Pwn2Own 베를린 2026 첫날, Windows 11과 Edge 포함 24개 제로데이 공개

성공한 연구자들은 다음과 같다.

• Angelboy와 TwinkleStar03 (DEVCORE 인턴십 프로그램) — Windows 11 권한 상승, 3만 달러 상금
• Marcin Wiązowski — Windows 11 권한 상승, 3만 달러 상금
• Kentaro Kawane (GMO Cybersecurity) — Windows 11 권한 상승, 3만 달러 상금

권한 상승 취약점은 이미 시스템에 제한적으로 접근한 공격자가 관리자 권한 또는 SYSTEM 권한으로 권한을 확대할 수 있게 만드는 유형이다.

첫날 전체 결과

행사 첫날 통계를 보면 규모가 상당하다.

• 24개의 고유 제로데이 취약점 시연
• 22개의 공격 시도가 주요 소프트웨어 플랫폼을 대상으로 진행
• 총 상금 52만3,000달러 지급

공격 대상에는 운영체제와 브라우저뿐 아니라 AI 도구, 개발 플랫폼, 인프라 소프트웨어까지 포함됐다. 이는 현대 IT 환경에서 공격 표면이 계속 확대되고 있음을 보여준다.

동시에 공개된 Exchange Server 제로데이

흥미로운 점은 이 대회가 진행되는 같은 시점에 실제 공격에 악용되고 있는 또 다른 마이크로소프트 제로데이가 공개됐다는 것이다.

해당 취약점은 CVE‑2026‑42897로, 온프레미스 환경에서 운영되는 Microsoft Exchange Server에 영향을 준다. 취약점의 원인은 웹 페이지 생성 과정에서 입력값을 제대로 중화하지 못하는 문제, 즉 크로스 사이트 스크립팅(XSS) 유형이다.

주요 특징은 다음과 같다.

• Exchange Server 2016, 2019, Subscription Edition에 영향
• 공격자는 Outlook on the Web 세션을 대상으로 악성 콘텐츠 실행 가능
• 마이크로소프트는 이미 실제 공격에서 악용되고 있음을 확인했다고 밝혔다.

다만 이 취약점이 Pwn2Own에서 시연된 취약점과 동일하다는 증거는 없다. 단지 시기적으로 같은 기간에 공개됐을 뿐이다.

Pwn2Own 이후 절차: 90일 패치 기간

Pwn2Own에서 취약점이 공개되면 바로 세상에 기술 세부 내용이 공개되는 것은 아니다. 이 대회는 **Trend Micro의 Zero Day Initiative(ZDI)**가 운영하는 책임 있는 공개(responsible disclosure) 절차를 따른다.

성공적인 공격 시연 이후 과정은 다음과 같다.

1. 취약점 세부 정보가 해당 소프트웨어 제조사에 비공개 전달된다.
2. 제조사는 약 90일 동안 패치를 개발하고 배포할 시간을 갖는다.
3. 패치가 준비된 뒤에야 취약점 기술 정보가 공개된다.

이 방식은 연구자들이 현실적인 공격을 보여주면서도, 동시에 사용자들이 패치 없이 위험에 노출되는 상황을 최소화하기 위해 만들어졌다.

왜 중요한가

Pwn2Own 베를린 2026 첫날 결과는 사이버 보안의 두 가지 현실을 동시에 보여준다.

첫째, Windows 11이나 Edge처럼 성숙한 플랫폼에서도 여전히 공격 가능한 취약점이 발견될 수 있다는 점이다.

둘째, 연구 환경에서 발견되는 취약점과 실제 공격에서 악용되는 제로데이가 동시에 존재한다는 사실이다. Exchange Server 취약점이 바로 그런 사례다.

Pwn2Own의 목적은 이런 취약점을 범죄자가 악용하기 전에 통제된 환경에서 발견하고 패치로 이어지게 만드는 것이다.