CVE-2026-50656, 일명 RoguePlanet은 Microsoft Defender가 사용하는 Microsoft Malware Protection Engine의 권한 상승 취약점입니다. 이 엔진은 mpengine.dll로도 언급되며 악성코드 스캔, 탐지, 제거를 담당합니다.1
이 취약점을 이해할 때 중요한 점은 “Defender가 원격에서 바로 뚫린다”가 아니라는 것입니다. RoguePlanet은 초기 침투용 취약점이 아닙니다. 공격자가 이미 PC 안에서 낮은 권한으로 코드를 실행할 수 있을 때, Defender의 파일 처리 과정을 악용해 SYSTEM 권한까지 상승할 수 있는 사후 침해 단계의 취약점입니다.
왜 위험한가
RoguePlanet은 로컬 공격 벡터입니다. 따라서 공격자는 먼저 피싱, 악성 문서, 탈취 계정 등 다른 수단으로 로컬 코드 실행 권한을 확보해야 합니다.
하지만 일단 그 조건이 충족되면 위험도는 커집니다. 이 취약점은 낮은 권한만 필요하고 사용자 상호작용은 필요하지 않습니다.2 CVSS 점수도 Microsoft CNA 기준 7.8, NVD 기준 7.0으로 모두 High 등급입니다.2
취약점의 원인은 파일 접근 전 링크를 부적절하게 해석하는 문제로 분류되며, CWE-59에 해당합니다.2 공개 보고에서는 이를 Microsoft Malware Protection Engine 내부의 TOCTOU 경쟁 조건으로 설명합니다. 즉, Defender가 파일을 확인한 시점과 실제로 사용하는 시점 사이의 짧은 간격을 공격자가 악용하는 방식입니다.
공개 PoC는 Defender의 파일 처리 작업을 방해해 신뢰된 Windows Error Reporting 실행 파일인 wermgr.exe를 공격자 제어 콘텐츠로 교체하는 방식으로 설명됐습니다. 이후 wermgr.exe 실행을 유도해 NT AUTHORITYSYSTEM 권한의 명령 셸을 생성하는 것으로 보고됐습니다.2
패치 확인이 핵심이다
Microsoft는 Malware Protection Engine 1.1.26060.3008에서 RoguePlanet을 수정했습니다.1 Defender는 일반적으로 엔진과 정의 파일을 자동 업데이트하므로 개인 사용자는 대부분 별도 조치 없이 보호될 가능성이 큽니다.3
기업 환경에서는 다르게 접근해야 합니다. “자동 업데이트 대상”이라는 사실만으로는 충분하지 않습니다. 관리 콘솔, EDR, 자산 관리 도구를 통해 실제 엔진 버전이 업데이트됐는지 확인해야 합니다. 특히 인터넷 연결이 제한된 장비, 서버, VDI, 예외 정책이 많은 단말은 업데이트 누락 가능성이 높습니다.
패치 이후의 관찰도 필요합니다. 연구자는 이번 방어 심화 업데이트 이후 특정 SMB 시나리오에서 Defender가 매우 큰 Zone.Identifier ADS를 로컬에 캐시해 디스크를 가득 채울 수 있다고 주장했습니다.1 이는 RoguePlanet과는 다른 성격의 문제지만, 보안 업데이트 뒤에도 운영상 가용성 리스크를 함께 봐야 한다는 점을 보여줍니다.
실무적으로 무엇을 봐야 하나
RoguePlanet이 주는 교훈은 단순합니다. 보안 제품도 공격 표면입니다. Defender처럼 높은 권한으로 동작하는 구성 요소에서는 파일 처리상의 작은 결함도 권한 상승으로 이어질 수 있습니다.
우선 엔진 버전이 1.1.26060.3008 이상인지 확인해야 합니다. 그다음 MsMpEng.exe, wermgr.exe, 예기치 않은 SYSTEM 권한 프로세스 생성을 모니터링하는 것이 좋습니다. 또한 낮은 권한 계정이 임의 실행 파일을 쉽게 실행하지 못하도록 최소 권한 원칙과 애플리케이션 제어를 강화해야 합니다.
RoguePlanet 대응의 결론은 “패치했다”에서 끝나지 않습니다. 패치가 실제로 배포됐는지 확인하고, 권한 상승 시도나 비정상 프로세스 실행을 탐지할 수 있는 체계를 갖추는 것이 핵심입니다.
1Microsoft Patches RoguePlanet Defender Flaw That Can Grant SYSTEM Privileges
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.