[단독분석] 분석 — CVE-2026-50696

• 심각도 high · CVSS 7.5 · EPSS 0.01174 · 악용난이도 moderate

• 원격 네트워크에서 조작된 IKE 패킷을 전송하면 힙 버퍼 오버플로가 발생하고 IKE 서비스(ikeext.exe)가 비정상 종료됩니다.
• 복잡도는 낮고(AV:N/AC:L) 권한·사용자 상호 작용이 필요 없으며, 성공 시 시스템 가용성만 영향을 받습니다.

악용 가능성: 이 취약점은 네트워크를 통해 원격에서 접근 가능하므로(AV:N) 공격자는 인터넷에 노출된 IKE 엔드포인트(UDP 500/4500 등)에 직접 패킷을 전송하면 됩니다. 복잡도가 낮아(AC:L) 특수한 사전 조건 없이 단순히 악의적인 IKE 메시지를 전송하기만 하면 되며, 사전에 권한이 필요하지 않으므로(PR:N) 공격자는 어떠한 계정도 보유하지 않은 상태에서 시도를 할 수 있습니다. 또한 사용자 개입이 요구되지 않으니(UI:N) 자동화된 스크립트로 대량 공격이 가능하다는 점이 난이도를 낮추는 요소입니다. EPSS 값 0.01174(≈1.2 %)는 현재까지 관측된 실제 악용 사례가 적지만, 완전히 배제되지 않는 위험을 시사합니다. KEV에 등재되지 않은 것은 아직 야생에서 성공적인 익스플로잇이 보고되지 않았음을 의미하지만, 이와 같은 원격 DoS 공격은 서비스 가용성을 크게 위협할 수 있습니다. 따라서 노출된 IKE 서비스를 운영 중인 조직은 해당 취약점이 존재하는 제품군을 식별하고, 네트워크 경계에서 접근 제한을 검토해야 합니다.

• 영향 제품: Windows 10 1809‑22H2, Windows 11 24H2‑26H1, Windows Server 2019(및 Server Core) 등 8개 버전이 해당 범위에 포함됩니다.
• 기술적 위험: IKE 서비스가 중단되면 VPN·IPsec 연결이 끊겨 네트워크 통신이 불가능해집니다. 데이터 유출·시스템 장악은 발생하지 않으며, 주된 영향은 서비스 가용성입니다.
• 비즈니스 리스크:
  • 핵심 업무 시스템이나 원격 접속 인프라가 중단될 경우 SLA 위반 및 생산성 저하 위험이 존재합니다.
  • 규제·컴플라이언스 측면에서 서비스 연속성이 요구되는 산업(예: 금융, 의료)에서는 가용성 손실이 법적·재정적 제재로 이어질 수 있습니다.
• 노출 규모: 위 제품군은 전 세계 수억 대의 엔드포인트와 서버에 배포돼 있어 영향 범위가 매우 넓습니다([품질 신호] 참고).

• 추정: 동일한 네트워크 스택에서 발생하는 Heap‑Corruption (CWE‑122) 유형의 다른 버그와 결합될 경우, 초기 DoS 이후 권한 상승이나 코드 실행으로 전이 가능성이 있습니다.
• 추정: IKE 프로토콜을 이용한 패킷 변조(CWE‑787) 공격과 연계하면, 인증 우회 시도가 발생할 수 있으나 현재 관측된 사례는 없습니다.

• 이벤트 로그에서 ikeext.exe 비정상 종료 또는 “IKE negotiation failed”와 같은 오류가 급증하는 경우.
• 네트워크 IDS/IPS에서 비정형 IKE 패킷(비정상적인 길이·구조) 감지 시 알림 생성.
• 시스템 모니터링 도구로 IKE 서비스 CPU 사용량 급등 및 메모리 할당 오류 추적.

• 즉시: Microsoft가 제공한 최신 보안 업데이트를 적용하여 해당 버그를 패치합니다.
• 네트워크 레벨: 신뢰할 수 없는 외부 네트워크에서 IKE(UDP 500/4500) 트래픽을 차단하거나 제한합니다.
• IDS/IPS 규칙: 알려진 변조된 IKE 페이로드를 탐지·차단하도록 시그니처를 배포합니다.
• 장기: 정기적인 패치 관리 프로세스를 강화하고, 중요 서비스에 대한 가용성 모니터링을 자동화하여 이상 징후를 조기에 포착합니다.

※ 본 보고서는 다중 소스 교차검증([교차검증]에서 일관성 확인)과 실측 EPSS 값(0.01174)·규칙 기반 우선순위 결정([우선순위 결정] 논리) 등을 종합해 작성되었습니다. EPSS가 낮음에도 CVSS 7.5와 광범위한 영향 제품군을 고려해 이번 주 내 대응이 권장됩니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.01174 · exploit=moderate · in_scope=None