.
MiniPlasma 익스플로잇이 Windows SYSTEM 권한을 성공적으로 부여함
출처: BleepingComputer
Tharros의 수석 취약점 분석가인 Will Dormann도 최신 공개 버전의 Windows 11에서 이 익스플로잇이 동작함을 확인했으며(트윗 확인), 최신 Windows 11 Insider Preview Canary 빌드에서는 해당 결함이 동작하지 않는다고 밝혔습니다.
이 익스플로잇은 Windows 클라우드 필터 드라이버가 문서화되지 않은 CfAbortHydration API를 통해 레지스트리 키를 생성하는 방식을 악용하는 것으로 보입니다. Forshaw의 원본 보고서는 이 결함이 .DEFAULT 사용자 하이브에 임의의 레지스트리 키를 적절한 접근 검사 없이 생성하게 하여 권한 상승을 가능하게 할 수 있다고 설명했습니다.
Microsoft는 이 버그를 2020년 12월 Microsoft Patch Tuesday에 수정했다고 보고했지만, Chaotic Eclipse는 여전히 이 취약점을 이용할 수 있다고 주장합니다.
BleepingComputer는 Microsoft에 이 추가 제로데이에 대해 연락했으며, 답변을 받는 대로 이 기사를 업데이트할 예정입니다.
최근 연속적인 Windows 제로데이의 배후 연구자
MiniPlasma는 지난 몇 주 동안 연구자가 연속적으로 공개한 Windows 제로데이 중 최신 사례입니다.
이 공개 열풍은 4월에 시작되었습니다. 먼저 BlueHammer라는 Windows 로컬 권한 상승 취약점(CVE‑2026‑33825)이 공개되었고, 이어서 또 다른 권한 상승 취약점인 RedSun과 Windows Defender DoS 도구인 UnDefend가 발표되었습니다.
이들 취약점이 공개된 뒤, 세 가지 모두 공격에 이용되는 것이 포착되었습니다. 연구자에 따르면 Microsoft는 RedSun 문제를 CVE 식별자를 부여하지 않은 채 조용히 패치했다고 합니다.
이번 달에는 연구자가 추가로 두 개의 익스플로잇, YellowKey와 GreenPlasma를 공개했습니다(관련 기사).
YellowKey는 Windows 11 및 Windows Server 2022/2025에서 작동하는 BitLocker 우회 기법으로, TPM 전용 BitLocker 설정으로 보호된 드라이브를 잠금 해제한 뒤 명령 셸을 실행해 접근할 수 있게 합니다.
Chaotic Eclipse는 이전에도 Microsoft의 버그 바운티 및 취약점 처리 절차에 항의하기 위해 이러한 Windows 제로데이를 공개하고 있다고 밝혔습니다.
“보통은 버그 수정을 간청하는 절차를 밟겠지만, 요약하자면 그들은 나에게 인생을 망쳐버렸고 실제로 그렇게 했습니다. 나만 이런 끔찍한 경험을 했는지는 모르겠지만, 대부분은 그냥 받아들이고 손해를 최소화했을 겁니다. 하지만 나는 모든 것을 빼앗겼습니다,”라고 연구자는 주장했습니다(블로그 글).
“그들은 나를 짓밟고 모든 유치한 수단을 동원했습니다. 어느 순간 나는 거대한 기업과 싸우는 건지, 아니면 나를 고통스럽게 보는 누군가와 놀고 있는 건지 혼란스러웠습니다. 결국 이것은 집단적인 결정이었던 것 같습니다.”
Microsoft는 BleepingComputer에 협조적인 취약점 공개 방식을 지원하며, 보고된 보안 문제를 조사하고 업데이트를 통해 고객을 보호하겠다고 이전에 밝혔습니다.
검증 격차: 자동화된 펜테스팅이 한 가지 질문에만 답합니다. 여섯 가지가 필요합니다.
자동화된 펜테스팅 도구는 실제 가치를 제공하지만, “공격자는 네트워크를 횡단할 수 있는가?”라는 한 가지 질문에만 답하도록 설계되었습니다. 이 도구들은 여러분의 방어가 위협을 차단하는지, 탐지 규칙이 작동하는지, 클라우드 설정이 안전한지 등을 테스트하도록 만들어지지 않았습니다.
이 가이드는 실제로 검증해야 할 6가지 영역을 다룹니다.