[단독분석] 분석 — CVE-2026-12410

• 심각도 high · CVSS 7.8 · EPSS 0.00137 · 악용난이도 hard

CCleaner(버전 7.10.1464 이전)에서 언인스톨러가 애플리케이션 데이터 폴더를 삭제할 때 심볼릭 링크·정크션을 따라가는 과정이 존재합니다. 로컬 저권한 사용자가 악의적인 symlink/junction을 미리 생성하면, 언인스톨러가 높은 무결성(관리자 권한)으로 해당 경로를 삭제하면서 SYSTEM 권한을 획득하게 됩니다.

악용 가능성: AV:L·AC:L·PR:L·UI:N 벡터는 공격자가 로컬에서 관리 권한이 낮은 계정으로 직접 실행할 수 있음을 의미합니다. 실제로 이 취약점은 CCleaner가 언인스톨 시 생성된 symlink 또는 junction을 따라가면서 SYSTEM 권한으로 데이터 폴더를 삭제하는 과정에서 발생하므로, 공격자는 로컬 파일 시스템에 임의의 심볼릭 링크만 만들면 됩니다. EPSS=0.00137이라는 실측 확률은 현재 관찰된 악용 사례는 매우 드물지만, 완전히 배제되지 않음을 보여주며, KEV 목록에 등재되지 않은 점은 아직 야생 공격이 보고되지 않았다는 의미입니다. 트리거 조건은 언인스톨 절차 중 사용자가 삭제하고자 하는 애플리케이션의 데이터 폴더 경로를 지정하거나, 해당 폴더가 존재하는 위치에 symlink를 사전 배치하는 것입니다. 노출되는 공격 표면은 Windows 환경에서 CCleaner 7.10.1464 이전 버전을 실행 중인 로컬 시스템이며, 특히 관리자 권한이 없는 일반 사용자 계정에서도 접근 가능한 파일 경로가 대상이 됩니다. 따라서 난이도는 “low”에 가깝지만, 성공 시 SYSTEM 권한 상승이라는 높은 영향으로 인해 위험도가 여전히 존재합니다.

• 기술적 위험: 성공 시 공격자는 LOCAL 계정에서 Windows 시스템 수준의 SYSTEM 권한을 얻어, 임의 코드 실행, 레지스트리 조작, 서비스 설치·중단 등 전역적인 관리 작업이 가능해집니다. 이는 곧 전체 서버 및 워크스테이션 장악으로 이어질 수 있습니다.
• 비즈니스 리스크:
  • 가용성 저하 – SYSTEM 권한을 악용해 중요한 서비스 중단 또는 재시작이 발생할 수 있습니다.
  • 규제·컴플라이언스 위반 – 시스템 수준의 무단 접근은 개인정보 보호법, ISO 27001 등 보안 인증 요구사항을 위반하게 됩니다.
  • 신뢰 손실 – 엔드유저 및 고객에게 소프트웨어 공급자의 보안 관리 부재 인식이 확대될 위험이 있습니다.
• 영향 제품·노출 규모: 영향을 받는 제품은 Windows 환경에 설치된 CCleaner이며, 버전 7.10.1464 이전을 사용하는 모든 엔드포인트가 대상입니다. 정확한 배포 현황은 조직별 조사 필요합니다.

추정: 파일 시스템 경로 조작(예: CWE‑61 “Link Following” 또는 유사 CWE)과 결합된 로컬 권한 상승 패턴이 다른 악성코드·스테가노그래피 도구와 연계될 수 있습니다. 해당 유형의 취약점은 종종 서비스 탈취, DLL 프리로드 공격 등으로 확장됩니다.

• 이벤트 로그에서 CreateSymbolicLink(ID 4663) 또는 DeleteFile이 높은 무결성(관리자/시스템) 컨텍스트에서 비정상적인 경로(예: 사용자 프로필 아래 임시 폴더)와 함께 기록되는 경우.
• CCleaner 언인스톨 로그에 Uninstall 단계 중 삭제 대상 디렉터리가 심볼릭 링크·정크션으로 표시되는 패턴.
• 파일 무결성 모니터링 솔루션에서 시스템 계정이 비시스템 경로를 삭제하는 행위 감지.

1. 즉시 조치: CCleaner를 7.10.1464 이상 버전으로 업데이트하거나, 언인스톨러 기능을 사용하지 않을 경우 해당 실행 파일(CCleanerUninstaller.exe)에 대한 실행 제한 정책(앱 컨트롤)을 적용합니다.
2. 권한 최소화: 표준 사용자에게 시스템 디렉터리 및 C:\ProgramData\CCleaner와 같은 경로에 대한 쓰기·삭제 권한을 부여하지 않도록 파일/폴더 ACL을 재구성합니다.
3. 시스템 방어 강화: Windows Endpoint Detection and Response(EDR)에서 symlink/junction 생성 이벤트를 감시하고, 의심스러운 삭제 작업이 발생하면 자동 차단·경보하도록 정책 설정합니다.
4. 장기적 해결: 공급업체의 보안 패치를 정기적으로 적용하고, 소프트웨어 자산 관리(SAM)를 통해 구버전 CCleaner 설치 여부를 주기적으로 점검합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00137 · exploit=hard · in_scope=None