4월 마지막 주 지금 당장 패치해야 할 취약점들(Microsoft Defender 제로데이 포함)

4월 마지막 주 지금 당장 패치해야 할 취약점들(Microsoft Defender 제로데이 포함)

4월이 끝나간다. 그런데 이번 달 나온 취약점 중 아직 조치하지 않은 게 있다면 지금이 마지막 기회다.

4월 마지막 주 CISA는 KEV(Known Exploited Vulnerabilities) 목록에 여러 건을 추가했다. Microsoft Defender 제로데이가 포함됐고, Samsung MagicINFO, D-Link 라우터 취약점도 올라왔다. CISA KEV는 단순한 목록이 아니다. 이미 공격자들이 실제로 쓰고 있다는 뜻이다.

Microsoft Defender 제로데이 — 무엇이 위험한가

이번에 확인된 Microsoft Defender 취약점은 SAM(Security Account Manager) 데이터베이스 접근을 허용하는 권한 상승 버그다. 일반 계정으로 시스템에 발판을 잡은 공격자가 이 취약점을 이용하면 로컬 계정 해시 전체를 덤프할 수 있다.

현실적인 공격 시나리오는 이렇다. 피싱 메일로 일반 직원 PC에 악성코드가 심어진다. 공격자는 거기서부터 Defender 취약점으로 관리자 권한을 확보하고 내부망을 횡방향 이동한다. 엔드포인트 보안 솔루션이 오히려 공격 경로가 되는 아이러니한 상황이다.

Microsoft는 패치를 배포했지만, 세 개의 제로데이 중 두 개는 아직 패치가 나오지 않았다. 완화 방법은 권한 최소화와 SAM 데이터베이스 접근 통제다.

CISA KEV 4월 추가 목록 — 한눈에 보기

SimpleHelp는 원격 지원 도구다. 국내에서는 많이 쓰이지 않지만, 외국 MSP(관리형 서비스 제공업체)나 IT 지원팀이 쓰는 곳이 있다면 바로 확인해야 한다.

Samsung MagicINFO 9은 디지털 사이니지 관리 서버다. 은행, 유통, 병원 등 공공 장소 화면을 관리하는 서버인데, 국내 설치 사례가 적지 않다. 원격 코드 실행이 가능한 취약점이고 CISA KEV에 올라왔다는 건 실제 익스플로잇이 유통되고 있다는 의미다.

Apache ActiveMQ CVE-2026-34197은 4월 신규 추가 건이다. 메시지 브로커를 쓰는 금융, 물류, 제조업 환경에서 ActiveMQ는 백엔드 인프라에 깊이 박혀있는 경우가 많다. 패치 적용이 느릴 수밖에 없는 구조인데, 이미 공격자들이 스캔을 돌리고 있다.

이번 주에 특히 주목할 것: FIRESTARTER 백도어

단순 취약점 패치 얘기만은 아니다. 이번 주 연방 기관의 Cisco Firepower 장비에 FIRESTARTER라는 백도어가 심어진 사고가 보고됐다. 이 백도어의 특이점은 보안 패치를 적용해도 살아남는다는 것이다. 펌웨어 레벨에서 지속성을 유지하는 구조로 분석됐다.

국내에서 Cisco Firepower를 쓰는 기업이라면 단순히 패치만 하는 것으로 끝나지 않는다. 장비 설정 파일 무결성 검증, 예상치 못한 외부 통신 여부 확인이 필요하다.

레드팀 운영 경험에서 보면, 네트워크 장비 레벨의 백도어는 탐지가 매우 어렵다. 로그가 남지 않거나 정상 트래픽처럼 위장된다. 인프라 장비를 너무 오래 "믿고" 방치하는 조직에서 이런 사고가 난다.

4월 취약점 대응 우선순위 판단 기준

취약점이 쏟아질 때 뭘 먼저 해야 할지 판단하는 기준은 간단하다.

즉시 패치 (48시간 내)
- CISA KEV에 올라온 항목 중 우리 환경에서 쓰는 것
- 인터넷 직접 노출된 서비스의 원격 코드 실행 취약점
- 인증 없이 접근 가능한 관리 인터페이스 취약점

단기 대응 (2주 내)
- 내부망 서비스의 권한 상승 취약점
- 이미 패치가 나왔지만 운영 일정상 바로 적용이 어려운 경우

완화 조치 우선 (패치 전까지)
- 아직 패치가 나오지 않은 제로데이 — 접근 제어 강화, 모니터링 강화
- 벤더 지원이 끝난 레거시 장비 — 세그멘테이션으로 격리

ISMS-P 인증 조직이라면 취약점 관리 정책에 CISA KEV 기준을 반영하는 것이 점점 현실적인 기준이 되고 있다.

현재 우리 서비스 노출 여부 자가 점검

웹서비스 운영 중이라면
- 외부에 노출된 관리자 페이지가 있는가 (MagicINFO, ActiveMQ 관리 콘솔 등)
- 오픈소스 메시지 브로커를 기본 포트로 외부 노출하고 있는가
- 최근 3개월 이내 웹 취약점 점검을 받은 적이 있는가

엔드포인트/인프라라면
- Microsoft Defender를 쓰는 Windows 서버/PC에 4월 누적 업데이트가 적용됐는가
- Cisco Firepower를 쓴다면 설정 파일 무결성을 최근 확인했는가
- 인터넷 연결 네트워크 장비의 펌웨어 버전이 최신인가

이 중 확신하지 못하는 항목이 하나라도 있다면 지금이 확인할 타이밍이다.

4월을 어떻게 마무리하느냐가 5월 사고율을 결정한다

매달 취약점이 나오고 매달 패치가 나온다. 문제는 적용 속도다. 공격자들이 취약점 공개 후 수 시간 내로 익스플로잇을 개발하는 반면, 기업의 패치 주기는 보통 수 주다. 이 간격이 사고가 나는 구간이다.

외부에 노출된 서비스부터 점검하는 게 순서다. SENTRIX가 운영하는 CodeScan은 지금 운영 중인 웹서비스를 외부에서 자동으로 점검한다. 보안 헤더·인증서·노출된 파일과 경로·불필요하게 열린 포트와 서비스를 30초 안에 확인할 수 있다. SQL 인젝션·인증 우회처럼 직접 공격해 봐야 아는 취약점은 수동 진단 영역이다.

취약점 패치와 함께 서비스 보안 상태를 확인하는 것이 4월 마무리의 기본이다.

지금 무료로 보안 점검하기 → codescan.kr

더 복잡한 인프라 보안 점검이나 ISMS-P 대응이 필요하다면 SENTRIX 전문가 상담으로 이어진다.

전문가 상담 → sentrix.co.kr/contact

출처: CISA Known Exploited Vulnerabilities Catalog (2026-04-25 업데이트), SecurityWeek "Microsoft Defender Zero-Day Under Active Exploitation" (2026-04-24), SecurityWeek "Federal Cisco Firepower Infected with Persistence-Capable FIRESTARTER Backdoor" (2026-04-23)