동작 원리: 백신 엔진 자체의 TOCTOU 경쟁 조건

이 결함은 부적절한 링크 확인 문제(CWE-59) 에 기반한 TOCTOU(Time-of-Check to Time-of-Use) 경쟁 조건입니다 . 마이크로소프트 맬웨어 보호 엔진은 설계상 NT AUTHORITY\SYSTEM 권한으로 실행됩니다. 익스플로잇은 엔진 자체를 상대로 경쟁을 벌입니다:

• 낮은 권한의 사용자가 특별히 조작된 심볼릭 링크 또는 파일을 생성합니다. 엔진은 이를 먼저 확인(Time-of-Check)한 후, 사용하기 전에 공격자가 이를 교체(Time-of-Use)합니다.
• oplock을 사용해 타이밍을 안정적으로 제어함으로써 이 경쟁에서 승리하면, 공격자는 엔진의 파일 작업을 공격자가 제어하는 디렉토리 등 임의의 위치로 리디렉션할 수 있습니다 .
• 그러면 엔진은 공격자가 선택한 경로에서 권한 있는 파일 작업(예: 쓰기 또는 실행)을 수행하고, 결과적으로 SYSTEM 권한으로 실행되는 명령 셸을 생성합니다 .

이 익스플로잇은 로컬에서 작동합니다. 즉, 공격자는 이미 해당 머신에 대한 일반 사용자 액세스 권한이 있어야 하지만, 그 외에는 추가 권한이 필요하지 않습니다 . 또한 디펜더의 실시간 보호 기능이 켜져 있든 꺼져 있든 관계없이 작동합니다 .

CVSS 점수 및 심각도

마이크로소프트는 CVSS 3.1 기본 점수 7.8(HIGH) 을 부여했으며, 공격 복잡성(Attack Complexity)을 '낮음(Low)'으로 설정했습니다(oplock이 경쟁을 안정적으로 만든다는 이유에서입니다). NVD는 공격 복잡성을 '높음(High)'으로 설정해 기본 점수 7.0(HIGH) 을 제시했습니다. 시간적 벡터(E:F/RL:U/RC:C)에 따른 마이크로소프트의 시간적 점수는 7.6입니다 .

이 취약점은 마이크로소프트의 익스플로잇 가능성 지수(Exploitability Index)에서 '악용 가능성 높음(Exploitation More Likely)' 등급을 받았습니다 .

공개 일정

공개 익스플로잇 공개와 마이크로소프트의 인정 사이의 시간적 차이는 매우 중요했습니다:

공개 익스플로잇 공개(6월 10일)와 마이크로소프트의 인정(6월 16일) 사이의 간격은 약 6일이었습니다. 2026년 7월 초 기준으로 이 익스플로잇은 약 한 달 동안 공개된 상태이며 수정 사항은 없습니다 .

발견자: Nightmare Eclipse 캠페인

이 취약점은 Nightmare Eclipse(또는 Chaotic Eclipse)라는 가명을 사용하는 보안 연구원이 발견하고 공개했습니다 .

이는 연구원이 마이크로소프트 디펜더를 대상으로 진행 중인 일곱 번째 익스플로잇입니다. 이전에 공개된 디펜더 결함에는 BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma 등의 권한 상승 및 우회 취약점이 포함됩니다 . TechRadar는 RoguePlanet을 "디펜더 공격 표면에 대한 지속적인 연구 캠페인"의 일부로 설명합니다 . ThreatLocker와 같은 제3자 그룹의 검증된 PoC 재현은 익스플로잇 체인의 신뢰성을 확인했습니다 .

패치 지연에 대한 커뮤니티 비판

오랜 패치 간격은 보안 커뮤니티로부터 날카로운 비판을 받았습니다:

• Red Hound는 상황을 직설적으로 표현했습니다: "모든 Windows 사본에 포함된 백신에 대한 작업 익스플로잇이 2주 넘게 공개되었지만 여전히 패치가 없다" .
• Cloud Security Alliance는 6월 19일 현재 — 공개 후 9일 — 패치나 별도 릴리스 일정이 발표되지 않았다고 지적하며, 모든 소비자 및 기업 Windows 시스템에 포함된 취약점이라는 점에서 이 시간적 여유가 "우려스럽다"고 밝혔습니다 .
• cve.tools는 7월 1일(공개 후 21일) 현재 패치가 존재하지 않으며, 이렇게 오랜 기간 노출된 것은 "핵심 보안 구성 요소의 공개적으로 악용되는 제로데이로서는 이례적인 일"이라고 보도했습니다 .
• 여러 소식통은 마이크로소프트 자체 백신 엔진이 SYSTEM 수준 침해의 경로로 사용되고 있으며, 마이크로소프트의 긴급성 부족이 취약점 대응 프로세스에 대한 의문을 제기한다는 점을 강조했습니다 .

핵심적인 불만은 다음과 같습니다: 디펜더는 모든 Windows 설치에서 기본적으로 활성화되어 있기 때문에 이 취약점은 엄청난 공격 표면을 가지지만, 기능적인 익스플로잇 코드가 공개적으로 제공되었음에도 불구하고 중간 패치(별도 업데이트)가 발행되지 않았습니다 .

임시 완화 조치 및 조직이 취해야 할 단계

소식통들은 마이크로소프트가 영구적인 수정 사항을 제공할 때까지 다음 조치를 일관되게 권장합니다:

패치 사용 가능 시 적용

• 마이크로소프트가 보안 업데이트를 발표하면 마이크로소프트 맬웨어 보호 엔진(MsMpEng)을 업데이트하세요. 이는 일반적으로 Windows 업데이트 또는 Microsoft 업데이트 카탈로그를 통해 제공됩니다 .
• 2026년 7월 10일 현재 수정 사항은 없습니다. CVE 권고 및 MSRC(Microsoft Security Response Center)를 모니터링하여 별도 릴리스를 확인하세요 .

임시 완화 조치 (패치 없음)

• 로컬 사용자 계정 제한. 익스플로잇은 대화형 로그인이 필요하므로, 중요 시스템의 일반 사용자 수를 최소화하세요 .
• AppLocker 또는 WDAC(Windows Defender Application Control) 시행. 신뢰할 수 없는 PoC 바이너리를 포함한 승인되지 않은 실행 파일 및 스크립트의 실행을 차단하세요 .
• ASR(Attack Surface Reduction) 규칙 활성화. 자격 증명 도용 및 신뢰할 수 없는 프로세스를 차단할 수 있지만, TOCTOU 경쟁을 직접 막지는 못할 수 있습니다 .
• 알려진 익스플로잇 아티팩트 모니터링. 익스플로잇은 특정 oplock 및 심볼릭 링크 생성에 의존합니다. 비-SYSTEM 프로세스의 비정상적인 oplock 사용 및 예상치 못한 심볼릭 링크 생성에 대해 경고하는 EDR 규칙을 배포하세요 .
• 신뢰할 수 없거나 검증되지 않은 사용자에 대한 Windows 엔드포인트의 물리적/논리적 액세스 제한을 최우선시하세요. 취약점은 로컬 코드 실행을 필요로 하므로, 이것이 가장 신뢰할 수 있는 중간 통제 수단입니다 .
• 최소 권한 모델 사용 — 일반 사용자에게 로컬 관리자 권한을 부여하지 마세요. 단, 이것이 익스플로잇을 방지하지는 않는다는 점에 유의하세요(익스플로잇은 일반 사용자에서 SYSTEM으로 권한을 상승시킵니다) .

동작 원리: 백신 엔진 자체의 TOCTOU 경쟁 조건

이 결함은 부적절한 링크 확인 문제(CWE-59) 에 기반한 TOCTOU(Time-of-Check to Time-of-Use) 경쟁 조건입니다 . 마이크로소프트 맬웨어 보호 엔진은 설계상 NT AUTHORITY\SYSTEM 권한으로 실행됩니다. 익스플로잇은 엔진 자체를 상대로 경쟁을 벌입니다:

• 낮은 권한의 사용자가 특별히 조작된 심볼릭 링크 또는 파일을 생성합니다. 엔진은 이를 먼저 확인(Time-of-Check)한 후, 사용하기 전에 공격자가 이를 교체(Time-of-Use)합니다.
• oplock을 사용해 타이밍을 안정적으로 제어함으로써 이 경쟁에서 승리하면, 공격자는 엔진의 파일 작업을 공격자가 제어하는 디렉토리 등 임의의 위치로 리디렉션할 수 있습니다 .
• 그러면 엔진은 공격자가 선택한 경로에서 권한 있는 파일 작업(예: 쓰기 또는 실행)을 수행하고, 결과적으로 SYSTEM 권한으로 실행되는 명령 셸을 생성합니다 .

이 익스플로잇은 로컬에서 작동합니다. 즉, 공격자는 이미 해당 머신에 대한 일반 사용자 액세스 권한이 있어야 하지만, 그 외에는 추가 권한이 필요하지 않습니다 . 또한 디펜더의 실시간 보호 기능이 켜져 있든 꺼져 있든 관계없이 작동합니다 .

CVSS 점수 및 심각도

마이크로소프트는 CVSS 3.1 기본 점수 7.8(HIGH) 을 부여했으며, 공격 복잡성(Attack Complexity)을 '낮음(Low)'으로 설정했습니다(oplock이 경쟁을 안정적으로 만든다는 이유에서입니다). NVD는 공격 복잡성을 '높음(High)'으로 설정해 기본 점수 7.0(HIGH) 을 제시했습니다. 시간적 벡터(E:F/RL:U/RC:C)에 따른 마이크로소프트의 시간적 점수는 7.6입니다 .

이 취약점은 마이크로소프트의 익스플로잇 가능성 지수(Exploitability Index)에서 '악용 가능성 높음(Exploitation More Likely)' 등급을 받았습니다 .

공개 일정

공개 익스플로잇 공개와 마이크로소프트의 인정 사이의 시간적 차이는 매우 중요했습니다:

공개 익스플로잇 공개(6월 10일)와 마이크로소프트의 인정(6월 16일) 사이의 간격은 약 6일이었습니다. 2026년 7월 초 기준으로 이 익스플로잇은 약 한 달 동안 공개된 상태이며 수정 사항은 없습니다 .

발견자: Nightmare Eclipse 캠페인

이 취약점은 Nightmare Eclipse(또는 Chaotic Eclipse)라는 가명을 사용하는 보안 연구원이 발견하고 공개했습니다 .

이는 연구원이 마이크로소프트 디펜더를 대상으로 진행 중인 일곱 번째 익스플로잇입니다. 이전에 공개된 디펜더 결함에는 BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma 등의 권한 상승 및 우회 취약점이 포함됩니다 . TechRadar는 RoguePlanet을 "디펜더 공격 표면에 대한 지속적인 연구 캠페인"의 일부로 설명합니다 . ThreatLocker와 같은 제3자 그룹의 검증된 PoC 재현은 익스플로잇 체인의 신뢰성을 확인했습니다 .

패치 지연에 대한 커뮤니티 비판

오랜 패치 간격은 보안 커뮤니티로부터 날카로운 비판을 받았습니다:

• Red Hound는 상황을 직설적으로 표현했습니다: "모든 Windows 사본에 포함된 백신에 대한 작업 익스플로잇이 2주 넘게 공개되었지만 여전히 패치가 없다" .
• Cloud Security Alliance는 6월 19일 현재 — 공개 후 9일 — 패치나 별도 릴리스 일정이 발표되지 않았다고 지적하며, 모든 소비자 및 기업 Windows 시스템에 포함된 취약점이라는 점에서 이 시간적 여유가 "우려스럽다"고 밝혔습니다 .
• cve.tools는 7월 1일(공개 후 21일) 현재 패치가 존재하지 않으며, 이렇게 오랜 기간 노출된 것은 "핵심 보안 구성 요소의 공개적으로 악용되는 제로데이로서는 이례적인 일"이라고 보도했습니다 .
• 여러 소식통은 마이크로소프트 자체 백신 엔진이 SYSTEM 수준 침해의 경로로 사용되고 있으며, 마이크로소프트의 긴급성 부족이 취약점 대응 프로세스에 대한 의문을 제기한다는 점을 강조했습니다 .

핵심적인 불만은 다음과 같습니다: 디펜더는 모든 Windows 설치에서 기본적으로 활성화되어 있기 때문에 이 취약점은 엄청난 공격 표면을 가지지만, 기능적인 익스플로잇 코드가 공개적으로 제공되었음에도 불구하고 중간 패치(별도 업데이트)가 발행되지 않았습니다 .

임시 완화 조치 및 조직이 취해야 할 단계

소식통들은 마이크로소프트가 영구적인 수정 사항을 제공할 때까지 다음 조치를 일관되게 권장합니다:

패치 사용 가능 시 적용

• 마이크로소프트가 보안 업데이트를 발표하면 마이크로소프트 맬웨어 보호 엔진(MsMpEng)을 업데이트하세요. 이는 일반적으로 Windows 업데이트 또는 Microsoft 업데이트 카탈로그를 통해 제공됩니다 .
• 2026년 7월 10일 현재 수정 사항은 없습니다. CVE 권고 및 MSRC(Microsoft Security Response Center)를 모니터링하여 별도 릴리스를 확인하세요 .

임시 완화 조치 (패치 없음)

• 로컬 사용자 계정 제한. 익스플로잇은 대화형 로그인이 필요하므로, 중요 시스템의 일반 사용자 수를 최소화하세요 .
• AppLocker 또는 WDAC(Windows Defender Application Control) 시행. 신뢰할 수 없는 PoC 바이너리를 포함한 승인되지 않은 실행 파일 및 스크립트의 실행을 차단하세요 .
• ASR(Attack Surface Reduction) 규칙 활성화. 자격 증명 도용 및 신뢰할 수 없는 프로세스를 차단할 수 있지만, TOCTOU 경쟁을 직접 막지는 못할 수 있습니다 .
• 알려진 익스플로잇 아티팩트 모니터링. 익스플로잇은 특정 oplock 및 심볼릭 링크 생성에 의존합니다. 비-SYSTEM 프로세스의 비정상적인 oplock 사용 및 예상치 못한 심볼릭 링크 생성에 대해 경고하는 EDR 규칙을 배포하세요 .
• 신뢰할 수 없거나 검증되지 않은 사용자에 대한 Windows 엔드포인트의 물리적/논리적 액세스 제한을 최우선시하세요. 취약점은 로컬 코드 실행을 필요로 하므로, 이것이 가장 신뢰할 수 있는 중간 통제 수단입니다 .
• 최소 권한 모델 사용 — 일반 사용자에게 로컬 관리자 권한을 부여하지 마세요. 단, 이것이 익스플로잇을 방지하지는 않는다는 점에 유의하세요(익스플로잇은 일반 사용자에서 SYSTEM으로 권한을 상승시킵니다) .