마이크로소프트 사상 최대 규모 ‘패치 화요일’… 200개 취약점 수정 및 3개의 제로데이 해결

CVE-2026-45586 — CTFMON 권한 상승 취약점 (그린플라즈마)

이 취약점은 Windows 협업 번역 프레임워크(CTFMON)의 “링크 추적” 결함으로, 인증된 공격자가 로컬에서 시스템 권한(SYSTEM)으로 권한을 상승시킬 수 있습니다. 마이크로소프트는 보고자를 익명으로 처리했지만, 보안 연구원들은 이를 연구원 나이트메어 이클립스(커뮤니티 내에서는 “카오틱 이클립스”로도 알려짐)가 공개한 “그린플라즈마” 익스플로잇과 빠르게 연결지었습니다. 이 공개는 마이크로소프트의 버그 바운티 및 취약점 공개 프로그램에 대한 항의 캠페인의 일환이었습니다 .

CVE-2026-49160 — HTTP.sys 서비스 거부 취약점 ("HTTP/2 폭탄")

이 취약점은 HTTP/2 프로토콜 스택의 통제되지 않은 자원 소비 취약점(CWE-400)으로, CVSS 점수는 7.5점입니다. 인증되지 않은 원격 공격자가 소량의 데이터를 전송하여 서버가 과도하게 많은 양의 메모리를 할당하도록 강제할 수 있습니다. HTTP/2 흐름 제어 설정을 조작하면 공격자는 해당 메모리를 무기한 점유할 수 있습니다 . Quang Luong과 Codex of Calif.io가 발견한 이 취약점은 영향을 받는 웹 서버를 단 몇 초 만에 오프라인 상태로 만들 수 있습니다 . 마이크로소프트는 이에 대한 완화 조치로 HTTP/2 및 HTTP/3 요청 헤더를 제한하는 새로운 MaxHeadersCount 레지스트리 설정을 도입했습니다(KB5102602 문서 참조) .

CVE-2026-50507 — BitLocker 보안 기능 우회 취약점 (옐로키)

이 취약점은 보호 메커니즘 실패로 인해, 물리적 접근 권한을 가진 인증되지 않은 공격자가 TPM 전용 드라이브에서 Windows 복구 환경을 악용하여 BitLocker 암호화를 우회할 수 있게 합니다. 이번 달에 수정된 나이트메어 이클립스 캠페인의 두 번째 익스플로잇으로, 공개적으로는 “옐로키”로 알려져 있습니다 .

‘나이트메어 이클립스’ 캠페인

연구원 나이트메어 이클립스는 마이크로소프트의 버그 바운티 처리 방식에 항의하며 블루해머, 미니플라즈마, 레드썬, 언디펜드, 그린플라즈마, 옐로키 등 일련의 Windows 제로데이 취약점을 공개적으로 쏟아냈습니다. 마이크로소프트의 6월 패치가 그린플라즈마와 옐로키를 해결한 반면, 동일한 캠페인의 다른 3가지(블루해머, 레드썬, 언디펜드)는 6월 초에 활발히 악용되고 있다고 보고되었으며, 이에 미국 사이버보안 및 인프라 보안국(CISA)은 이를 알려진 악용 취약점(KEV) 목록에 추가했습니다 .

Windows 11 누적 업데이트의 새로운 기능은?

6월의 필수 Windows 11 업데이트는 보안 수정 사항 이상의 것을 제공했습니다. 두 가지 주요 누적 업데이트가 출시되었는데, 버전 25H2(빌드 26200.8457) 및 24H2(빌드 26100.8457)용 KB5094126과 버전 23H2(빌드 22631.7079)용 KB5093998입니다 . 마이크로소프트는 Windows 10을 위한 확장 보안 업데이트 KB5094127도 출시했습니다 .

Windows 11 업데이트의 주요 새로운 기능은 다음과 같습니다 :

• Xbox 모드: PC에서 Xbox 콘솔과 유사한 경험을 제공하는 기능으로, 이제 더 많은 기기로 출시됩니다.
• 공유 오디오: Bluetooth LE 오디오를 사용하여 한 대의 PC에서 두 사람이 동일한 오디오 스트림을 동시에 들을 수 있습니다.
• 작업 관리자 NPU 모니터링: 이제 앱에서 신경망 처리 장치(NPU) 사용량, 전용/공유 메모리 및 기타 지표를 보여줍니다.
• 멀티 앱 카메라: 여러 애플리케이션이 동시에 카메라 스트림에 접근할 수 있도록 합니다.
• 성능 개선: 새로운 저지연 프로필이 앱 실행, 시작 메뉴, 검색, 알림 센터와 같은 셸 상호 작용 속도를 높입니다.
• 설정 개선: 이제 Windows 설치 중에 사용자가 사용자 폴더의 사용자 지정 이름을 선택할 수 있습니다.

더 넓은 보안 환경: 어도비도 대규모 패치 동참

같은 날, 어도비는 Acrobat Reader, ColdFusion, InDesign, Experience Manager 등 자사 제품 전반에 걸쳐 123개의 취약점을 해결하는 11개의 보안 권고를 발표했습니다. 이 중 47개는 ‘긴급’ 등급으로, 임의 코드 실행, 권한 상승, 서비스 거부 등으로 이어질 수 있습니다 .

마이크로소프트와 어도비를 합쳐, 2026년 6월 9일 하루 동안 총 329개의 취약점에 대한 수정 사항이 배포되었습니다 . 더 넓은 생태계에서도 움직임이 있었는데, 구글은 이달 초 마이크로소프트 Edge/크로미움에서 발생한 360개의 방대한 취약점을 패치했으며, 이는 표준 패치 화요일 집계에는 포함되지 않습니다 .