Patch Tuesday, 2026년 2월 에디션
발행: (2026년 2월 11일 오전 06:49 GMT+9)
4 분 소요
Source: Krebs on Security
이미지: 2026년 2월 패치 화요일
제로데이 취약점
| CVE | 영향을 받는 구성 요소 | 설명 |
|---|---|---|
| CVE‑2026‑21510 | Windows Shell | 보안 기능 우회: 악성 링크를 한 번 클릭하면 Windows 보호 기능을 우회하고 경고나 동의 대화 상자 없이 공격자가 제어하는 콘텐츠를 실행할 수 있습니다. 현재 지원되는 모든 Windows 버전에 영향을 줍니다. |
| CVE‑2026‑21513 | MSHTML (기본 Windows 웹 브라우저 엔진) | 독점 렌더링 엔진을 대상으로 하는 보안 우회 버그. |
| CVE‑2026‑21514 | Microsoft Word | Word에서 발생하는 관련 보안 기능 우회. |
| CVE‑2026‑21533 | Windows Remote Desktop Services | 로컬 권한 상승 취약점으로, 공격자가 SYSTEM 수준 접근 권한을 얻을 수 있습니다. |
| CVE‑2026‑21519 | Desktop Window Manager (DWM) | 화면에 창을 배치하는 구성 요소에서 발생하는 권한 상승 결함. (1월에 다른 DWM 제로데이가 패치되었습니다.) |
| CVE‑2026‑21525 | Windows Remote Access Connection Manager | 기업 네트워크에 대한 VPN 연결을 유지하는 서비스에 영향을 주는 잠재적으로 파괴적인 서비스 거부(DoS) 취약점. |
비정규 업데이트 (1월)
- January 17 – 원격 데스크톱 또는 원격 애플리케이션 연결 시 발생하던 자격 증명 프롬프트 오류를 수정했습니다.
- January 26 – Microsoft Office(CVE‑2026‑21509)에서 발견된 제로데이 보안 기능 우회에 대한 패치를 제공했습니다.
AI 관련 취약점
Microsoft는 GitHub Copilot, VS Code, Visual Studio, JetBrains 제품 등 AI 지원 개발 도구에 영향을 주는 여러 원격 코드 실행 결함을 해결했습니다. 해당 CVE는 다음과 같습니다:
- CVE‑2026‑21516
- CVE‑2026‑21523
- CVE‑2026‑21256
이 취약점은 프롬프트 인젝션을 통해 트리거될 수 있는 명령어 삽입 문제에서 비롯되며, 공격자가 AI 에이전트를 속여 악성 코드나 명령을 실행하도록 유도할 수 있습니다. 보안 분석가 Kev Breen이 강조했듯이, 개발자는 민감한 API 키와 비밀 정보를 보유하고 있는 경우가 많아 높은 가치의 표적이 됩니다. 이러한 결함이 AI 사용을 중단해야 한다는 의미는 아니지만, 다음과 같은 조치가 필요합니다:
- AI 에이전트와 상호 작용하는 시스템 및 워크플로우를 명확히 식별합니다.
- 비밀이 유출될 경우 영향을 최소화하도록 최소 권한 원칙을 적용합니다.
추가 자료
- SANS Internet Storm Center – 심각도와 CVSS 점수별로 색인된 각 수정 사항에 대한 클릭 가능한 상세 분석.
- AskWoody – 업데이트 테스트 및 배포에 대한 실용적인 참고 자료.
Reminder: 패치를 적용하기 전에 최신 백업을 반드시 확보하십시오.