11월 패치 화요일 CVE-2026-124194 — 1,094건 중 6.5점 아웃룩 제로데이가 먼저인 이유

마이크로소프트가 2026년 11월 10일(미국 시각) 내놓은 11월 패치 화요일 업데이트는 1,000건이 넘는 취약점을 고쳤지만, 실제 공격에 쓰인 것으로 확인된 것은 아웃룩의 CVE-2026-124194 한 건이다. 시큐리티위크는 전체를 1,094건으로, 텐어블과 사이버시큐리티뉴스는 1,093건으로, 블리핑컴퓨터는 1,235건으로 셌다. 숫자가 얼마든 관리자가 받아 든 질문은 같다. 이 많은 것 중에 무엇을 먼저 고치느냐다.

답은 점수가 가장 높은 것이 아니다. CVE-2026-124194의 심각도는 '보통(Moderate)', CVSS 점수는 6.5점으로 11월 목록에서 유일한 '보통' 등급이다. 그런데도 최우선인 이유는 이미 공격자가 쓰고 있기 때문이다. 11월 9일에는 구글이 크롬의 2026년 여덟 번째 제로데이를 고쳤고, 11월 10일에는 SAP가 CVSS 10.0점짜리 네 건을 포함한 월례 패치를 냈다. 세 회사의 패치가 이틀 사이에 겹쳤다.

1. 무엇을 먼저 패치하나 — 우선순위 표

기준은 두 가지다. 실제 악용이 확인됐는가, 그리고 인터넷이나 외부 입력에 바로 노출되는가. 점수는 그다음이다.

2순위의 마이크로소프트 세 건은 텐어블이 따로 짚은 것들이다. 액티브 디렉터리와 익스체인지 취약점은 인증된 공격자가 네트워크로 코드를 실행할 수 있고, Schannel 취약점은 인증 없이도 원격 코드 실행이 가능하다고 텐어블은 설명했다. 세 건 모두 마이크로소프트의 악용 가능성 평가가 '높음(Exploitation More Likely)'이다. 셰어포인트 CVE-2026-120002는 점수가 9.9점인데 등급은 '중요'로 붙어 있어, 텐어블 표기를 그대로 옮기되 마이크로소프트 권고문으로 다시 확인하기를 권한다.

윈도 쪽 업데이트 번호는 블리핑컴퓨터 보도 기준으로 윈도 11 누적 업데이트가 KB5132061과 KB5131087, 윈도 10 확장 보안 업데이트가 KB5131096이다. 다만 아웃룩 제로데이의 영향 제품은 마이크로소프트 365 앱과 오피스 LTSC이므로, 윈도 업데이트만 설치해서는 이 취약점이 닫히지 않는다. 오피스 업데이트를 따로 확인해야 한다.

하나 더 있다. 시큐리티위크와 NT컴패터블에 따르면 윈도 11 버전 23H2의 엔터프라이즈·에듀케이션 에디션은 2026년 11월 10일 업데이트가 마지막 월례 보안 업데이트다. 이 버전을 쓰는 조직은 패치와 별개로 버전 이전 계획이 필요하다.

2. 아웃룩 제로데이 CVE-2026-124194 — 경고창 하나가 빠졌을 때 생기는 일

마이크로소프트의 분류는 '스푸핑'이고, 약점 유형은 CWE-356, 곧 위험한 동작을 하기 전에 사용자에게 경고하지 않는 것이다. 프로그램을 망가뜨리거나 코드를 실행하는 버그가 아니라, 떠야 할 경고창이 뜨지 않는 버그다.

동작 순서는 이렇다.

NTLMv2 해시는 비밀번호 자체가 아니라 비밀번호로 만든 응답값이다. 그래도 위험한 이유를 마이크로소프트 권고문은 한 줄로 적었다. 이 값이 공격자에게 노출되면 공격자가 그것을 이용해 사용자로 인증할 수 있다는 것이다. 블리핑컴퓨터는 넘어간 해시를 오프라인에서 풀어 비밀번호를 알아낼 수 있고, 그렇게 얻은 자격 증명이 회사 계정 무단 접근으로 이어질 수 있다고 설명했다. 비슷한 NTLM 유출 취약점은 과거에도 피싱 첨부 파일을 통해 악용된 전례가 있다.

점수가 6.5점에 그친 이유는 CVSS 계산 구조에 있다. 마이크로소프트가 붙인 벡터를 보면 네트워크로 공격할 수 있고 권한도 필요 없지만, 사용자 조작이 필요하고(UI:R), 피해는 기밀성(C:H)에만 잡히며 무결성과 가용성 피해는 '없음'이다. 해시 하나가 새는 것 자체는 '정보 노출'로만 계산되고, 그 해시로 무엇을 하는지는 점수에 들어가지 않는다. NT컴패터블은 제로데이 이니셔티브(ZDI)의 더스틴 차일즈가 이 취약점의 영향이 '스푸핑'이라는 이름보다 깊다고 경고했다고 전했다.

패치 전 임시 조치에 대해. 확인한 마이크로소프트 권고문과 보도에는 별도의 완화책이나 우회 설정이 실려 있지 않았다. 소스가 뒷받침하는 사실은 두 가지뿐이다. 미리 보기 창은 공격 경로가 아니라는 것, 그리고 공격이 성립하려면 사용자가 파일을 직접 열어야 하고 네트워크 연결이 있어야 한다는 것이다. 따라서 업데이트를 설치하기 전까지는 예상하지 못한 메일에 딸려 온 메시지 파일을 열지 않는 것이 현실적인 방어다. 관리자가 조직 차원의 NTLM 정책을 손보는 것은 일반적인 강화책이지만, 이번 권고문이 제시한 조치는 아니다.

제보자 가운데 세벤스의 감사 문구에는 앤트로픽의 AI 모델 클로드가 언급돼 있다고 시큐리티위크와 텐어블이 전했다. 어떤 버전을 어떻게 썼는지는 나와 있지 않다.

3. 1,094건, 1,093건, 1,235건 — 숫자가 왜 다르고 왜 이렇게 큰가

같은 업데이트를 두고 숫자가 셋이다.

블리핑컴퓨터의 분류표에는 '마이크로소프트 엣지(크로미움 기반)' 142건이 들어 있고, 이것을 빼면 1,093건이 된다. 긴급 등급이 66건으로 세 건 많은 것도 엣지의 해제 후 사용(use-after-free) 세 건이 포함됐기 때문이다. 즉 차이의 대부분은 크로미움에서 넘어온 엣지 수정분을 세느냐 마느냐다. NT컴패터블은 애저 리눅스와 재게시된 크로미움 수정분을 더하면 1,094건을 훌쩍 넘는다고 적었다. 1,093건과 1,094건의 한 건 차이가 어디서 오는지는 확인하지 못했다.

유형별로 보면 권한 상승이 가장 많다. 사이버시큐리티뉴스 집계(합계 1,093건)는 다음과 같다.

제품별로는 시큐리티위크 기준 윈도 726건, 오피스 174건, SQL 서버 59건, 개발 도구 53건, 셰어포인트 서버 27건, 애저 20건, 익스체인지 서버 9건이다. 텐어블은 구성 요소 단위로 세어 워드 65건, 엑셀 64건이 가장 많다고 집계했다.

왜 이렇게 많은가. 이 질문에 대한 마이크로소프트의 공식 설명은 확인한 소스 어디에도 없었다. 블리핑컴퓨터는 마이크로소프트가 "AI로 취약점을 찾아 고치는 일을 이어 가고 있다"고 서술했지만 이는 매체의 설명이다. 확인된 것은 흐름이다. 10월 패치 화요일은 1,413건(시큐리티위크) 또는 1,411건(블리핑컴퓨터)으로 역대 최대였고, 11월은 그보다 줄었지만 여전히 네 자릿수다. 시큐리티위크는 마이크로소프트가 2026년 들어 고친 취약점이 5,000건을 넘는다고 전했다.

건수가 위험의 크기를 그대로 말해 주지는 않는다. 1,000건 넘는 목록에서 악용이 확인된 것은 한 건이고, 그 한 건은 목록에서 등급이 가장 낮다. 패치 순서를 점수 순으로 정하면 이것이 맨 뒤로 간다.

4. 같은 시기의 다른 패치 — 크롬 여덟 번째 제로데이와 SAP 10.0점 네 건

크롬 CVE-2026-125350. 구글은 11월 9일(미국 시각) 크롬 안정 채널 업데이트를 내고 "CVE-2026-125350의 익스플로잇이 실제로 존재한다는 것을 알고 있다"고 밝혔다. XML 구성 요소의 해제 후 사용 취약점이다. 프로그램이 메모리에서 객체를 지운 뒤에도 그 자리를 가리키는 포인터를 남겨 두었다가 다시 쓰는 버그로, 공격자가 그 빈자리에 자기 데이터를 채워 넣을 수 있다. 익명의 연구자가 11월 6일 제보했고 사흘 만에 패치가 나왔다.

블리핑컴퓨터가 정리한 2026년의 앞선 일곱 건은 CVE-2026-2441(2월), CVE-2026-3909·CVE-2026-3910(3월), CVE-2026-5281(4월), CVE-2026-11645(6월), CVE-2026-87491·CVE-2026-85046(9월)이다. 엣지, 브레이브, 오페라, 비발디 같은 크로미움 기반 브라우저는 각 회사의 업데이트를 따로 기다려야 한다.

SAP 11월 보안 패치 데이. SAP는 11월 10일 새 보안 노트 35건과 깃허브 보안 권고 4건을 내고 기존 노트 3건을 갱신했다. CVSS 최고점인 10.0점이 네 건이다.

웹 디스패처는 SAP 시스템 앞에서 외부 요청을 받아 넘기는 관문이어서 인터넷에 노출된 경우가 많다. 레스카나는 CVE-2026-89126을 조작된 네트워크 트래픽으로 일으키는 힙 기반 버퍼 오버플로로 분류했고, SAP 기록상 코드 실행과 시스템 전체 장악이 가능하다고 전했다. 네 건 모두 실제 악용 보고는 없다. 사이버시큐리티뉴스는 나열된 공격 경로가 사용자 조작을 요구하지 않는다고 적었다.

5. 일반 사용자와 관리자가 각각 할 일

자주 묻는 질문

Q. 6.5점짜리가 왜 8점대, 9점대보다 먼저인가? CVSS는 취약점이 이론적으로 얼마나 심각한지를 재는 점수이고, 실제로 공격에 쓰이고 있는지는 기본 점수에 들어가지 않는다. CVE-2026-124194는 11월 목록에서 마이크로소프트가 악용을 확인한 유일한 항목이다.

Q. 메일을 미리 보기만 해도 당하나? 아니다. 마이크로소프트는 미리 보기 창이 공격 경로가 아니라고 밝혔다. 조작된 파일을 사용자가 직접 열어야 한다.

Q. 윈도 업데이트만 하면 되나? 아웃룩 취약점은 그렇지 않다. 영향 제품이 마이크로소프트 365 앱과 오피스 LTSC 2021·2024이므로 오피스 업데이트가 설치됐는지 따로 확인해야 한다.

Q. 맥 사용자도 해당되나? 크롬 패치는 맥에도 해당된다(157.0.8103.50/.51). 아웃룩 취약점의 영향 제품 목록에서 확인된 것은 32비트·64비트 오피스 LTSC와 마이크로소프트 365 앱이며, 맥용 오피스가 포함되는지는 확인한 소스에 없었다.

6. 남은 것

누가 CVE-2026-124194를 악용했는지, 언제부터였는지, 피해 규모가 어느 정도인지는 공개되지 않았다. 크롬 CVE-2026-125350도 마찬가지로, 구글은 대다수 사용자가 업데이트할 때까지 세부 정보를 제한한다고 밝혔다. 건수가 급증한 원인에 대한 마이크로소프트의 공식 설명, 그리고 1,093건과 1,094건의 한 건 차이도 확인하지 못한 채로 남았다.

제로데이가 왜 따로 취급되는지는 「제로데이란」에서, 점수가 위험 순위와 어긋나는 이유는 「CVSS란」에서, 크롬이 2026년 내내 긴급 패치를 낸 배경은 「타입 혼동 취약점이란」에서 다뤘다. 같은 날 지면의 「파이어웍스 AI 두 번째 해킹」은 패치가 아니라 공급망 쪽에서 터진 보안 사고를 다룬다.