[분석가] 분석 — CVE-2026-40400

• 심각도 high · CVSS 8.0 · EPSS 0.00701 · 악용난이도 hard

• PowerShell 모듈/스크립트가 입력값을 검증하지 않고 ..\ 같은 상대 경로를 받아들인다.
• 인증된 사용자 계정이 해당 파라미터에 조작된 값을 전달하면, Invoke-Expression·Start-Process와 결합해 UNC 경로(\\attacker\share\payload.ps1)의 스크립트를 로드·실행할 수 있다.
• CVSS 벡터 UI:R 때문에 사용자의 직접적인 입력(예: 파일 선택 또는 명령 실행)이나 사회공학적 유도 없이 자동화된 공격은 어려우며, 인증이 전제된다(PR:L).

악용 가능성: AV:N/AC:L/PR:L/UI:R 벡터는 공격자가 네트워크를 통해 직접 접근할 수 있으며, 취약점 이용에 필요한 조건이 “낮은 복잡도”(L)와 “제한된 권한”(L)으로 비교적 단순함을 의미합니다. 다만 UI:R 은 최종 사용자의 조작(예: 악성 스크립트가 포함된 파일을 열도록 유도)이 필요하므로, 공격 성공에는 사용자 협조가 필수적인 단계가 존재합니다. EPSS = 0.00701 로 매우 낮은 실측 위험 점수를 보이고 있어 현재 야생에서의 악용 사례는 거의 관측되지 않았으며, KEV에 등재되지 않은 점도 이를 뒷받침합니다. 그러나 취약점이 Windows PowerShell 의 상대 경로 탐색을 통해 원격 코드 실행을 가능하게 하므로, 공격자는 네트워크에 노출된 PowerShell 엔드포인트(예: WinRM, SSH‑over‑PowerShell)와 파일 시스템 경로 파라미터를 조작해 악성 명령을 삽입할 수 있습니다. 이러한 엔드포인트는 일반적으로 기업 내부 서버나 클라우드 인스턴스에 널리 배포되어 있어 공격 표면이 광범위합니다. 따라서 “난이도는 낮지만 사용자 상호 작용이 필요하고, 실제 악용 가능성은 현재 낮다”는 평가가 타당합니다.

• 기술적 위험
  • 성공 시 임의 PowerShell 스크립트가 시스템 권한으로 실행되어 전체 OS 장악·서비스 중단·추가 악성 페이로드 배포가 가능함.
  • 내부 네트워크에 SMB(445) 혹은 WinRM(5985/5986)이 열려 있는 경우, UNC 경로를 이용해 다른 호스트로 횡적 이동(Lateral Movement)할 수 있음.
• 비즈니스 리스크
  • 가용성: 악성 스크립트가 핵심 서비스 프로세스를 종료하거나 시스템 재부팅을 유발하여 업무 중단 위험.
  • 규제·컴플라이언스: 무단 데이터 접근·변경이 발생하면 GDPR, HIPAA 등 개인정보 보호법 위반 가능성이 존재함.
  • 신뢰 손실: 내부에서 PowerShell 기반 RCE가 탐지될 경우 파트너와 고객의 신뢰도가 하락할 우려.
• 노출 규모
  • 영향을 받는 제품이 Windows 10(버전 1607, 1809, 21H2, 22H2), Windows 11(버전 24H2, 25H2, 26H1) 및 Windows Server 2012 등 총 8개 버전에 걸쳐 있어 기업·공급망 전반에 광범위하게 존재함.
  • 다중 소스에서 일관성이 확인됐으며(교차검증), EPSS 0.00701은 현재 실제 악용 사례가 매우 드물지만, CVSS 8.0·high 심각도를 고려하면 대응이 필요함.

• 추정: 동일 CWE‑22(경로 탐색) 유형의 파일 인코딩 우회 취약점과 결합될 경우 초기 접근을 강화할 수 있음.
• 추정: 인증 우회(CWE‑285)와 연계하면 권한 상승 경로가 추가되어 전체 공격 체인이 완성될 가능성이 존재함. (구체적인 CVE 번호는 확인되지 않음)

• PowerShell 스크립트 블록 로깅(Microsoft-Windows-PowerShell/Operational)에서 ..\ 혹은 /../ 패턴이 포함된 이벤트를 모니터링.
• powershell.exe·pwsh.exe 프로세스가 SMB(445) 또는 WinRM 포트(5985/5986)로 외부 IP에 연결 시 경보 생성.
• 파일 시스템 접근 감사(AuditObjectAccess)에서 상대 경로를 이용한 CreateFile/OpenFile 호출이 기록되는지 확인.

1. 패치 적용 – Microsoft가 제공하는 최신 보안 업데이트(CVE-2026-40400 포함)를 즉시 배포하고, 지원 종료 버전은 OS 업그레이드.
2. PowerShell 제한 – Constrained Language Mode 활성화, ExecutionPolicy를 AllSigned 또는 RemoteSigned로 설정.
3. 권한 최소화 – 서비스·스크립트 계정에 파일 시스템 및 네트워크 공유 접근 권한을 최소화하고 불필요한 SMB/WinRM 포트를 차단.
4. 감사·모니터링 강화 – 스크립트 블록 로깅 및 객체 접근 감사를 전역으로 활성화하여 경로 탐색 시도를 실시간 수집·분석.
5. 네트워크 방어 – 내부 IDS/IPS에 “PowerShell + UNC path” 패턴 규칙을 추가하고, 외부 SMB 트래픽은 기본 차단 정책 적용.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.0 · non-KEV · EPSS=0.00701 · exploit=hard · in_scope=None