ShieldBreak는 단순한 버그가 아닙니다. 이번 사건은 MS와 보안 연구 커뮤니티 사이의 갈등이 표면화된 최신 사례입니다. 연구원들은 MS가 취약점 보고를 무시하거나, 축소하거나, 적절한 패치 대신 법적 위협으로 대응한다고 비판해 왔습니다 .

ShieldBreak의 작동 원리: SYSTEM 권한의 디펜더 프로세스 후킹

이 취약점은 NT AUTHORITY\SYSTEM 권한으로 실행되는 MS 디펜더 안티멀웨어 서비스(MsMpEng) 에 존재합니다 .

• 근본 원인: ShieldBreak는 MS가 2026년 7월 패치 튜즈데이를 통해 발표한 CVE-2026-50656(RoguePlanet) 패치의 완전한 우회입니다. RoguePlanet은 같은 연구원이 이전에 공개한 디펜더 취약점이었습니다 . MS의 패치는 특정 공격 경로 하나를 막았지만, 디펜더 특권 프로세스의 근본적인 아키텍처적 취약점은 해결하지 못했습니다 .
• 익스플로잇 메커니즘: RoguePlanet의 파일 시스템 경쟁 조건 공격과 달리, ShieldBreak는 디펜더 프로세스 내의 사용자 모드 콜백을 후킹합니다. 특히 클라우드 필터 API(cfapi) 를 통한 클라우드 하이드레이션 스캔 중에 파일 내용을 조작합니다. 디펜더가 클라우드에서 파일을 가져와 스캔하는 이 순간을 노려, 익스플로잇은 디펜더가 SYSTEM 무결성 수준에서 임의 코드를 실행하도록 속입니다 .
• 사용자 조치 필요: 이는 원격 코드 실행 버그가 아닙니다. 공격자는 이미 대상 시스템에서 낮은 수준의 코드 실행 권한(예: 악성코드, 악성 스크립트, 비특권 앱)을 확보한 상태여야 합니다. ShieldBreak는 이 확보된 거점을 SYSTEM 권한으로 상승시킵니다 .
• 보고된 성공률: 연구원은 윈도우 11 25H2 및 윈도우 서버 2025에서 100% 성공률을 주장했으며, 저명한 보안 연구원 윌 도먼(Will Dormann)과 케빈 보몬트(Kevin Beaumont)가 이에 대해 독립적으로 확인했습니다 .

영향을 받는 윈도우 버전

ShieldBreak는 2026년 8월 패치 튜즈데이 기준 '완전히 패치된' 시스템에서 작동하며, 현재까지 MS 업데이트로 차단되지 않았습니다. 영향을 받는 버전은 다음과 같습니다 :

익스플로잇이 성공하려면 MS 디펜더가 활성화되어 있어야 합니다 .

RoguePlanet(CVE-2026-50656)과의 관계

• RoguePlanet은 나이트메어 이클립스가 2026년 6월 9일 제로데이로 공개한 디펜더 권한 상승 취약점(CVSS 7.8, MS 평가 '악용 가능성 높음')입니다 . MS는 2026년 7월 패치 튜즈데이에서 이에 대한 패치를 발표했습니다 .
• ShieldBreak는 이 패치의 기능적 우회입니다. 새로운 버그 클래스를 도입하는 것이 아니라, RoguePlanet이 노출했던 MS 맬웨어 방지 엔진의 동일한 근본 취약점에 도달하지만, 다른 코드 경로를 통해 접근합니다 . 보안 커뮤니티는 MS의 패치가 표면적인 수준에 그쳤으며 근본적인 해결책이 아니라고 평가합니다 .

제로데이 현황: 아직 패치 없음

• ShieldBreak는 패치되지 않은 제로데이입니다. MS는 2026년 8월 패치 튜즈데이 주기에 이에 대한 수정 사항을 발표하지 않았습니다 .
• MS는 취약점을 인정하고 적극적으로 조사 중이라고 밝혔지만, 구체적인 패치 일정은 약속하지 않았습니다 . 특히 MS는 우회 가능성 자체를 즉각 부인하지는 않았습니다 .
• 여러 보안 업체(Tanium, Security Arsenal)는 디펜더 구성 강화, 낮은 권한 계정 제한 등의 타사 완화 지침을 발표했지만, 이는 임시 방편일 뿐 실제 패치는 아닙니다 .

더 넓은 맥락: 연구원 vs. MS

오랜 기간 이어져 온 갈등

나이트메어 이클립스는 버그 신고 및 공개 정책과 관련해 MS와 공개적으로 마찰을 빚어 온 역사가 있습니다. 연구원은 MS가 취약점 보고를 반복적으로 무시, 축소 또는 지연 처리했다고 주장합니다 . ShieldBreak는 연구원의 9번째 공개 윈도우 제로데이 공개로, 가장 활동적인 독립 윈도우 버그 헌터 중 하나로 자리매김했습니다 .

법적 위협

2026년 7월 말, MS의 법무팀은 나이트메어 이클립스에게 MS의 조정된 취약점 공개(CVD) 프로그램 외부에서 취약점을 계속 공개할 경우 법적 조치를 취하겠다는 내용 증명서를 보냈습니다 . 연구원은 이에 아랑곳하지 않고 ShieldBreak를 공개했으며, 2026년 8월 패치 튜즈데이 직후에 공개 시점을 맞춰 영향력을 극대화했습니다 .

MS에 대한 보안 커뮤니티의 비판

광범위한 보안 커뮤니티는 MS의 법적 대응을 강하게 비판하고 있습니다. 주요 지적 사항은 다음과 같습니다 :

• 독립적 확인: 윌 도먼과 케빈 보몬트 연구원이 ShieldBreak의 작동을 확인하며 MS의 패치가 불충분했음을 입증했습니다 .
• 법적 위협 비판: 버그를 제대로 수정하는 대신 독립 연구원을 소송으로 위협하는 것은 비생산적이며 신뢰를 손상시키는 행위로 간주됩니다 .
• 일방적인 CVD 정책: MS의 공개 정책은 일방적이라는 비판을 받습니다. 연구원이 MS가 선호하는 일정이나 형식에서 벗어나면, 보고 내용이 정확함에도 불구하고 법적 위협에 직면하게 됩니다 .
• '메신저 탓하기': 여러 매체는 MS의 접근 방식을 '메신저 탓하기'로 규정하며, 디펜더 특권 아키텍처의 체계적 결함을 해결하기보다 연구원을 비난하는 태도라고 비판했습니다 .

핵심 요약

ShieldBreak는 단일 취약점 그 이상입니다. 이는 '패치와 변호사' 전략을 구사하는 MS와, 의미 있는 수정을 강제하기 위한 유일한 방법으로 공개 공개를 점점 더 선호하는 보안 연구 커뮤니티 간의 성장하는 대립에서 가장 최근의 촉발점입니다. 2026년 8월 14일 현재, 공식 패치는 존재하지 않으며, 연구원에 대한 MS의 법적 태도는 업계 전반에서 날카로운 비판을 받고 있습니다 .

ShieldBreak는 단순한 버그가 아닙니다. 이번 사건은 MS와 보안 연구 커뮤니티 사이의 갈등이 표면화된 최신 사례입니다. 연구원들은 MS가 취약점 보고를 무시하거나, 축소하거나, 적절한 패치 대신 법적 위협으로 대응한다고 비판해 왔습니다 .

ShieldBreak의 작동 원리: SYSTEM 권한의 디펜더 프로세스 후킹

이 취약점은 NT AUTHORITY\SYSTEM 권한으로 실행되는 MS 디펜더 안티멀웨어 서비스(MsMpEng) 에 존재합니다 .

• 근본 원인: ShieldBreak는 MS가 2026년 7월 패치 튜즈데이를 통해 발표한 CVE-2026-50656(RoguePlanet) 패치의 완전한 우회입니다. RoguePlanet은 같은 연구원이 이전에 공개한 디펜더 취약점이었습니다 . MS의 패치는 특정 공격 경로 하나를 막았지만, 디펜더 특권 프로세스의 근본적인 아키텍처적 취약점은 해결하지 못했습니다 .
• 익스플로잇 메커니즘: RoguePlanet의 파일 시스템 경쟁 조건 공격과 달리, ShieldBreak는 디펜더 프로세스 내의 사용자 모드 콜백을 후킹합니다. 특히 클라우드 필터 API(cfapi) 를 통한 클라우드 하이드레이션 스캔 중에 파일 내용을 조작합니다. 디펜더가 클라우드에서 파일을 가져와 스캔하는 이 순간을 노려, 익스플로잇은 디펜더가 SYSTEM 무결성 수준에서 임의 코드를 실행하도록 속입니다 .
• 사용자 조치 필요: 이는 원격 코드 실행 버그가 아닙니다. 공격자는 이미 대상 시스템에서 낮은 수준의 코드 실행 권한(예: 악성코드, 악성 스크립트, 비특권 앱)을 확보한 상태여야 합니다. ShieldBreak는 이 확보된 거점을 SYSTEM 권한으로 상승시킵니다 .
• 보고된 성공률: 연구원은 윈도우 11 25H2 및 윈도우 서버 2025에서 100% 성공률을 주장했으며, 저명한 보안 연구원 윌 도먼(Will Dormann)과 케빈 보몬트(Kevin Beaumont)가 이에 대해 독립적으로 확인했습니다 .

영향을 받는 윈도우 버전

ShieldBreak는 2026년 8월 패치 튜즈데이 기준 '완전히 패치된' 시스템에서 작동하며, 현재까지 MS 업데이트로 차단되지 않았습니다. 영향을 받는 버전은 다음과 같습니다 :

익스플로잇이 성공하려면 MS 디펜더가 활성화되어 있어야 합니다 .

RoguePlanet(CVE-2026-50656)과의 관계

• RoguePlanet은 나이트메어 이클립스가 2026년 6월 9일 제로데이로 공개한 디펜더 권한 상승 취약점(CVSS 7.8, MS 평가 '악용 가능성 높음')입니다 . MS는 2026년 7월 패치 튜즈데이에서 이에 대한 패치를 발표했습니다 .
• ShieldBreak는 이 패치의 기능적 우회입니다. 새로운 버그 클래스를 도입하는 것이 아니라, RoguePlanet이 노출했던 MS 맬웨어 방지 엔진의 동일한 근본 취약점에 도달하지만, 다른 코드 경로를 통해 접근합니다 . 보안 커뮤니티는 MS의 패치가 표면적인 수준에 그쳤으며 근본적인 해결책이 아니라고 평가합니다 .

제로데이 현황: 아직 패치 없음

• ShieldBreak는 패치되지 않은 제로데이입니다. MS는 2026년 8월 패치 튜즈데이 주기에 이에 대한 수정 사항을 발표하지 않았습니다 .
• MS는 취약점을 인정하고 적극적으로 조사 중이라고 밝혔지만, 구체적인 패치 일정은 약속하지 않았습니다 . 특히 MS는 우회 가능성 자체를 즉각 부인하지는 않았습니다 .
• 여러 보안 업체(Tanium, Security Arsenal)는 디펜더 구성 강화, 낮은 권한 계정 제한 등의 타사 완화 지침을 발표했지만, 이는 임시 방편일 뿐 실제 패치는 아닙니다 .

더 넓은 맥락: 연구원 vs. MS

오랜 기간 이어져 온 갈등

나이트메어 이클립스는 버그 신고 및 공개 정책과 관련해 MS와 공개적으로 마찰을 빚어 온 역사가 있습니다. 연구원은 MS가 취약점 보고를 반복적으로 무시, 축소 또는 지연 처리했다고 주장합니다 . ShieldBreak는 연구원의 9번째 공개 윈도우 제로데이 공개로, 가장 활동적인 독립 윈도우 버그 헌터 중 하나로 자리매김했습니다 .

법적 위협

2026년 7월 말, MS의 법무팀은 나이트메어 이클립스에게 MS의 조정된 취약점 공개(CVD) 프로그램 외부에서 취약점을 계속 공개할 경우 법적 조치를 취하겠다는 내용 증명서를 보냈습니다 . 연구원은 이에 아랑곳하지 않고 ShieldBreak를 공개했으며, 2026년 8월 패치 튜즈데이 직후에 공개 시점을 맞춰 영향력을 극대화했습니다 .

MS에 대한 보안 커뮤니티의 비판

광범위한 보안 커뮤니티는 MS의 법적 대응을 강하게 비판하고 있습니다. 주요 지적 사항은 다음과 같습니다 :

• 독립적 확인: 윌 도먼과 케빈 보몬트 연구원이 ShieldBreak의 작동을 확인하며 MS의 패치가 불충분했음을 입증했습니다 .
• 법적 위협 비판: 버그를 제대로 수정하는 대신 독립 연구원을 소송으로 위협하는 것은 비생산적이며 신뢰를 손상시키는 행위로 간주됩니다 .
• 일방적인 CVD 정책: MS의 공개 정책은 일방적이라는 비판을 받습니다. 연구원이 MS가 선호하는 일정이나 형식에서 벗어나면, 보고 내용이 정확함에도 불구하고 법적 위협에 직면하게 됩니다 .
• '메신저 탓하기': 여러 매체는 MS의 접근 방식을 '메신저 탓하기'로 규정하며, 디펜더 특권 아키텍처의 체계적 결함을 해결하기보다 연구원을 비난하는 태도라고 비판했습니다 .

핵심 요약

ShieldBreak는 단일 취약점 그 이상입니다. 이는 '패치와 변호사' 전략을 구사하는 MS와, 의미 있는 수정을 강제하기 위한 유일한 방법으로 공개 공개를 점점 더 선호하는 보안 연구 커뮤니티 간의 성장하는 대립에서 가장 최근의 촉발점입니다. 2026년 8월 14일 현재, 공식 패치는 존재하지 않으며, 연구원에 대한 MS의 법적 태도는 업계 전반에서 날카로운 비판을 받고 있습니다 .