[단독분석] 분석 — CVE-2026-9634

• 심각도 미상 · CVSS 미상 · EPSS 0.00091 · 악용난이도 hard

표준 사용자 계정이 시스템 PATH에 포함된 쓰기 가능한 디렉터리에 악성 DLL을 배치하고, 관리자가 RMConfigTool.exe를 실행하면 해당 도구가 경로 탐색 순서대로 DLL을 로드하면서 악성 DLL이 관리자/시스템 권한으로 실행됩니다.

• 기술적 위험: 악성 DLL이 관리자·SYSTEM 권한으로 실행되면 공격자는 전체 시스템 제어, 계정·인증 정보 탈취, 보안 정책 우회 및 지속성 확보가 가능합니다.
• 비즈니스 리스크:
  • 가용성: 시스템 구성 변경이나 서비스 중단을 야기할 수 있어 업무 연속성에 영향을 미칩니다.
  • 규제·컴플라이언스: 권한 상승으로 인한 데이터 무단 접근은 개인정보보호법·PCI‑DSS 등 규정 위반 위험이 있습니다.
  • 신뢰도: 내부 관리 도구가 악용될 경우 조직 내 보안 신뢰도가 크게 저하됩니다.

다중 소스에서 일관성이 확인됐으며([교차검증] 다중 소스 데이터 일관성 확인됨), EPSS 0.00091이라는 실측값은 현재 악용 가능성이 낮지만 존재함을 의미합니다. 비록 EPSS가 낮더라도 “hard” 등급의 exploit 난이도와 관리자 권한 획득 효과를 고려하면, 우선순위는 ‘monitor’ 로 결정되었습니다([우선순위 결정] 논리: CVSS 미상·non‑KEV·EPSS 0.00091·exploit hard).

• 동일한 검색 순서 기반 DLL 하이재킹(예: PATH, AppInit_DLLs 등)과 유사한 패턴이 다른 로컬 권한 상승 취약점에서 관찰됩니다.
• 성공적인 권한 상승 후에는 일반적인 credential‑dumping 도구(Lsass 메모리 접근)나 서비스 설치와 연계될 수 있습니다.

• 프로세스 모니터링: RMConfigTool.exe가 로드하는 모듈 경로를 기록하고, 시스템 PATH 내 비관리자 쓰기 가능한 디렉터리에서 로드된 경우 경고. (예: Sysmon Event ID 7)
• 파일 시스템 감시: 비관리자 계정이 시스템 PATH에 포함된 디렉터리에 DLL 파일을 생성·수정하는 이벤트를 추적.
• 레지스트리/환경 변수 검증: PATH 환경 변수에 쓰기 가능한 경로가 포함되어 있는지 정기적으로 검사.

1. 즉시 조치

   • 시스템 PATH에 포함된 모든 디렉터리의 ACL을 검토·수정하여 관리자/시스템만 쓰기 권한을 갖도록 제한.
   • 필요 없는 쓰기 가능한 경로를 PATH에서 제거하거나, 해당 디렉터리를 별도 보안 구역으로 격리.
   • RMConfigTool.exe 실행 시 최소 권한 계정을 사용하도록 정책 변경(예: RunAs 제한).

2. 근본 해결

   • 공급업체가 제공하는 패치나 업데이트가 발표될 경우 즉시 적용.
   • AppLocker, Windows Defender Application Control 등 애플리케이션 화이트리스트를 도입해 승인되지 않은 DLL 로드 차단.
   • 정기적인 소프트웨어 인벤토리와 서명 검증을 통해 신뢰할 수 없는 모듈이 시스템에 배포되는 것을 방지.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00091 · exploit=hard · in_scope=None