[단독분석] 분석 — CVE-2026-85880

• 심각도 high · CVSS 7.8 · EPSS 미확보 · 악용난이도 easy · KEV

공격자는 낮은 권한의 계정으로 ALPC(Advanced Local Procedure Call) 인터페이스에 조작된 메시지를 전송하여 힙 버퍼를 오버플로우 시키고, 커널 메모리를 덮어써 SYSTEM 토큰을 획득합니다.

악용 가능성: 이 취약점은 로컬 환경에서 ALPC(Advanced Local Procedure Call) 인터페이스에 접근 가능한 사용자가 Heap‑based buffer overflow 을 트리거하면 권한 상승이 가능한 구조이며, CVSS 벡터 AV:L/AC:L/PR:L/UI:N 은 공격이 “로컬” (L) 네트워크 경계 밖에서 수행되고, “낮은 난이도”(L) 조건과 “신뢰된 사용자”(L) 가 필요함을 의미합니다. 실제 악용 사례가 KEV(Known Exploited Vulnerabilities)에 등재되어 있기 때문에 공격자는 이미 존재하는 툴이나 스크립트를 활용해 손쉽게 취약 코드를 호출할 수 있음을 보여줍니다. EPSS 점수가 제공되지 않아 전 세계적인 발생 확률을 정량화하기는 어렵지만, KEV 등록 자체가 실전에서의 악용 가능성을 강하게 시사합니다. 공격 표면은 Windows 커널이 제공하는 ALPC 소켓·핸들에 제한되며, 해당 엔드포인트는 로컬 프로세스 간 통신에 사용되는 기본 API이므로 일반 사용자 계정에서도 노출될 수 있습니다. 파라미터 수준에서는 취약 함수에 전달되는 버퍼 길이가 검증되지 않아 과다 데이터를 주입하면 힙 메모리 오버플로우가 발생합니다. 따라서 공격자는 로컬 시스템에 로그인한 상태에서 간단히 악성 입력을 전송함으로써 관리자 권한 또는 SYSTEM 권한을 획득할 수 있습니다.

• 기술적 위험

  • 성공 시 로컬 시스템의 전체 권한(SYSTEM)으로 상승 → 악성 코드 실행, 데이터 유출·변조·삭제, 서비스 중단 등 전면적인 시스템 장악이 가능함.
  • 메모리‑손상(Memory‑Corruption) 유형이며, 힙 기반 버퍼 오버플로우이므로 커널 수준에서 임의 코드를 삽입할 수 있음.

• 비즈니스 리스크

  • 가용성: 공격자가 시스템을 완전 제어하면 서비스 중단이나 랜섬웨어 배포가 즉시 발생할 수 있습니다.
  • 무결성·기밀성: 상승된 권한으로 민감 데이터에 접근·수정·유출이 가능해 규제·컴플라이언스 위반 위험이 큽니다.
  • 신뢰도: 내부 사용자 또는 침투 테스트 단계에서 악용될 경우 조직의 보안 신뢰도가 크게 손상됩니다.

• 노출 규모

  • 영향을 받는 제품은 Windows 10 1607, 1809, 21H2, 22H2 등 총 8개의 빌드(예: 10.0.14393.9512 이하, 10.0.17763.9245 이하, 10.0.19044.7725 이하, 10.0.19045.7725 이하)이며, 기업·기관에서 널리 사용되는 버전이 포함됩니다.
  • 다중 소스에서 일관성이 확인됐으며([교차검증] 신뢰도 1.0), 공급망 특성상 광범위한 노출 가능성을 내포합니다.

• 우선순위 판단

  • CVSS 7.8·KEV 등재·익스플로잇 난이도 easy·EPSS 데이터 부재([실측 악용예측])를 종합하여 “즉시(24시간 이내) 대응”이 권고됩니다([우선순위 결정]).

• 메모리 손상 기반 로컬 권한 상승 취약점과 유사하게, 다른 ALPC‑관련 CVE와 체이닝 시 초기 권한 상승 후 추가 원격 코드 실행 모듈을 로드하는 공격 경로가 구성될 수 있습니다.

• ALPC 메시지: 비정상적으로 큰 크기의 ALPC 요청/응답 로그 감시.
• 프로세스 토큰 변동: Event ID 4688(새 프로세스 생성)와 함께 “SYSTEM” 토큰이 부여된 경우 경보 설정.
• 커널 드라이버 로드: 예상치 못한 커널 모듈이 로드되면 Sysmon Event ID 6을 통해 탐지.
• 시그니처 기반: 알려진 악성 ALPC 호출 패턴(예: 특정 함수 ID + 과도한 버퍼 길이)과 일치하는 이벤트를 YARA 등으로 식별.

• 즉시 조치

  • Microsoft가 제공하는 보안 업데이트(패치)를 모든 영향을 받는 Windows 10 빌드에 즉시 적용합니다.
  • 최신 Windows Defender Exploit Guard 및 Controlled Folder Access를 활성화하여 메모리 손상 공격을 차단합니다.

• 근본적 방어

  • 최소 권한 원칙을 적용해 일반 사용자가 ALPC 인터페이스에 접근할 수 없도록 정책 설정.
  • VBS(가상화 기반 보안)·Hyper‑V Guard 등 커널 보호 기능을 활성화하여 메모리 손상 시 악성 코드 실행을 방지합니다.
  • 정기적인 시스템 인벤토리와 패치 관리 프로세스를 통해 향후 유사 취약점에 대한 신속 대응 체계를 유지합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.8 · KEV · EPSS=미확보 · exploit=easy · in_scope=None