[공격] 분석 — CVE-2026-54129

• 심각도 high · CVSS 7.0 · EPSS 0.00213 · 악용난이도 hard

(1) 트리거 조건: 권한을 가진 로컬 사용자가 Hyper-V 하이퍼바이저와 통신하는 인터페이스를 통해 특정 객체를 생성 후 해제하고, 해당 메모리 영역이 완전히 소멸하기 전 다시 참조하도록 유도하여 Memory-Corruption(UAF)을 발생시킴.

(2) 공격 단계:

• 정찰: 대상 시스템의 Windows 빌드 버전 및 Hyper-V 활성화 여부 확인.
• 초기 접근: 일반 사용자 권한으로 시스템 로그인 (PR:L).
• 실행 및 권한 획득: UAF 취약점을 트리거하여 커널 모드 또는 하이퍼바이저 권한에서 임의 코드 실행 $\rightarrow$ SYSTEM 권한 탈취.
• 지속 및 영향: 고권한을 이용해 보안 솔루션 무력화 및 영속성 확보.

(3) 공격 표면: Hyper-V 가상 머신 워커 프로세스(vmwp.exe) 또는 하이퍼바이저와 통신하는 VMBus, Hypercall 인터페이스가 주요 타겟임. 추정: 특정 가상 장치 드라이버의 I/O 제어 요청(IOCTL) 파라미터 조작을 통해 트리거될 가능성이 높음.

(4) CVSS 벡터 분석:

• AV:L (Local): 네트워크를 통한 직접 공격은 불가능하며, 로컬 쉘 확보가 전제됨.
• AC:H (High): 메모리 레이아웃 예측 및 Race Condition 제어가 필요하여 실전 악용 난이도가 높음(hard).
• PR:L (Low): 인증된 일반 사용자 권한만으로 실행 가능.

악용 가능성: 본 취약점은 AV:L 및 AC:H 벡터가 시사하듯, 공격자가 이미 시스템에 로그인한 상태에서 매우 까다로운 메모리 레이아웃 조작을 성공시켜야 하므로 공격 난이도가 매우 높습니다. 특히 Hyper-V의 가상화 계층 내에서 발생하는 Use-After-Free(UAF) 특성상, 단순히 권한을 가진 사용자가 접근하는 것을 넘어 커널 메모리의 정밀한 Heap Spraying과 Race Condition 타이밍을 맞춰야만 실제 Privilege Escalation으로 이어집니다. EPSS 수치가 0.00213으로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 심각도와 달리 실전에서 무기화된 익스플로잇이 유포되거나 광범위하게 악용될 가능성이 현재로서는 희박함을 의미합니다. 공격 표면은 로컬 사용자가 Hyper-V 가상 머신 관리 인터페이스나 관련 하이퍼바이저 호출(Hypercall) 엔드포인트를 통해 비정상적인 요청을 보내는 지점에 형성됩니다. 결과적으로 이 취약점은 단독으로 외부에서 침투하는 경로가 아니라, 이미 내부 진입에 성공한 공격자가 PR:L 조건을 충족한 상태에서 최종 권한 획득(Privilege Escalation)을 위해 시도하는 고난도의 체이닝 단계로 해석됩니다.

(1) 기술적 위험: 로컬 권한 상승(LPE). 공격자가 일반 사용자에서 최고 권한(SYSTEM/Hypervisor)을 획득함으로써 커널 메모리에 직접 접근하고 시스템 전체를 완전히 장악할 수 있음.
(2) 비즈니스 영향: 가상화 환경의 격리 무결성 파괴. 특히 멀티 테넌트 가상화 서버의 경우, 한 VM에서 호스트 OS로 탈출하거나 다른 VM으로 영향을 줄 수 있는 잠재적 위험이 존재하여 데이터 기밀성 및 시스템 가용성에 치명적임.

• 체이닝 경로: 추정: [초기 침투/Phishing] $\rightarrow$ [일반 사용자 권한 획득] $\rightarrow$ [CVE-2026-54129 (LPE)] $\rightarrow$ [Full System Compromise].
• 유형 수준 분석: Memory-Corruption 계열의 취약점은 단독으로 쓰이기보다, 메모리 주소를 알아내기 위한 'Information Disclosure(정보 유출)' 취약점과 체이닝되어 ASLR/KASLR 방어 체계를 우회하는 패턴을 보임.

(1) 로그 지표: Windows Event Log 중 Hyper-V 관련 서비스의 비정상적 크래시(Event ID 1000, 1001) 및 vmwp.exe 또는 커널 프로세스의 예기치 못한 종료 기록.
(2) 탐지 규칙 예시:

• 로직: Process == "vmwp.exe" AND EventID == Crash/Exception $\rightarrow$ 단시간 내 반복 발생 시 경고.
• SIEM 쿼리 형태: index=windows source="EventLog" EventID=1000 (Message="*Hyper-V*" OR Message="*vsp*" ) | stats count by host, ProcessName
  (3) 오탐 및 튜닝: 하이퍼바이저 업데이트나 시스템 리소스 부족으로 인한 단순 크래시와 구분 필요. 특정 메모리 주소 패턴이나 반복적인 Exception 발생 빈도를 임계값으로 설정하여 튜닝.

• 즉시(긴급 차단): 불필요한 Hyper-V 역할 비활성화 및 가상 머신 관리 권한을 최소한의 신뢰할 수 있는 계정으로 제한. (난이도: 하 / 영향: 기능 사용 불가)
• 단기(완화): EDR/AV의 Memory Protection 기능을 강화하여 커널 메모리 변조 시도를 실시간 감시하고, 비특권 사용자의 하이퍼콜 접근 제어 정책 검토. (난이도: 중 / 영향: 성능 저하 가능성)
• 근본(해결): 영향받는 Windows 10/11 및 Server 2019 버전을 최신 보안 업데이트 버전으로 패치. (Windows 11 24H2 $\ge$ 10.0.26100.8875 등 사실에 명시된 버전 이상으로 업그레이드). (난이도: 하 / 영향: 재부팅 필요)

[파이프라인 근거] 본 분석은 다중 소스에서 일관성이 확인된 데이터를 기반으로 하며, 실측 EPSS 0.00213(백분위 0.11769) 수치를 통해 이론적 심각도(CVSS 7.0) 대비 실제 악용 가능성은 현재 매우 낮음을 확인하였습니다. 이에 따라 KEV 미등재 및 exploit=hard 조건을 반영하여 우선순위를 'scheduled'로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.0 · non-KEV · EPSS=0.00213 · exploit=hard · in_scope=None