[단독분석] 분석 — CVE-2026-81963

• 심각도 high · CVSS 7.8 · EPSS 미확보 · 악용난이도 easy · KEV

• 낮은 권한을 가진 사용자가 악성 심볼릭 링크(또는 재해석 포인트)를 생성합니다.
• Windows Update 스택이 파일에 접근하기 전에 해당 링크를 그대로 따라가면서 SYSTEM 권한으로 파일을 읽거나 쓰게 됩니다.
• 사용자 상호작용 없이(Local, Low Complexity, No Interaction) 권한 상승이 완료됩니다.

악용 가능성: 이 취약점은 CVSS 벡터 AV:L/AC:L/PR:L/UI:N 로 정의되므로 공격자는 로컬 환경에서 물리적 혹은 원격 로그인이 이미 된 상태(권한 PR:L)만 있으면, 별도의 사용자 상호작용 없이도( UI:N ) 매우 짧은 단계( AC:L )로 악용할 수 있습니다. 실제로 KEV 데이터베이스에 등재되어 있어, 기존 공격 사례가 보고된 바 있으며 EPSS 값이 제공되지 않아 아직 대규모 자동화 탐지는 확인되지 않았지만, 관측된 실사용 공격이 존재함을 의미합니다. 공격자는 Windows Update 스택이 파일을 열기 전에 심볼릭 링크를 올바르게 해석하지 못하는 취약점을 이용해, 임의의 경로에 배치한 악성 파일을 정규 업데이트 파일처럼 실행시켜 로컬 권한 상승을 달성합니다. 노출된 공격 표면은 Windows Update 서비스가 접근 가능한 디렉터리(예: %SystemRoot%\SoftwareDistribution\Download)와 해당 디렉터리를 참조하는 레지스트리/서비스 설정이며, 별도의 네트워크 포트나 원격 엔드포인트는 필요하지 않습니다. 따라서 공격자는 로컬 관리자 권한이 없더라도 시스템 계정 수준의 특권을 획득할 수 있어 난이도는 “easy”로 평가됩니다. 이와 같은 조건은 내부 위협이나 물리적 접근이 가능한 환경에서 특히 위험하게 작용합니다.

• 기술적 위험: 공격자가 로컬 SYSTEM 계정으로 승격되어 악성 코드를 영구 설치하고 보안 설정을 우회할 수 있습니다. 이는 기밀 데이터 탈취·시스템 무결성 파괴·서비스 중단 등 전반적인 CIA 삼중 영향을 초래합니다.
• 비즈니스 리스크:
  • 기업 내부 네트워크에 연결된 Windows 11 PC(23H2, 24H2, 25H2, 26H1) 다수가 해당 빌드 이하라면 광범위하게 노출됩니다([교차검증] 다중 소스에서 일관성이 확인됨).
  • 시스템 권한을 획득하면 도메인 컨트롤러에 대한 가로채기·횡적 이동이 가능해 규제·컴플라이언스 위반 위험이 증가합니다.
• 노출 규모: 영향을 받는 제품이 8개 버전(다중 빌드)으로 보고된 점은 공급망 차원의 취약점 특성을 시사하며, 기업 환경에서 광범위하게 배포된 Windows 11 업데이트 클라이언트가 대상이 될 수 있음을 의미합니다.

• 경로 조작(링크/재해석 포인트) 기반 권한 상승 취약점과 연계될 가능성이 높으며, 기존에 보고된 Windows Update 또는 파일 시스템 권한 오류(CVE‑예시: symlink 취약점)와 체인하여 지속적인 악성 코드 설치 단계로 확장될 수 있습니다.

• Sysmon EventID 12/13(심볼릭 링크 생성) 및 EventID 1(프로세스 시작)에서 wuauclt.exe·WindowsUpdate.exe가 비정상적인 경로를 접근하는지를 모니터링합니다.
• 파일 감사 정책을 이용해 %SystemRoot%\SoftwareDistribution 등 Windows Update 관련 디렉터리 내 심볼릭 링크 생성 시도를 로깅합니다.
• 낮은 권한 계정이 시스템 디렉터리(예: C:\Windows\System32)에 쓰기 작업을 수행하는 이벤트를 경보로 설정합니다.

• 즉시 조치: Microsoft에서 제공하는 보안 업데이트가 배포되는 즉시 적용하십시오. 현재 패치가 없는 경우, Windows Update 서비스의 인터넷 접근을 차단하고 그룹 정책(GPO)으로 비관리자 계정의 심볼릭 링크 생성 권한을 제한합니다.
• 근본 해결: 보고된 빌드 이하(10.0.22631.7582, 10.0.26100.9445, 10.0.26200.9445, 10.0.28000.2954)에서 최신 버전으로 업그레이드합니다.
• 추가 방어: 최소 권한 원칙을 적용해 로컬 계정의 파일 시스템 권한을 재검토하고, 의심스러운 링크 생성 시도를 탐지·차단하는 EDR 규칙을 배포합니다.

우선순위 판단: CVSS 7.8·KEV 등재·Exploit이 ‘easy’로 평가된 점([실측 악용예측])과 EPSS가 아직 확보되지 않았음에도 불구하고 위험도가 높아 “즉시(24시간 내) 대응”으로 결정되었습니다([우선순위 결정]).

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.8 · KEV · EPSS=미확보 · exploit=easy · in_scope=None