CVE 200개·워머블 제로데이: Microsoft가 증명한 '패치 사이클의 붕괴'

숫자가 아니라 구조가 부서졌다

BleepingComputer 보도에 따르면 Microsoft는 2026년 6월 Patch Tuesday에서 CVE 200개를 단일 업데이트로 처리했다. 역대 Patch Tuesday 최대치다. 이 중 33개가 Critical, 6개가 제로데이, 그리고 1개는 야생에서 이미 악용 중이다.

숫자의 충격보다 더 중요한 건 타이밍이다. 패치 공개 수 시간 만에 보안 연구자 Nightmare Eclipse가 완전히 패치된 Windows 10/11에서 동작하는 PoC를 공개했다. 방어 측이 패치를 배포하기도 전에 공격 도구가 시장에 풀린 셈이다. 이건 단순한 제로데이 사건이 아니다. 월별 패치 모델이 구조적으로 작동하지 않는다는 증거다.

CVE-2026-45657이 특별히 위험한 이유

The Cyber Express가 상세히 분석한 CVE-2026-45657은 CVSS 9.8의 워머블 커널 취약점이다. 이 취약점의 위험성은 세 조건의 조합에서 온다. 비인증으로 동작해 공격자가 자격증명 없이 원격으로 트리거할 수 있고, 커널 레벨에서 익스플로잇 성공 시 SYSTEM 권한 코드가 실행된다. 여기에 워머블 특성이 더해져 감염된 호스트가 네트워크 내 다음 타깃을 자동 탐색한다.

이 세 조건이 겹치면 WannaCry(2017)·NotPetya류의 자율 전파 공격으로 이어진다. 패치가 전사 배포되기 전 단 하나의 노출 엔드포인트만 있으면 내부망 전체가 도미노처럼 쓰러진다.

72시간 안에 200개 — 인간의 처리 한계를 넘었다

Windows News AI의 집계대로 200개 중 33개가 Critical이다. 엔터프라이즈 보안팀의 표준 워크플로우를 생각해보자. 취약점 분류 → 자산 매핑 → 패치 테스트 → 스테이징 배포 → 프로덕션 롤아웃. 이 사이클을 Critical 하나당 최소 4시간으로 잡아도 33개면 132시간이 필요하다. 72시간 대응 권고와 벌어진 간극은 수치로도 명확하다.

더 큰 문제는 분류 자체다. 200개를 빠르게 훑어 진짜 위험한 것과 이론적 위험을 구분하는 작업은 이미 자동화 없이는 불가능한 영역에 진입했다. CVSS 점수도 한계가 있다 — 9.8짜리 CVE가 내부망에만 존재한다면 8.0짜리 인터넷 노출 취약점보다 덜 급하다. 컨텍스트 없는 점수는 노이즈다.

패치 Tuesday는 어디로 가는가

두 가지 방향이 충돌한다.

Microsoft로서는 '월 1회' 배치 모델이 예측 가능성과 IT 운영 부담 간의 균형이었다. 그러나 200개가 한 번에 나온다는 건 내부 누적 속도가 이미 월별 배포 주기를 초과했다는 방증이다. 분기 전략이든 긴급 OOB 패치든 어느 쪽도 현 볼륨을 감당하는 구조가 아니다.

방어 측도 세 가지 전환이 불가피해졌다. 기본값을 '적용 후 검토'로 바꾸는 자동 패치 + 예외 관리 모델이 첫째고, CISA KEV, EPSS, 내부 자산 맥락을 묶은 자동 우선순위 엔진으로 취약점 인텔리전스를 자동화하는 것이 둘째다. 셋째는 제로데이 가정 방어 — 패치 배포 이전에 이미 PoC가 돌고 있다는 전제 하에 네트워크 분리와 최소 권한 원칙을 기본값으로 삼는 것이다.

CVE 200개는 기록이 아니다. 분기 단위 취약점 관리 사이클이 임계점을 넘었다는 데이터 포인트다. 다음 Patch Tuesday가 250개일 때 놀라지 않으려면 지금 자동화 전략을 다시 짜는 것이 맞다.