Microsoft, 역대 최다 570개 보안 결함 패치

• 7월 Patch Tuesday의 위험도와 규모

  • Windows와 기타 소프트웨어 업데이트에서 약 60개 결함이 ‘치명적’ 등급을 받음. 사용자 개입이 거의 또는 전혀 없어도 공격자나 악성코드가 Windows 기기를 원격 장악할 수 있는 수준

  • 제로데이 3개를 해결했으며, 이 가운데 2개는 이미 실제 공격에 악용 중

  • 권한 상승 결함은 약 250개

    • 실제 악용 중인 제로데이 2개도 여기에 포함

    • CVE-2026-56155는 Active Directory Federation Services, CVE-2026-56164는 Microsoft SharePoint 취약점

• BitLocker 암호화 데이터가 노출될 수 있음

  • CVE-2026-50661은 Windows BitLocker의 보안 기능 우회 취약점

    • 기기에 물리적으로 접근할 수 있는 공격자가 암호화된 데이터에 접근할 가능성이 큼

    • 세부 내용은 공개됐지만 Microsoft가 파악한 실제 악용 사례는 없음

• AI가 취약점 발견과 패치 증가를 동시에 가속

  • Microsoft는 AI를 활용한 취약점 발견 때문에 보안 릴리스마다 업데이트 수가 늘어날 것으로 전망

  • Pavan Davuluri는 7월 9일 블로그에서 AI 발전으로 더 넓은 코드에서 더 많은 문제를 빠르게 찾아내고, 발견과 분석을 모두 가속할 새로운 수단이 생겼다고 밝힘

• Microsoft Copilot에서 CVSS 9.6 원격 코드 실행 결함 발견

  • CVE-2026-48561은 인증되지 않은 공격자가 네트워크를 통해 코드를 실행할 수 있는 취약점

  • Microsoft가 제시한 공격 시나리오

    • 공격자가 악성 웹사이트를 호스팅

    • 사용자가 방문하면 Android용 Microsoft Edge가 조작된 프롬프트를 Copilot에 자동 전송

• AI 시대에는 Microsoft의 악용 가능성 지표도 재검토 필요

  • AI가 취약점 발견·수정을 진전시키는 동시에, 공격자가 알려진 결함의 실제 익스플로잇을 신속히 만드는 일도 쉬워짐

  • Microsoft의 ‘exploitability index’는 공격자가 특정 취약점을 안정적으로 악용할 가능성을 추정하지만, Tenable의 Satnam Narang은 인간 중심 평가가 AI의 발견 속도를 반영하지 못한다고 지적

    • Microsoft는 이번 SharePoint 제로데이를 처음에 ‘악용 가능성 낮음’으로 평가했지만, CISA는 7월 1일 이 결함을 Known Exploited Vulnerabilities 목록에 추가

    • Anthropic Red Team의 조사에서는 Mythos Preview가 ‘악용 가능성 낮음’ 또는 ‘악용 가능성 희박’으로 분류된 기존 취약점 14개 중 13개의 개념증명 익스플로잇을 생성

    • AI 도구가 계속 발전하는 만큼 Patch Tuesday 평가 방식과 방어 체계도 함께 개선해야 한다는 결론

• 주요 소프트웨어 업체 전반에서 패치 주기 단축

  • Adobe는 AI가 패치 주기를 앞당겼다며 매월 둘째·넷째 화요일, 월 2회 보안 공지를 내기로 발표

  • Cisco·Mozilla·Oracle도 업데이트 빈도를 높였고, Google은 2026년 6월 패치 묶음에서 900건이 넘는 보안 수정사항을 배포

• 설치 전 백업과 며칠간의 관찰 권고

  • 운영체제 업데이트를 적용하기 전에 Windows 시스템이나 데이터를 백업하는 것이 바람직

  • 이번처럼 패치가 대규모일 때는 최종 사용자가 적용 전 며칠 기다리는 방안도 고려할 만함

    • 보안 패치가 시스템 안정성 문제를 일으키는 경우가 드물지 않으며, 패치 수가 많을수록 그 가능성도 상당히 커질 수 있음

^{source https://krebsonsecurity.com/2026/07/microsoft-patches-a-record-570-security-flaws/}

HN에서는 570건이라는 숫자만으로 제품 품질을 단정하기보다 집계 범위부터 확인해야 한다는 반응이 두드러졌다. 마이크로소프트가 직접 고친 코드뿐 아니라 Azure Linux에 포함된 오픈소스 의존성의 패치도 합산됐다는 지적이 나왔다. 여러 결함이 하나의 공격 경로를 이루는지, 연쇄 공격을 차단하는 보완 조치까지 별도 취약점으로 셌는지도 숫자의 의미를 가르는 기준이다.

AI가 오래된 코드에 숨어 있던 결함을 찾는 데 효과적이라는 평가에는 실제 경험이 뒤따랐다. 반복적인 코드 리뷰와 외부 보안 분석, 침투 테스트를 거친 코드에서도 수년간 놓친 문제를 찾아냈다는 사례가 소개됐다. 다만 이번 발표만으로 AI의 기여도를 확정하기는 어렵다. 기존에 쌓여 있던 수정 사항을 한꺼번에 공개했을 수 있고, 일부 집계에는 외부 프로젝트가 발견하고 고친 취약점도 포함됐기 때문이다.

관건은 발견 건수보다 수정 과정의 신뢰성이다. 대규모 패치가 새 결함이나 호환성 문제를 낳지 않으려면 충분한 테스트와 코드 리뷰가 필요하다. AI를 보조 도구로 쓰며 개발자가 결과를 검토하는 방식과, 시스템 전체를 이해하지 못한 채 생성 코드에 의존하는 방식도 구분해야 한다. 반대로 SharePoint, BitLocker, Active Directory처럼 오랜 역사를 지닌 구성 요소의 결함을 모두 최근의 AI 코딩 탓으로 돌리는 해석 역시 근거가 약하다.

패치 총량보다 취약점의 출처와 영향 범위, 실제 악용 여부, 배포 후 회귀 위험을 살펴야 한다. 공격자도 AI로 공개된 결함의 공격 코드를 빠르게 만들 수 있어 발견 속도만으로 보안의 순효과를 판단할 수는 없다. 결국 AI의 성과는 결함을 얼마나 많이 찾았는지가 아니라, 제보와 분석 결과가 담당 엔지니어에게 전달되고 검증된 수정으로 안전하게 배포되는지까지 포함해 평가해야 한다.