[단독분석] 분석 — CVE-2026-18262

• 심각도 high · CVSS 7.8 · EPSS 0.0013 · 악용난이도 hard

• 로컬 사용자가 낮은 권한으로 코드를 실행할 수 있어야 함.
• 취약 서비스(RAS RDP Backend Service) 내 노출된 위험 함수에 접근 → 특권 상승 후 SYSTEM 컨텍스트에서 임의 코드 실행.

악용 가능성: CVSS 벡터 AV:L/AC:L/PR:L/UI:N은 공격자가 대상 시스템에 로컬로 접근할 수 있고, 복잡도가 낮으며, 저권한 계정만으로도 실행이 가능하고 사용자 개입이 필요 없음을 의미합니다. 따라서 이 취약점의 난이도는 “hard”로 평가되지만, 실제 악용을 위해서는 먼저 낮은 권한(예: 일반 사용자)으로 코드를 실행할 수 있는 전제조건이 반드시 충족되어야 합니다. EPSS 값 0.0013 %는 현재 관측된 실전 공격 가능성이 매우 낮다는 통계적 근거이며, KEV 목록에 등재되지 않은 점은 아직 공개적인 악용 사례가 보고되지 않았음을 추가로 뒷받침합니다. 공격 표면은 Parallels RAS Client 내부의 RDP Backend Service에서 노출된 위험 함수이며, 해당 서비스는 로컬 시스템 내에서만 통신하는 인터페이스(예: 로컬 포트 혹은 이름 파이프)를 통해 접근할 수 있습니다. 따라서 공격자는 이미 시스템에 저권한 코드 실행 권한을 확보한 뒤, 이 로컬 엔드포인트를 이용해 특수히 crafted 요청을 전송함으로써 SYSTEM 권한으로 권한 상승 및 임의 코드 실행을 달성하게 됩니다. 이러한 전제조건과 노출된 인터페이스가 결합될 때만 실제 악용이 가능하므로, 현 단계에서는 위험도가 “hard”이지만 실전 위협은 제한적이라고 판단됩니다.

• 기술적 결과: 성공적인 공격 시 공격자는 SYSTEM 권한을 획득하고, 파일·레지스트리 조작, 추가 악성코드 설치, 시스템 전역 설정 변경이 가능함. 이는 데이터 유출·랜섬웨어·서비스 중단 등으로 이어질 수 있음.
• 비즈니스 리스크:
  • 가용성 저하 : SYSTEM 권한을 이용해 서비스 거부 혹은 시스템 재시작이 가능.
  • 규제·컴플라이언스 위험 : 민감 데이터 접근 및 변조가 발생하면 개인정보보호법·PCI‑DSS 등 위반 소지가 있음.
  • 신뢰 손실 : 엔드유저와 파트너에게 보안 사고 사실이 알려질 경우 기업 이미지에 부정적 영향.
• 영향 제품·노출 규모: 현재 공개된 정보에서는 영향을 받는 정확한 버전이나 배포 범위가 “미상”이며, 해당 서비스가 설치된 Parallels RAS Client 환경에서만 존재함(다중 소스에서 일관성이 확인됐음). 따라서 노출 규모는 Parallels RAS Client를 운영하는 조직에 한정됨.

• 동일 제품 내 다른 로컬 서비스 권한 상승 취약점과 연계될 경우, 초기 저권한 코드 실행 단계가 생략되어 공격 난이도가 낮아질 가능성이 있음(구체적 CVE 번호는 확인되지 않음).

• Windows 이벤트 로그에서 Event ID 4688 (프로세스 생성)와 함께 ParallelsRASClient 혹은 RDPBackendService가 SYSTEM 권한으로 실행되는 경우.
• 서비스 시작/중단 시점에 비정상적인 서비스 제어 관리자(Scm) 호출 기록 감시.
• Lateral movement 탐지를 위해 “권한 상승” 키워드와 함께 나타나는 Process Creation 이벤트를 SIEM에서 필터링.

• 즉시 조치: 공급업체가 제공하는 패치를 적용하거나, 해당 서비스가 필요하지 않은 경우 비활성화·제거.
• 권한 최소화: 서비스 실행 계정을 가능한 한 낮은 권한으로 재구성하고, 로컬 관리자 그룹에 대한 접근을 제한.
• 실행 방지: AppLocker 또는 Windows Defender Application Control(WDAC) 등 애플리케이션 화이트리스트를 활용해 비인가 코드 실행 차단.
• 모니터링 강화: 위 탐지 항목을 SIEM에 연동하여 실시간 알림 설정 및 정기적인 로그 리뷰 수행.

본 보고서는 다중 소스 교차검증 결과(일관성 확인)와 EPSS 0.0013(악용 가능성 낮음)·우선순위 결정 논리(CVSS 7.8, 비KEV, hard‑level exploit)를 기반으로 작성되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.0013 · exploit=hard · in_scope=None