Nightmare Eclipse Didn’t Stop at RoguePlanet. Microsoft Patched It. The Next Two Bugs Dropped Today.

서론

Nightmare Eclipse가 공개했던 Microsoft Defender 권한상승 이슈 RoguePlanet은 이제 CVE가 붙은 취약점으로 정리됐다. Microsoft는 CVE-2026-50656을 Microsoft Defender의 Microsoft Malware Protection Engine 권한상승 취약점으로 등록했고, 관련 보도와 취약점 데이터베이스 기준으로 Microsoft Malware Protection Engine 1.1.26060.3008에서 수정된 것으로 확인된다.

하지만 이 사안은 패치 적용 여부만 확인하고 끝낼 문제가 아니다. Nightmare Eclipse는 2026년 7월 9일 추가 Defender 관련 이슈 2건을 공개했다. 하나는 mpengine.dll 처리 과정에서 8바이트 수준의 정보 유출 가능성을 주장한 건이고, 다른 하나는 Zone.Identifier Alternate Data Stream(ADS) 캐싱 동작을 악용해 디스크 공간을 고갈시킬 수 있다는 DoS성 이슈다.

중요한 구분점이 있다. RoguePlanet은 CVE가 배정되고 Microsoft 패치 버전이 확인된 항목이다. 반면 후속 2건은 현재 공개 연구자 주장 단계이며, 아직 Microsoft 보안 권고나 CVE가 확인되지 않았다. 기업 보안운영팀은 이 차이를 유지한 채 대응해야 한다. 검증되지 않은 내용을 확정 침해처럼 다루면 불필요한 혼선을 만들고, 반대로 연구자 공개 단계라는 이유로 무시하면 Defender 엔진 주변의 실제 운영 리스크를 놓칠 수 있다.

본론

CVE 확정 항목: RoguePlanet, CVE-2026-50656

RoguePlanet은 Microsoft Defender에 포함된 Microsoft Malware Protection Engine, 즉 mpengine.dll 계열 처리 흐름과 관련된 로컬 권한상승 취약점으로 알려져 있다. Microsoft의 CVE 설명은 세부 공격 절차를 공개하지 않지만, 취약점 성격은 낮은 권한을 가진 공격자가 Defender 엔진의 파일 처리 동작을 악용해 더 높은 권한을 얻는 시나리오로 요약된다.

이 취약점의 운영상 의미는 명확하다. 인터넷에서 바로 원격 침투를 만들어내는 취약점이라기보다, 이미 엔드포인트에 코드 실행 기회를 얻은 공격자가 SYSTEM 권한으로 올라가기 위한 후속 단계로 악용할 수 있는 유형이다. 따라서 침해 초기 접근을 완전히 막지 못한 환경에서는 권한상승 차단과 탐지의 우선순위가 높아진다.

현재 우선 확인해야 할 기준은 Microsoft Malware Protection Engine 버전이다. Microsoft Defender가 자동 업데이트를 수행하더라도, 기업 환경에서는 프록시, WSUS, Intune 정책, 폐쇄망 업데이트 지연, VDI 이미지 갱신 누락 때문에 일부 자산이 구버전에 남을 수 있다. 최소 기준은 Malware Protection Engine 1.1.26060.3008 이상으로 잡아야 한다.

운영팀은 다음 PowerShell 명령으로 엔진 버전을 확인할 수 있다.

Get-MpComputerStatus | Select-Object AMEngineVersion, AMProductVersion, AntispywareSignatureVersion, AntivirusSignatureLastUpdated

업데이트 강제 적용이 필요하면 다음 명령을 사용할 수 있다.

Update-MpSignature

대규모 환경에서는 단말별 수동 확인보다 EDR, Microsoft Defender for Endpoint, Intune, Configuration Manager, 자산관리 시스템에서 AMEngineVersion을 수집해 기준 미달 장비를 별도 그룹으로 분리하는 방식이 더 현실적이다.

연구자 공개 단계 항목 1: mpengine.dll 8바이트 정보 유출 가능성

2026년 7월 9일 공개된 첫 번째 후속 이슈는 mpengine.dll에서 제한적인 정보 유출이 가능하다는 주장이다. 공개 설명 기준으로는 약 8바이트 수준의 정보 노출 가능성이 언급된다. 이 정보가 어떤 조건에서 노출되는지, 실제 공격 체인에서 ASLR 우회나 추가 권한상승에 얼마나 유의미하게 연결되는지는 아직 벤더 권고로 확인되지 않았다.

따라서 이 항목은 현재 단계에서 “CVE 미배정 연구자 공개 이슈”로 분류해야 한다. 취약점 관리 시스템에 확정 CVE로 등록하거나 즉시 패치 완료 상태를 요구하기보다는, Defender 엔진 업데이트 상태를 최신으로 유지하고 관련 공개 PoC가 내부 환경에서 재현 가능한지 별도 격리 실험망에서만 검토하는 접근이 적절하다.

SOC 관점에서는 정보 유출 자체보다 “Defender 엔진을 공격 표면으로 삼는 후속 연구가 계속 공개되고 있다”는 흐름이 더 중요하다. 특히 엔드포인트에서 보안 제품 프로세스, 디스크 이미지, ADS, 원격 파일시스템 처리가 공격 체인의 일부로 반복 등장하고 있다는 점을 운영 기준에 반영해야 한다.

연구자 공개 단계 항목 2: Zone.Identifier ADS 캐싱 기반 디스크 고갈 DoS

두 번째 후속 이슈는 Zone.Identifier ADS와 관련된다. Zone.Identifier는 Windows가 다운로드 파일의 출처 정보를 표시하는 데 사용하는 Alternate Data Stream이며, 흔히 Mark of the Web(MoTW) 판단과 연결된다. 연구자 공개 내용은 Defender가 특정 조건에서 Zone.Identifier 스트림을 캐싱하거나 처리하는 과정이 지연될 때 디스크 공간 고갈로 이어질 수 있다는 주장이다.

이 역시 아직 CVE와 Microsoft 보안 권고가 확인되지 않은 항목이다. 다만 운영 리스크는 단순하다. 보안 제품의 검사·캐싱 동작이 비정상적으로 긴 파일 처리, 원격 파일 서버 응답 지연, 비정상 ADS 데이터와 결합될 경우 엔드포인트의 디스크 여유 공간을 빠르게 소모할 수 있다는 점이다. 디스크 고갈은 권한상승보다 덜 치명적으로 보일 수 있지만, 실제 업무 단말과 서버에서는 로그 손실, 업데이트 실패, EDR 이벤트 누락, 애플리케이션 장애로 이어질 수 있다.

이 항목은 “DoS 가능성에 대한 모니터링 강화”로 다루는 편이 맞다. 아직 확정 패치 정보가 없으므로 방화벽 차단이나 Defender 비활성화 같은 과격한 조치를 기본 대응으로 삼아서는 안 된다. 대신 의심 파일 처리 직후 디스크 사용량이 급증하는 단말, Defender 관련 프로세스가 장시간 파일 I/O를 붙잡는 단말, Zone.Identifier 스트림이 비정상적으로 큰 파일을 우선 점검해야 한다.

기업 SOC 대응 체크리스트

1. Defender 엔진 버전 확인

• 전사 Windows 자산에서 AMEngineVersion을 수집한다.
• Microsoft Malware Protection Engine 1.1.26060.3008 미만 장비를 우선 조치 대상으로 분류한다.
• 인터넷 직접 업데이트가 막힌 폐쇄망, VDI 골든 이미지, 장기 미접속 노트북, 서버 템플릿을 별도 확인한다.
• Defender가 비활성화된 장비도 예외 목록으로만 남기지 말고, 대체 EDR 적용 여부와 정책 사유를 확인한다.

2. 업데이트 강제 적용과 재검증

• 기준 미달 장비에서 Update-MpSignature 또는 중앙관리 정책으로 Defender 엔진 업데이트를 강제한다.
• 업데이트 후 AMEngineVersion이 1.1.26060.3008 이상인지 재수집한다.
• 실패 장비는 네트워크 프록시, WSUS 승인 상태, Intune 정책, Windows Update 서비스 상태를 함께 점검한다.
• 패치 완료율은 “업데이트 명령 실행 수”가 아니라 “기준 버전 이상 확인 수”로 보고한다.

3. 권한상승 악용 징후 탐지

• 일반 사용자 세션에서 갑자기 SYSTEM 권한 셸이나 스크립트가 생성되는 이벤트를 우선 탐지한다.
• cmd.exe, powershell.exe, pwsh.exe, wscript.exe, cscript.exe, rundll32.exe가 비정상 부모 프로세스나 Defender 검사 직후 실행되는 흐름을 확인한다.
• 사용자 쓰기 가능 경로인 Downloads, Temp, Pictures, Desktop, 브라우저 캐시 경로에서 디스크 이미지, 스크립트, 의심 바이너리가 함께 등장하는지 점검한다.
• 공개 PoC 이름, Nightmare Eclipse 관련 도구명, RoguePlanet 관련 파일명이 내부 텔레메트리에 남아 있는지 검색한다.

4. 디스크 고갈 DoS 징후 모니터링

• Defender 검사 직후 디스크 여유 공간이 급격히 줄어든 단말을 탐지한다.
• C:\ProgramData\Microsoft\Windows Defender\ 하위 경로와 시스템 임시 경로의 비정상 증가를 모니터링한다.
• Zone.Identifier ADS가 붙은 대량 파일, 원격 공유에서 내려온 파일, 응답이 느린 파일 서버 접근 이력을 함께 본다.
• 디스크 여유 공간 부족으로 Windows Update, Defender 업데이트, EDR 이벤트 전송이 실패한 장비를 우선 복구한다.

5. 운영 정책 보강

• 사용자가 임의로 ISO, VHD, VHDX, IMG 파일을 마운트할 수 있는 업무군과 예외군을 분리한다.
• 원격 SMB 공유에서 직접 실행·마운트되는 파일에 대한 로깅과 차단 정책을 재점검한다.
• Defender 제외 경로를 점검해 사용자 쓰기 가능 경로가 광범위하게 제외돼 있지 않은지 확인한다.
• 취약점 공지와 별개로 Defender 엔진·플랫폼·시그니처 업데이트 상태를 주기적 보안 KPI에 포함한다.

우선순위

가장 먼저 할 일은 CVE-2026-50656 패치 여부 확인이다. 1.1.26060.3008 미만 엔진을 가진 장비는 실제 보안 결함이 남아 있는 상태로 봐야 한다. 두 번째는 권한상승 악용 흔적을 찾는 일이다. RoguePlanet은 로컬 권한상승 성격이므로, 이미 침투된 단말에서 공격자가 후속 권한 확보를 시도했는지 확인해야 한다. 세 번째는 후속 연구자 공개 이슈 2건을 별도 모니터링 항목으로 올리는 일이다. 아직 확정 CVE가 아니므로 패치 SLA로 몰아가기보다, 재현성·벤더 입장·추가 공개 자료를 추적하는 방식이 적절하다.

결론

이번 사안의 핵심은 “Microsoft가 RoguePlanet을 패치했다”에서 끝나지 않는다. RoguePlanet은 CVE-2026-50656으로 추적되는 확정 취약점이고, Microsoft Malware Protection Engine 1.1.26060.3008 이상 적용 여부로 우선 대응할 수 있다. 반면 2026년 7월 9일 공개된 mpengine.dll 정보 유출 가능성과 Zone.Identifier ADS 기반 디스크 고갈 DoS는 아직 연구자 공개 단계다.

보안운영팀은 두 범주를 분리해야 한다. CVE가 확정된 RoguePlanet은 패치 준수와 침해 흔적 점검 대상으로 다룬다. CVE가 없는 후속 2건은 내부 탐지 가설과 운영 모니터링 항목으로 올리되, 벤더 권고가 나오기 전까지 확정 취약점처럼 단정하지 않는다.

Defender는 보호 도구이지만 동시에 높은 권한으로 파일을 해석하고 처리하는 소프트웨어다. 공격자가 이 처리 흐름을 반복적으로 겨냥하고 있다면, 보안 제품 업데이트 상태 자체가 취약점 관리의 핵심 자산 정보가 된다. 이번 주 SOC의 첫 질문은 단순해야 한다. “우리 Windows 자산의 Malware Protection Engine은 지금 1.1.26060.3008 이상인가?”

참고자료

• Microsoft Security Update Guide, CVE-2026-50656: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50656
• CVE.org, CVE-2026-50656: https://www.cve.org/CVERecord?id=CVE-2026-50656
• NVD, CVE-2026-50656: https://nvd.nist.gov/vuln/detail/CVE-2026-50656
• The Hacker News, Microsoft Patches RoguePlanet Defender Flaw That Can Grant SYSTEM Privileges: https://thehackernews.com/2026/07/microsoft-patches-rogueplanet-defender.html
• Dark Reading, Microsoft Reins in RoguePlanet Zero-Day Threat: https://www.darkreading.com/vulnerabilities-threats/microsoft-rogueplanet-zero-day-threat
• Ars Technica, Patch for Windows Defender 0-day could allow attackers to fill hard disk: https://arstechnica.com/security/2026/07/patch-for-windows-defender-0-day-could-allow-attackers-to-fill-hard-disk/

본 콘텐츠는 AI 기술로 생성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하시면 댓글을 통해 소중한 의견 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.