Pwn2Own은 참가자들이 실제 제품의 취약점을 찾아 시연하고, 제조사가 이를 넘겨받아 수정하도록 설계된 해킹 대회입니다. 여기서 다뤄지는 제로데이는 아직 공식 패치가 나오지 않은 취약점을 뜻합니다.
Pwn2Own Berlin 2026은 5월 14일부터 16일까지 OffensiveCon에서 열립니다.1 둘째 날 참가자들은 Windows 11, Red Hat Enterprise Linux, Microsoft Exchange 등에서 15개의 고유 제로데이를 악용해 총 38만5,750달러를 받았습니다.1
하지만 핵심은 상금 규모나 취약점 개수가 아닙니다. 널리 쓰이는 운영체제와 서버 제품이 패치가 나오기 전에도 공격자 관점에서 계속 검증되고 있다는 점입니다.
제로데이는 예외가 아니라 운영 리스크다
제로데이는 특별한 사건처럼 보이지만, 기업 보안에서는 상시 관리해야 할 위험에 가깝습니다. 공식 패치가 나오기 전까지는 기존 탐지 규칙이나 백신만으로 대응하기 어렵고, 공격 여부를 사전에 확신하기도 어렵습니다.
이번 대회에서 Cheng-Da Tsai, 일명 Orange Tsai는 Microsoft Exchange에서 SYSTEM 권한의 원격 코드 실행을 달성해 20만 달러를 받았습니다.1 원격 코드 실행은 공격자가 대상 시스템에서 임의의 코드를 실행할 수 있다는 뜻입니다. 여기에 SYSTEM 권한까지 결합되면 서버 장악에 가까운 위험으로 봐야 합니다.
Exchange 같은 핵심 서버는 외부와 연결되는 경우가 많고, 침해 시 조직 전체의 인증·메일·내부 통신으로 영향이 확산될 수 있습니다. 따라서 이런 시스템은 단순히 “패치가 나오면 적용한다”는 수준이 아니라, 자산 식별과 노출 관리, 우선순위 지정이 함께 이뤄져야 합니다.
상금은 공격의 ‘현실적 영향’을 읽는 단서다
Pwn2Own의 상금은 단순한 순위표가 아닙니다. 어떤 제품과 취약점 유형이 더 큰 영향을 줄 수 있는지 가늠하게 해주는 신호에 가깝습니다.
예를 들어 Siyeon Wi는 Windows 11의 정수 오버플로 취약점을 악용해 7,500달러를 받았습니다.1 정수 오버플로는 계산 값이 허용 범위를 넘어가면서 예기치 않은 동작을 일으키는 취약점입니다. Ben Koo는 Red Hat Enterprise Linux for Workstations에서 루트 권한 상승에 성공해 1만 달러를 받았습니다.1 권한 상승은 낮은 권한의 사용자가 관리자급 권한을 얻는 공격입니다.
이런 취약점은 겉으로는 원격 서버 공격보다 덜 치명적으로 보일 수 있습니다. 그러나 실제 침해 사고에서는 최초 침투 이후 내부 이동, 권한 상승, 지속성 확보가 이어지는 경우가 많습니다. 운영체제 취약점은 단독 사건이 아니라 공격 체인의 일부로 이해해야 합니다.
대응의 기준은 ‘패치 전에도 버티는가’다
Pwn2Own 같은 대회의 가치는 취약점을 공개적으로 소비하는 데 있지 않습니다. 취약점을 통제된 방식으로 제조사에 전달하고, 패치로 이어지는 경로를 만드는 데 있습니다.
조직이 여기서 얻을 교훈은 실무적입니다.
인터넷에 노출된 Exchange 같은 핵심 서버는 별도 자산 목록과 패치 우선순위를 가져야 합니다.
Windows와 Linux 워크스테이션도 “내부망이라 안전하다”는 전제로 방치해서는 안 됩니다.
패치 전 기간에는 권한 최소화, 계정 보호, 로그 모니터링이 핵심 방어선이 됩니다.
운영체제 취약점은 최초 침투 이후의 권한 상승과 내부 확산 가능성까지 포함해 평가해야 합니다.
Pwn2Own Berlin 2026의 결과는 “또 뚫렸다”는 뉴스에 그치지 않습니다. 우리가 매일 쓰는 기본 소프트웨어가 패치 이전 단계에서도 공격 가능성을 시험받고 있다는 알림입니다.
보안의 기준은 패치가 나온 뒤 얼마나 빨리 적용하느냐에만 있지 않습니다. 패치가 나오기 전에도 피해를 제한하고, 이상 징후를 발견하며, 핵심 자산을 우선 보호할 수 있는 구조를 갖췄는지가 더 중요합니다.
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.