CVE 2026 41089는 윈도우 넷로그온 서비스의 스택 기반 버퍼 오버플로우 취약점으로, CVSS 9.8점(최고 심각도)을 기록했습니다. 인증이나 사용자 상호작용 없이 네트워크만 연결되면 공격자가 도메인 컨트롤러를 SYSTEM 권한으로 완전히 장악할 수 있습니다.
벨기에 사이버보안센터(CCB)가 2026년 6월 1일 이 취약점에 대한 실제 공격이 확인됐다고 공식 경고했습니다. 마이크로소프트 5월 패치 이후에도 업데이트를 미뤘다면, 해당 서버는 이미 침해당했을 가능성을 염두에 두고 전수 조사해야 합니다.
보안 업체 0patch가 윈도우 서버 2012, 2012 R2 등 공식 지원이 종료된 레거시 시스템을 위한 무료 마이크로패치를 출시했습니다. 이 패치는 공격자가 통제하는 사용자명 문자열 최대 길이를 절반으로 줄여 공격을 원천 봉쇄하며, 재부팅 없이 메모리 내에서 적용됩니다.
What is CVE-2026-41089, a critical Windows Netlogon remote code execution vulnerability now actively exploited in the wild — including its CCVE-2026-41089 enables unauthenticated remote code execution on Windows domain controllers via the Netlogon service. Image: AI-generated editorial illustration.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: What is CVE-2026-41089, a critical Windows Netlogon remote code execution vulnerability now actively exploited in the wild — including its C. Article summary: Here is the full picture on CVE-2026-41089.. Topic tags: general, general web, government. Reference image context from search candidates: Reference image 1: visual subject "CVE-2026-41089 is a Critical RCE vulnerability affecting Windows Netlogon and has a CVSS score of 9.8. A stack-based buffer overflow flaw (CWE-" source context "May 2026 Patch Tuesday: Updates and Analysis | CrowdStrike" Reference image 2: visual subject "CVE-2026-41089 is a critical Windows Netlogon RCE affecting domain controllers. Learn what is known, how to verify exposure, detect abuse," source context "CVE-2026-41089, Windows Netlogon RCE and the Domain Controller Blast Radius" Style:
openai.com
윈도우 넷로그온(Netlogon) 서비스의 심각한 취약점이 단순한 '긴급 패치 권고'를 넘어 '침해를 가정하라'는 최악의 비상사태로 격상됐습니다. 벨기에 사이버보안센터(CCB)는 2026년 5월 29일(현지 시각) 범죄 위협 행위자들이 CVE-2026-41089를 실제 공격에 적극적으로 악용하기 시작했다고 경고했습니다 . 이로 인해 패치되지 않은 도메인 컨트롤러(DC)는 기업 전체 장악의 주요 표적이 되었습니다.
마이크로소프트가 2026년 5월 12일 정기 보안 업데이트를 통해 패치를 공개한 이 결함은 넷로그온 서비스가 특수하게 조작된 네트워크 요청을 처리할 때 발생하는 스택 기반 버퍼 오버플로우입니다. 넷로그온은 인증 전에 실행되기 때문에, 공격자는 네트워크에 연결되어 있거나 외부에 노출된 DC를 향해 단 하나의 패킷만 보내 SYSTEM 권한으로 임의 코드를 실행할 수 있습니다 . 패치되지 않은 DC가 존재하는 시간은 공격자가 나중에 패치를 해도 지울 수 없는 백도어를 심을 수 있는 골든타임과 같습니다.
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
"윈도우 넷로그온 심각 취약점 CVE-2026-41089, 이제 실제 공격에 악용 중"에 대한 짧은 대답은 무엇입니까?
CVE 2026 41089는 윈도우 넷로그온 서비스의 스택 기반 버퍼 오버플로우 취약점으로, CVSS 9.8점(최고 심각도)을 기록했습니다. 인증이나 사용자 상호작용 없이 네트워크만 연결되면 공격자가 도메인 컨트롤러를 SYSTEM 권한으로 완전히 장악할 수 있습니다.
먼저 검증할 핵심 포인트는 무엇인가요?
CVE 2026 41089는 윈도우 넷로그온 서비스의 스택 기반 버퍼 오버플로우 취약점으로, CVSS 9.8점(최고 심각도)을 기록했습니다. 인증이나 사용자 상호작용 없이 네트워크만 연결되면 공격자가 도메인 컨트롤러를 SYSTEM 권한으로 완전히 장악할 수 있습니다. 벨기에 사이버보안센터(CCB)가 2026년 6월 1일 이 취약점에 대한 실제 공격이 확인됐다고 공식 경고했습니다. 마이크로소프트 5월 패치 이후에도 업데이트를 미뤘다면, 해당 서버는 이미 침해당했을 가능성을 염두에 두고 전수 조사해야 합니다.
실무에서는 다음으로 무엇을 해야 합니까?
보안 업체 0patch가 윈도우 서버 2012, 2012 R2 등 공식 지원이 종료된 레거시 시스템을 위한 무료 마이크로패치를 출시했습니다. 이 패치는 공격자가 통제하는 사용자명 문자열 최대 길이를 절반으로 줄여 공격을 원천 봉쇄하며, 재부팅 없이 메모리 내에서 적용됩니다.
CVE 2026 41089는 윈도우 넷로그온 서비스의 스택 기반 버퍼 오버플로우 취약점으로, CVSS 9.8점(최고 심각도)을 기록했습니다. 인증이나 사용자 상호작용 없이 네트워크만 연결되면 공격자가 도메인 컨트롤러를 SYSTEM 권한으로 완전히 장악할 수 있습니다.
벨기에 사이버보안센터(CCB)가 2026년 6월 1일 이 취약점에 대한 실제 공격이 확인됐다고 공식 경고했습니다. 마이크로소프트 5월 패치 이후에도 업데이트를 미뤘다면, 해당 서버는 이미 침해당했을 가능성을 염두에 두고 전수 조사해야 합니다.
보안 업체 0patch가 윈도우 서버 2012, 2012 R2 등 공식 지원이 종료된 레거시 시스템을 위한 무료 마이크로패치를 출시했습니다. 이 패치는 공격자가 통제하는 사용자명 문자열 최대 길이를 절반으로 줄여 공격을 원천 봉쇄하며, 재부팅 없이 메모리 내에서 적용됩니다.
What is CVE-2026-41089, a critical Windows Netlogon remote code execution vulnerability now actively exploited in the wild — including its CCVE-2026-41089 enables unauthenticated remote code execution on Windows domain controllers via the Netlogon service. Image: AI-generated editorial illustration.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: What is CVE-2026-41089, a critical Windows Netlogon remote code execution vulnerability now actively exploited in the wild — including its C. Article summary: Here is the full picture on CVE-2026-41089.. Topic tags: general, general web, government. Reference image context from search candidates: Reference image 1: visual subject "CVE-2026-41089 is a Critical RCE vulnerability affecting Windows Netlogon and has a CVSS score of 9.8. A stack-based buffer overflow flaw (CWE-" source context "May 2026 Patch Tuesday: Updates and Analysis | CrowdStrike" Reference image 2: visual subject "CVE-2026-41089 is a critical Windows Netlogon RCE affecting domain controllers. Learn what is known, how to verify exposure, detect abuse," source context "CVE-2026-41089, Windows Netlogon RCE and the Domain Controller Blast Radius" Style:
openai.com
윈도우 넷로그온(Netlogon) 서비스의 심각한 취약점이 단순한 '긴급 패치 권고'를 넘어 '침해를 가정하라'는 최악의 비상사태로 격상됐습니다. 벨기에 사이버보안센터(CCB)는 2026년 5월 29일(현지 시각) 범죄 위협 행위자들이 CVE-2026-41089를 실제 공격에 적극적으로 악용하기 시작했다고 경고했습니다 . 이로 인해 패치되지 않은 도메인 컨트롤러(DC)는 기업 전체 장악의 주요 표적이 되었습니다.
마이크로소프트가 2026년 5월 12일 정기 보안 업데이트를 통해 패치를 공개한 이 결함은 넷로그온 서비스가 특수하게 조작된 네트워크 요청을 처리할 때 발생하는 스택 기반 버퍼 오버플로우입니다. 넷로그온은 인증 전에 실행되기 때문에, 공격자는 네트워크에 연결되어 있거나 외부에 노출된 DC를 향해 단 하나의 패킷만 보내 SYSTEM 권한으로 임의 코드를 실행할 수 있습니다 . 패치되지 않은 DC가 존재하는 시간은 공격자가 나중에 패치를 해도 지울 수 없는 백도어를 심을 수 있는 골든타임과 같습니다.
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
"윈도우 넷로그온 심각 취약점 CVE-2026-41089, 이제 실제 공격에 악용 중"에 대한 짧은 대답은 무엇입니까?
CVE 2026 41089는 윈도우 넷로그온 서비스의 스택 기반 버퍼 오버플로우 취약점으로, CVSS 9.8점(최고 심각도)을 기록했습니다. 인증이나 사용자 상호작용 없이 네트워크만 연결되면 공격자가 도메인 컨트롤러를 SYSTEM 권한으로 완전히 장악할 수 있습니다.
먼저 검증할 핵심 포인트는 무엇인가요?
CVE 2026 41089는 윈도우 넷로그온 서비스의 스택 기반 버퍼 오버플로우 취약점으로, CVSS 9.8점(최고 심각도)을 기록했습니다. 인증이나 사용자 상호작용 없이 네트워크만 연결되면 공격자가 도메인 컨트롤러를 SYSTEM 권한으로 완전히 장악할 수 있습니다. 벨기에 사이버보안센터(CCB)가 2026년 6월 1일 이 취약점에 대한 실제 공격이 확인됐다고 공식 경고했습니다. 마이크로소프트 5월 패치 이후에도 업데이트를 미뤘다면, 해당 서버는 이미 침해당했을 가능성을 염두에 두고 전수 조사해야 합니다.
실무에서는 다음으로 무엇을 해야 합니까?
보안 업체 0patch가 윈도우 서버 2012, 2012 R2 등 공식 지원이 종료된 레거시 시스템을 위한 무료 마이크로패치를 출시했습니다. 이 패치는 공격자가 통제하는 사용자명 문자열 최대 길이를 절반으로 줄여 공격을 원천 봉쇄하며, 재부팅 없이 메모리 내에서 적용됩니다.
CVE-2026-41089의 CVSS 3.1 기본 점수는 9.8점(심각)이며, 세부 평가 벡터는 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H로 나타납니다 . 풀어서 설명하면 네트워크를 통해 공격 가능하고, 복잡도가 낮으며, 권한이 필요 없고, 사용자 상호작용도 없다는 뜻입니다. 결과적으로 대상 시스템의 기밀성, 무결성, 가용성이 완전히 붕괴됩니다.
보안 연구원 및 위협 인텔리전스 플랫폼들은 이 취약점이 사전 인증 단계에서 악용 가능하고 윈도우 기업 환경의 핵심인 DC를 표적으로 삼기 때문에 사실상 웜(Worm)처럼 전파될 수 있다고 분석합니다 . Action1의 평가는 이 위험을 간결하게 요약합니다. "취약한 DC 하나는 단일 조작 네트워크 요청을 받는 것만으로도 기업 장악이라는 결과로 직행할 수 있게 한다" . Automox의 CTO 제이슨 킥타는 "절반만 패치된 포레스트(Forest)는 사전 인증 DC 버그를 막을 수 있는 방어 상태가 아니다"라고 경고하며, 시스템 패치뿐 아니라 네트워크 계층에서 넷로그온 트래픽을 제한하라고 조언했습니다 .
공개 개념 증명(PoC) 익스플로잇 코드가 깃허브에 등장했으며, 이는 과거 사례를 볼 때 보통 24~72시간 내에 대규모 자동 스캔 및 공격 확산을 초래하곤 합니다 . 조직들은 이미 자동화된 스캐닝 툴과 공격 코드가 유포되고 있다고 가정해야 합니다.
영향받는 윈도우 서버 버전
이 취약점은 2026년 5월 12일 이후 패치되지 않은, 넷로그온 서비스를 실행하는 모든 지원 대상 윈도우 서버 버전에 영향을 줍니다 . 여러 보안 업체와 NVD에 공개된 제품 목록에 따르면 다음과 같은 에디션이 취약합니다 :
윈도우 서버 2012 및 2012 R2 (Server Core 설치 포함)
윈도우 서버 2016
윈도우 서버 2019 (Server Core 포함)
윈도우 서버 2022 (21H2, 22H2, 23H2 에디션, Server Core 포함)
윈도우 서버 2025
이 문제는 MS-NRPC 핸들러에 존재하며 TCP 포트 445 또는 UDP 포트 389(CLDAP DC-로케이터 포트)를 통해 트리거될 수 있습니다. 즉, 인터넷에 직접 노출되었거나 네트워크에 연결된 표준 DC라면 공격 경로가 충분히 열려 있다는 뜻입니다 .
패치 현황
마이크로소프트 공식 보안 업데이트
마이크로소프트는 2026년 5월 12일자 보안 업데이트를 통해 CVE-2026-41089에 대한 패치를 출시했습니다 . 기업들은 윈도우 서버 빌드에 해당하는 업데이트를 지금 즉시 적용해야 합니다. Rapid7의 취약점 데이터베이스에 등록된 지원 대상 배포판별 KB 식별자는 다음과 같습니다 :
윈도우 서버 2012: KB5087470
윈도우 서버 2012 R2: KB5087471
윈도우 서버 2016 (1607): KB5087537
윈도우 서버 2019 (1809): KB5087538
윈도우 서버 2022 (21H2/22H2): KB5087545
윈도우 서버 2022 (23H2): KB5087541
윈도우 서버 2025 (24H2): KB5087539
이 취약점은 인증을 거치지 않고 악용되며 현재 활발하게 공격이 이루어지고 있으므로, 가능하다면 모든 DC를 단일 긴급 유지보수 시간 내에 한꺼번에 패치하는 것이 중요합니다 .
레거시 시스템을 위한 0patch 마이크로패치
공식 지원이 종료되어 더 이상 마이크로소프트 업데이트를 받을 수 없는 구형 윈도우 서버 운영 조직을 위해, Acros Security가 0patch 플랫폼을 통해 무료 마이크로패치를 배포했습니다 . 이 마이크로패치는 최소한의 수술적 수정을 가하는데, 관련 처리 과정에서 공격자가 통제하는 사용자명(Username) 문자열의 최대 크기를 절반으로 줄여 스택 오버플로우를 무력화합니다 .
0patch는 다음 버전에 대해 마이크로패치를 제공하고 있습니다:
윈도우 서버 2012 (Extended Security Update 미적용)
윈도우 서버 2012 R2 (Extended Security Update 미적용)
마이크로패치는 0patch 에이전트를 통해 배포되며 시스템 재부팅 없이 메모리 내에서 적용되므로, DC 재부팅 일정을 신중하게 조율해야 하는 환경에서 특히 유용할 수 있습니다. 0patch는 오랫동안 윈도우 서버 2008 R2, 2012, 2012 R2 등 지원 종료된 버전의 치명적인 취약점들에 대해 이와 같은 방식으로 대응해 왔습니다 .
긴급 완화 및 대응 지침
가장 중요한 점은, 패치는 취약한 코드 경로를 제거할 뿐이지 패치 전에 이미 CVE-2026-41089를 악용한 공격자를 찾아내거나 몰아내지는 못한다는 것입니다. CCB는 패치가 앞으로의 공격을 막아줄 뿐, 과거의 침해(past compromise)를 복구해 주지는 않는다고 명확히 경고하고 있습니다 .
CCB의 주요 권고 조치
즉시 패치, 최우선 조치 — 마이크로소프트 2026년 5월 보안 업데이트를 모든 DC에 적용하십시오. 이는 현재 진행 중인 공격 시나리오이므로 다음 정기 점검 창까지 기다려서는 안 됩니다 .
모니터링 및 탐지 강화 — DC를 겨냥한 의심스러운 활동, 특히 비정상적인 넷로그온 트래픽이나 평소와 다른 RPC 및 LDAP 패턴에 대한 모니터링을 대폭 강화하십시오 .
이전 침해 가능성 가정 — 5월 12일 이후 패치를 적용하기 전까지 네트워크에 노출되어 있던 모든 DC는 침해 징후가 있는지 법의학적(Forensic) 관점에서 철저히 검토해야 합니다 .
패치 윈도우 단축 — 가능한 한 짧은 유지보수 주기 내에 모든 DC를 신속하게 업데이트하십시오. 절반만 패치된 Active Directory 포레스트는 공격에 취약한 포레스트나 다름없습니다 .
패치 후 재검증 — 패치 검증 스캔과 노출 평가를 다시 실행하여 취약한 DC가 여전히 접근 가능한 상태로 남아 있지 않은지 확인하십시오 .
추가 전문가 방어 조치
DC 네트워크 분리 — 명시적으로 승인된 관리 및 인프라 트래픽만 DC에 도달할 수 있도록 네트워크 접근을 제한하십시오. 비신뢰 구간 및 인터넷 연결 세그먼트에서는 네트워크 경계와 내부 방화벽에서 넷로그온 관련 포트(TCP 445, UDP 389)를 차단하십시오.
네트워크 계층에서 넷로그온 트래픽 제한 — 호스트 방화벽을 넘어, 네트워크 수준의 접근 제어를 통해 취약한 프로토콜로 DC에 연결 시도 자체를 제한하십시오.
권한 접근 경로 강화 — DC에 대한 권한 접근 계정을 검토하고 최소화하십시오. DC의 SYSTEM 권한이 탈취되면 보통 곧바로 자격증명 탈취 및 내부 확산으로 이어집니다 .
공격 후 활동 모니터링 — 비정상적인 서비스 동작, 예기치 않은 DC 재부팅, LSASS(Local Security Authority Subsystem Service) 크래시 발생 여부, 새로운 관리자 계정 생성 시도, 비정상적인 커버로스 티켓 요청 등을 주시하십시오. 이는 익스플로잇 및 후속 공격 단계를 암시할 수 있습니다 .
완전한 '침해 가정' 태세 전환 — 철저한 법의학적 검토가 완료될 때까지, 이전에 패치되지 않았던 모든 DC를 잠재적으로 침해된 것으로 간주하고 대응하십시오.
참고 사항: EPSS 점수와 인식의 함정
CVE-2026-41089의 EPSS(공격 예측 점수 시스템) 확률이 한때 0.09%로 낮게 보고된 바 있지만 , EPSS는 과거 데이터를 기반으로 훈련된 확률 모델일 뿐입니다. 이미 실제 공격에서 악용 중인 것이 확인된 상황을 고려하지 못합니다. CCB와 같은 국가 사이버보안 기관이 실제 악용 경고를 발령하면, 조직들은 통계적 예측보다는 확인된 위협 활동에 기반하여 우선순위를 매겨 즉각 대응해야 합니다.
CVE-2026-41089의 CVSS 3.1 기본 점수는 9.8점(심각)이며, 세부 평가 벡터는 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H로 나타납니다 . 풀어서 설명하면 네트워크를 통해 공격 가능하고, 복잡도가 낮으며, 권한이 필요 없고, 사용자 상호작용도 없다는 뜻입니다. 결과적으로 대상 시스템의 기밀성, 무결성, 가용성이 완전히 붕괴됩니다.
보안 연구원 및 위협 인텔리전스 플랫폼들은 이 취약점이 사전 인증 단계에서 악용 가능하고 윈도우 기업 환경의 핵심인 DC를 표적으로 삼기 때문에 사실상 웜(Worm)처럼 전파될 수 있다고 분석합니다 . Action1의 평가는 이 위험을 간결하게 요약합니다. "취약한 DC 하나는 단일 조작 네트워크 요청을 받는 것만으로도 기업 장악이라는 결과로 직행할 수 있게 한다" . Automox의 CTO 제이슨 킥타는 "절반만 패치된 포레스트(Forest)는 사전 인증 DC 버그를 막을 수 있는 방어 상태가 아니다"라고 경고하며, 시스템 패치뿐 아니라 네트워크 계층에서 넷로그온 트래픽을 제한하라고 조언했습니다 .
공개 개념 증명(PoC) 익스플로잇 코드가 깃허브에 등장했으며, 이는 과거 사례를 볼 때 보통 24~72시간 내에 대규모 자동 스캔 및 공격 확산을 초래하곤 합니다 . 조직들은 이미 자동화된 스캐닝 툴과 공격 코드가 유포되고 있다고 가정해야 합니다.
영향받는 윈도우 서버 버전
이 취약점은 2026년 5월 12일 이후 패치되지 않은, 넷로그온 서비스를 실행하는 모든 지원 대상 윈도우 서버 버전에 영향을 줍니다 . 여러 보안 업체와 NVD에 공개된 제품 목록에 따르면 다음과 같은 에디션이 취약합니다 :
윈도우 서버 2012 및 2012 R2 (Server Core 설치 포함)
윈도우 서버 2016
윈도우 서버 2019 (Server Core 포함)
윈도우 서버 2022 (21H2, 22H2, 23H2 에디션, Server Core 포함)
윈도우 서버 2025
이 문제는 MS-NRPC 핸들러에 존재하며 TCP 포트 445 또는 UDP 포트 389(CLDAP DC-로케이터 포트)를 통해 트리거될 수 있습니다. 즉, 인터넷에 직접 노출되었거나 네트워크에 연결된 표준 DC라면 공격 경로가 충분히 열려 있다는 뜻입니다 .
패치 현황
마이크로소프트 공식 보안 업데이트
마이크로소프트는 2026년 5월 12일자 보안 업데이트를 통해 CVE-2026-41089에 대한 패치를 출시했습니다 . 기업들은 윈도우 서버 빌드에 해당하는 업데이트를 지금 즉시 적용해야 합니다. Rapid7의 취약점 데이터베이스에 등록된 지원 대상 배포판별 KB 식별자는 다음과 같습니다 :
윈도우 서버 2012: KB5087470
윈도우 서버 2012 R2: KB5087471
윈도우 서버 2016 (1607): KB5087537
윈도우 서버 2019 (1809): KB5087538
윈도우 서버 2022 (21H2/22H2): KB5087545
윈도우 서버 2022 (23H2): KB5087541
윈도우 서버 2025 (24H2): KB5087539
이 취약점은 인증을 거치지 않고 악용되며 현재 활발하게 공격이 이루어지고 있으므로, 가능하다면 모든 DC를 단일 긴급 유지보수 시간 내에 한꺼번에 패치하는 것이 중요합니다 .
레거시 시스템을 위한 0patch 마이크로패치
공식 지원이 종료되어 더 이상 마이크로소프트 업데이트를 받을 수 없는 구형 윈도우 서버 운영 조직을 위해, Acros Security가 0patch 플랫폼을 통해 무료 마이크로패치를 배포했습니다 . 이 마이크로패치는 최소한의 수술적 수정을 가하는데, 관련 처리 과정에서 공격자가 통제하는 사용자명(Username) 문자열의 최대 크기를 절반으로 줄여 스택 오버플로우를 무력화합니다 .
0patch는 다음 버전에 대해 마이크로패치를 제공하고 있습니다:
윈도우 서버 2012 (Extended Security Update 미적용)
윈도우 서버 2012 R2 (Extended Security Update 미적용)
마이크로패치는 0patch 에이전트를 통해 배포되며 시스템 재부팅 없이 메모리 내에서 적용되므로, DC 재부팅 일정을 신중하게 조율해야 하는 환경에서 특히 유용할 수 있습니다. 0patch는 오랫동안 윈도우 서버 2008 R2, 2012, 2012 R2 등 지원 종료된 버전의 치명적인 취약점들에 대해 이와 같은 방식으로 대응해 왔습니다 .
긴급 완화 및 대응 지침
가장 중요한 점은, 패치는 취약한 코드 경로를 제거할 뿐이지 패치 전에 이미 CVE-2026-41089를 악용한 공격자를 찾아내거나 몰아내지는 못한다는 것입니다. CCB는 패치가 앞으로의 공격을 막아줄 뿐, 과거의 침해(past compromise)를 복구해 주지는 않는다고 명확히 경고하고 있습니다 .
CCB의 주요 권고 조치
즉시 패치, 최우선 조치 — 마이크로소프트 2026년 5월 보안 업데이트를 모든 DC에 적용하십시오. 이는 현재 진행 중인 공격 시나리오이므로 다음 정기 점검 창까지 기다려서는 안 됩니다 .
모니터링 및 탐지 강화 — DC를 겨냥한 의심스러운 활동, 특히 비정상적인 넷로그온 트래픽이나 평소와 다른 RPC 및 LDAP 패턴에 대한 모니터링을 대폭 강화하십시오 .
이전 침해 가능성 가정 — 5월 12일 이후 패치를 적용하기 전까지 네트워크에 노출되어 있던 모든 DC는 침해 징후가 있는지 법의학적(Forensic) 관점에서 철저히 검토해야 합니다 .
패치 윈도우 단축 — 가능한 한 짧은 유지보수 주기 내에 모든 DC를 신속하게 업데이트하십시오. 절반만 패치된 Active Directory 포레스트는 공격에 취약한 포레스트나 다름없습니다 .
패치 후 재검증 — 패치 검증 스캔과 노출 평가를 다시 실행하여 취약한 DC가 여전히 접근 가능한 상태로 남아 있지 않은지 확인하십시오 .
추가 전문가 방어 조치
DC 네트워크 분리 — 명시적으로 승인된 관리 및 인프라 트래픽만 DC에 도달할 수 있도록 네트워크 접근을 제한하십시오. 비신뢰 구간 및 인터넷 연결 세그먼트에서는 네트워크 경계와 내부 방화벽에서 넷로그온 관련 포트(TCP 445, UDP 389)를 차단하십시오.
네트워크 계층에서 넷로그온 트래픽 제한 — 호스트 방화벽을 넘어, 네트워크 수준의 접근 제어를 통해 취약한 프로토콜로 DC에 연결 시도 자체를 제한하십시오.
권한 접근 경로 강화 — DC에 대한 권한 접근 계정을 검토하고 최소화하십시오. DC의 SYSTEM 권한이 탈취되면 보통 곧바로 자격증명 탈취 및 내부 확산으로 이어집니다 .
공격 후 활동 모니터링 — 비정상적인 서비스 동작, 예기치 않은 DC 재부팅, LSASS(Local Security Authority Subsystem Service) 크래시 발생 여부, 새로운 관리자 계정 생성 시도, 비정상적인 커버로스 티켓 요청 등을 주시하십시오. 이는 익스플로잇 및 후속 공격 단계를 암시할 수 있습니다 .
완전한 '침해 가정' 태세 전환 — 철저한 법의학적 검토가 완료될 때까지, 이전에 패치되지 않았던 모든 DC를 잠재적으로 침해된 것으로 간주하고 대응하십시오.
참고 사항: EPSS 점수와 인식의 함정
CVE-2026-41089의 EPSS(공격 예측 점수 시스템) 확률이 한때 0.09%로 낮게 보고된 바 있지만 , EPSS는 과거 데이터를 기반으로 훈련된 확률 모델일 뿐입니다. 이미 실제 공격에서 악용 중인 것이 확인된 상황을 고려하지 못합니다. CCB와 같은 국가 사이버보안 기관이 실제 악용 경고를 발령하면, 조직들은 통계적 예측보다는 확인된 위협 활동에 기반하여 우선순위를 매겨 즉각 대응해야 합니다.
