CVE-2026-69836란? CVSS 10.0의 Microsoft Entra ID 원격 코드 실행 취약점

핵심 요약

CVE-2026-69836은 Microsoft의 클라우드 기반 ID·접근 관리 서비스인 Microsoft Entra ID에서 발견된 치명적 원격 코드 실행(RCE) 취약점입니다. 원인은 **신뢰할 수 없는 데이터의 역직렬화(unsafe deserialization)**이며, 취약점 분류 체계인 CWE에서는 CWE-502로 분류됩니다.

쉽게 말해, 서비스가 외부에서 전달된 데이터를 안전하게 검증하지 않고 원래 객체나 명령으로 복원하는 과정에서 공격자가 악성 데이터를 주입할 수 있는 유형입니다. 성공할 경우 공격자는 네트워크를 통해 Entra ID 환경에서 코드를 실행할 수 있습니다.

왜 CVSS 10.0인가

이 취약점의 CVSS 3.1 기본 점수는 **10.0(Critical)**입니다. 평가 조건은 다음과 같습니다.

• 네트워크를 통해 원격 공격 가능
• 공격 복잡도 낮음
• 별도 권한 불필요
• 사용자 상호작용 불필요
• 기밀성·무결성·가용성에 모두 높은 영향

즉, 공격자가 계정을 먼저 확보하거나 사용자가 악성 파일을 열도록 유도하지 않아도 공격을 시도할 수 있는 것으로 평가됐습니다. 다만 CVSS 점수는 취약점의 기술적 위험도를 나타내는 지표이며, 실제 공격이 발생했다는 사실 자체를 의미하지는 않습니다.

실제로 악용됐나: Microsoft 표기가 정정됐다

공개 직후 일부 보도와 데이터베이스에는 Microsoft가 CVE-2026-69836을 ‘실제 공격에 악용됨(exploited in the wild)’으로 표시했다는 내용이 담겼습니다. Microsoft 수석 보안 엔지니어 **로버트 피츠패트릭(Robert Fitzpatrick)**이 발견자로 기록됐고, 취약점은 2026년 8월 20일 공개됐습니다.

그러나 Microsoft는 8월 21일 자문 정보의 악용 여부를 ‘예(Yes)’에서 ‘아니오(No)’로 변경했습니다. 따라서 현재 공개된 자료를 기준으로 가장 신중한 결론은, 실제 공격 악용이 확인됐다고 입증할 만한 공개 증거가 없다는 것입니다.

현재 공개 정보만으로는 공격자, 피해 조직, 공격 시점과 기간, 실제 피해 규모를 특정할 수 없습니다. 공개된 익스플로잇 코드가 존재한다고 확정할 근거도 확인되지 않았습니다. 이와 반대되는 주장은 추가 검증 없이 받아들이지 않는 편이 안전합니다.

고객이 패치해야 하나

Microsoft는 문제를 서비스 측에서 완화했으며, Entra 고객이 별도의 조치를 취할 필요는 없다고 밝혔습니다. 따라서 일반적인 온프레미스 제품처럼 고객이 직접 패치를 내려받아 설치하는 상황과는 다릅니다.