ShieldBreak: 마이크로소프트 디펜더 제로데이, 최신 보안 패치 우회…시스템 권한 탈취 가능

ShieldBreak란 무엇인가?

ShieldBreak는 2026년 8월 11~12일에 공개된 개념 증명(PoC) 제로데이 익스플로잇입니다. 이는 마이크로소프트가 2026년 7월에 배포한 'RoguePlanet'(로그플래닛) 취약점(CVE-2026-50656)에 대한 패치를 우회합니다. 공격자는 로컬 접근 권한만으로 완전히 패치된 윈도우 시스템에서 권한을 NT AUTHORITY\SYSTEM으로 상승시킬 수 있습니다 .

어떻게 패치를 우회하나?

ShieldBreak는 새로운 별개의 버그가 아니라 직접적인 패치 우회 방식입니다. 연구원은 마이크로소프트가 "RoguePlanet 취약점을 제대로 패치하지 못했다"고 밝혔으며, PoC는 7월에 배포된 수정 사항을 완전히 무력화하는 것을 보여줍니다 . 다른 종류의 익스플로잇을 사용하는 것이 아니라, 마이크로소프트가 5주 전에 배포한 정확한 패치를 우회한다고 보고되었습니다 .

누가 공개했나?

이 익스플로잇은 Nightmare Eclipse, Chaotic Eclipse, INFINITE NIGHTMARE, MSNightmare 등 여러 이름으로 활동하는 보안 연구원이 공개했습니다 . 이는 해당 연구원의 9번째 공개 윈도우 제로데이 익스플로잇입니다 .

영향을 받는 시스템

ShieldBreak는 2026년 7월 업데이트된 마이크로소프트 디펜더 맬웨어 보호 엔진을 실행하는 완전히 패치된 윈도우 10 및 윈도우 11 시스템에 영향을 미칩니다 . 패치 우회 방식이기 때문에, CVE-2026-50656에 대한 7월 패치를 적용했고 이후 추가적인 완화 조치를 취하지 않은 모든 시스템이 여전히 취약합니다.

광범위한 맥락: 수개월 간의 갈등

Nightmare Eclipse 연구원과 마이크로소프트는 취약점 공개를 두고 수개월 간 공개 대립을 벌여왔습니다.

• 연구원은 마이크로소프트의 패치 화요일(Patch Tuesday) 업데이트가 배포된 지 몇 시간 만에 제로데이 PoC를 반복적으로 공개하며 압박을 극대화하고 있습니다 .
• 2026년 5월, 마이크로소프트는 연구원을 GitHub 및 GitLab에서 차단하고 블로그 게시물을 통해 연구원의 행동을 비판했습니다. 이에 연구원은 추가 제로데이를 공개하겠다고 위협했습니다 .
• 마이크로소프트는 이러한 공개를 '무책임한 공개'라고 규정한 반면, 연구원은 마이크로소프트가 신고된 결함에 대한 패치를 느리게 제공하며, 대중의 압력만이 유일한 효과적인 수단이라고 주장했습니다 .
• The Register는 2026년 7월 9일, 마이크로소프트가 "수개월 간의 공개적 설전 끝에" Nightmare Eclipse가 공개한 최신 취약점을 "조용히 수정했다"고 보도했습니다 . 불과 한 달여 만에 공개된 ShieldBreak는 이 갈등이 아직 진행 중임을 시사합니다.

2026년 8월 패치 화요일 (2026년 8월 11일)

마이크로소프트의 2026년 8월 패치 화요일에는 약 400~418개의 취약점이 해결되었으며(출처마다 집계 수치 상이), 62개의 중요(Critical) 등급 결함과 세 개의 제로데이가 포함되었습니다 .

실제 공격에 사용된 제로데이: CVE-2026-68820

• 구성 요소: Windows Ancillary Function Driver for WinSock (afd.sys). 이는 거의 모든 네트워크 연결 윈도우 프로세스의 소켓 작업을 처리하는 커널 모드 드라이버입니다 .
• 유형: Use-after-free 취약점 .
• 심각도: 중요(Important) / 권한 상승 (CVSS 점수는 출처에 명시되지 않았지만 Important 등급으로 분류됨) .
• 상태: 패치 당시 실제 환경에서 활발히 악용되고 있었습니다 .

이 외에도 두 개의 추가 AFD.sys 권한 상승 버그(CVE-2026-61348, CVE-2026-70307)도 함께 수정되었습니다 . 마이크로소프트의 8월 릴리스는 2026년 7월의 사상 최대 규모인 570개 패치와 6월의 약 200개 패치에 이은 것입니다 .