마이크로소프트 2026년 3월 패치 화요일, 77개 취약점 보안 업데이트 공개

마이크로소프트, 77개 취약점 보안 패치 발표

마이크로소프트가 2026년 3월 패치 화요일에 윈도우 운영체제와 기타 소프트웨어의 77개 이상의 보안 취약점을 해결하는 업데이트를 발표했다. 이번 달에는 제로데이 취약점이 없어 februar의 5개와 비교해 상대적으로 안정된 것으로 나타났다. 그러나即便如此, 일부 패치는 신속한 대응이 필요한 것으로 분류됐다.

공개적으로 알려진 취약점 2건

이번 패치에서 마이크로소프트는 두 개의 공개적으로 알려진 취약점을 해결했다. CVE-2026-21262는 SQL Server 2016 이상 버전에서 권한 상승을 허용하는 취약점으로, 인증된 공격자가 네트워크를 통해 sysadmin 권한을 획득할 수 있다. 래피드7의 애덤 바넷은 "이 취약점은 단순히 권한 상승이 아니라, 네트워크 기반 sysadmin 권한 획득이 가능한 심각한 문제"라고 설명했다. CVSS v3 기준 8.8점을 기록했으며, 낮은 권한만 요구된다는 점에서 신속한 패치가 필요한 수준이다.

또 다른 공개 취약점은 CVE-2026-26127으로, .NET 기반 애플리케이션에서 서비스 거부(DoS) 공격을 유발할 수 있는 취약점이다. 공격자는 서비스 재시작 중에 추가 공격을 시도할 수도 있어 주의가 요구된다.

크리티컬 등급 오피스 취약점 포함

이번 패치에는 마이크로소프트 오피스의 원격 코드 실행 취약점도 포함됐다. CVE-2026-26113과 CVE-2026-26110은 미리 보기 창에서 조작된 메시지를 보는 것만으로도 악용될 수 있는 원격 코드 실행 취약점으로, 주의가 필요하다.

특히 주목할 만한 6개 권한 상승 취약점

텐블의 사트남 나랑에 따르면, 이번 달 패치Tuesday의 CVE 중 55%가 권한 상승 취약점으로, 이 중 6개는 "악용 가능성 높음"으로 분류됐다. 주요 취약점은 다음과 같다:

• CVE-2026-24291: 윈도우 접근성 인프라의 잘못된 권한 할당으로 SYSTEM 권한 획득 가능 (CVSS 7.8)
• CVE-2026-24294: SMB 핵심 구성 요소의 인증 오류 (CVSS 7.8)
• CVE-2026-24289: 메모리 손상 및 경쟁 조건 취약점 (CVSS 7.8)
• CVE-2026-25187: 구글 프로젝트 제로에서 발견한 Winlogon 프로세스 취약점 (CVSS 7.8)

AI 에이전트가 발견한 9.8점 critical 등급 취약점

임머시브의 사이버 보안 엔지니어인 벤 맥카시는 CVE-2026-21536을 주목했다. 이 취약점은 마이크로소프트 디바이스 가격 프로그램 구성 요소에서 발생하는 원격 코드 실행 버그로, 이미 마이크로소프트에 의해 패치됐다. 그러나 이 취약점은 AI 에이전트에 의해 발견된 첫 번째 CVE로 기록됐다.

이 취약점은 완전 자동화된 AI 침투 테스트 에이전트인 XBOW에 의해 발견됐다. XBOW는 지난 1년간 해커원 버그 바운티 리더보드 상위권에 지속적으로 이름을 올리고 있다. 맥카시는 "이 취약점은 소스 코드 없이도 AI 에이전트가 9.8점 critical 등급의 복잡한 취약점을 발견할 수 있음을 보여준다"며, "AI 기반 취약점 탐색의 중요성이 커지고 있다"고 강조했다.

"이번 패치는 AI가 보안 취약점을 발견하는 새로운 시대를 열었으며, AI 보조 취약점 연구가 보안 환경에서 차지하는 역할이 점점 커질 것" - 벤 맥카시, 임머시브 사이버 보안 엔지니어