마이크로소프트, 한 달에 950개 이상 취약점 수정…AI가 패치 운영도 가속

마이크로소프트가 공개한 2026년 9월 보안 업데이트는 950개가 넘는 취약점을 수정했다. 올해 들어 회사가 처리한 취약점은 약 2750개로, 약 1250개였던 2020년 연간 기록의 두 배를 넘는다. 이 수치는 소프트웨어 결함이 계속 발견되고 있다는 사실뿐 아니라, 취약점 탐지와 분석, 수정의 전체 주기가 빨라지고 있음을 보여준다.

먼저 대응해야 할 두 가지 제로데이

이번 업데이트에는 실제 공격에 악용되고 있는 제로데이 2건이 포함됐다. CVE-2026-81963과 CVE-2026-85880은 모두 공격자가 윈도우 시스템에서 권한을 높일 수 있게 하는 취약점이다. 전자는 에어버스 헬리콥터와 마이크로소프트 위협 인텔리전스 센터가 독립적으로 신고했고, 후자는 Volexity와 Proofpoint 연구원들이 발견했다.

마이크로소프트가 ‘심각’으로 분류한 취약점은 113건이다. 전체 목록에는 원격 코드 실행 취약점 258건과 권한 상승 취약점 438건도 포함돼 있다. 다만 이런 분류만으로 패치 순서를 정할 수는 없다. 실제로 노출된 자산, 공격 가능성, 업무 중요도, 기존 보안 통제를 함께 평가해야 한다.

AI는 방어와 공격을 모두 빠르게 만든다

보안 업계는 AI 도구가 연구자와 소프트웨어 기업의 취약점 발견 및 분석 속도를 높이고 있다고 보고 있다. 그러나 취약점 수가 늘어난 원인을 AI 하나로 설명해서는 안 된다. 과거에 발견되지 않았던 문제가 더 많이 식별되고 수정된 결과일 수도 있기 때문이다. 반대로 공격자 역시 자동화를 이용해 취약점 발견부터 악용까지 걸리는 시간을 줄일 수 있다.

이에 따라 패치 관리의 핵심 질문은 ‘패치가 있는가’에서 ‘무엇을 먼저, 어떻게 안전하게 적용할 것인가’로 바뀌고 있다. 수백 개의 업데이트가 한꺼번에 배포되면 IT 및 보안팀은 영향을 받는 장비를 파악하고, 실제 악용 여부와 노출 수준을 평가한 뒤, 테스트를 거쳐 단계적으로 배포해야 한다. 서로 연결된 단말, 서버, 업무 시스템에서는 호환성과 롤백 계획도 필요하다.

패치 건수만으로는 위험을 알 수 없다

이번 대규모 수정은 기업이 보안 운영 방식을 다시 설계해야 한다는 점을 보여준다. 취약점 총량만 추적해서는 조직의 실제 위험을 측정하기 어렵다. 고위험 자산의 보완율, 악용이 확인된 취약점의 수정 시간, 발견부터 검증된 배포까지 걸린 시간 등이 더 실질적인 지표가 될 수 있다.

AI는 취약점 분류, 자산 매칭, 배포 후보 선정 등을 지원할 수 있다. 그러나 변경 관리 책임, 테스트, 업무 부서의 검증을 대신할 수는 없다. 기업에 필요한 것은 계속 늘어나는 미처리 목록이 아니라, 우선순위 설정부터 검증, 롤백, 결과 확인까지 반복 수행할 수 있는 패치 운영 체계다.

출처: InfoQ 中文