🚨 CVE-2026-50656 — Microsoft Defender "RoguePlanet"

Microsoft 맬웨어 보호 엔진의 권한 상승 취약점

⚠️ 교육 및 방어적 보안 연구 전용

📖 개요

CVE-2026-50656은 Microsoft Defender에서 사용되는 Microsoft 맬웨어 보호 엔진에 영향을 미치는 고위험 권한 상승(EoP) 취약점입니다.

RoguePlanet으로 공개적으로 알려진 이 취약점은 **부적절한 링크 확인 문제(CWE-59)**에서 비롯되며, 영향을 받는 Windows 시스템에서 낮은 권한의 로컬 공격자가 권한을 상승시킬 수 있습니다.

속성	값
CVE	CVE-2026-50656
공급업체	Microsoft
제품	Microsoft 맬웨어 보호 엔진
취약점 유형	권한 상승
CWE	CWE-59
CVSS v3.1	7.8 (높음)
공격 벡터	로컬
사용자 상호 작용	없음
공개 여부	예
공개 PoC	예

🎯 영향

성공적인 악용 시 공격자는 다음을 수행할 수 있습니다:

표준 사용자 계정에서 권한 상승
상승된 시스템 권한 획득
제한된 파일에 접근
보호된 시스템 리소스 수정
잠재적으로 전체 시스템 장악 달성

🏹 공격 벡터

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

지표	값
공격 벡터	로컬
공격 복잡성	낮음
필요한 권한	낮음
사용자 상호 작용	없음
기밀성	높음
무결성	높음
가용성	높음

🔬 기술적 세부 사항

취약점 등급

이 취약점은 다음과 같이 분류됩니다:

CWE-59
Improper Link Resolution Before File Access
(Link Following)

이 유형의 취약점은 권한 있는 프로세스가 다음을 사용하여 리디렉션될 수 있는 파일 시스템 개체와 상호 작용할 때 발생합니다:

심볼릭 링크
하드 링크
정션 포인트
재분석 지점

잘못된 검증으로 인해 권한 있는 작업이 공격자가 제어하는 위치로 리디렉션될 수 있습니다.

⚙️ 영향을 받는 구성 요소

Microsoft Malware Protection Engine
mpengine.dll

다음에서 사용됩니다:

Microsoft Defender Antivirus
Microsoft Defender for Endpoint
Microsoft Security Essentials
기타 Microsoft 보안 제품

🧠 공격 흐름

Low Privileged User
        │
        ▼
Create Link/Junction/Reparse Point
        │
        ▼
Trigger Defender Engine Operation
        │
        ▼
Privileged File Access
        │
        ▼
Privilege Escalation
        │
        ▼
SYSTEM-Level Impact

🔍 탐지 기회

Windows 이벤트 로그

다음을 모니터링하세요:

Unexpected privilege escalation events

Defender engine anomalies

Suspicious reparse point creation

Symbolic link abuse

Microsoft Defender XDR

잠재적 탐지 지표:

DeviceFileEvents
| where ActionType contains "FileCreated"
| where FileName endswith ".lnk"

재분석 지점 모니터링

PowerShell:

Get-ChildItem -Path C:\ -Recurse -Force |
Where-Object {
    $_.Attributes -match "ReparsePoint"
}

🛡️ 완화

공식 보안 업데이트가 배포될 때까지:

로컬 액세스 제한

로컬 로그온 권한이 있는 사용자 수를 줄입니다.

엔드포인트 강화

변조 보호(Tamper Protection) 활성화
EDR 활성화
공격 표면 축소 규칙 활성화

파일 시스템 활동 모니터링

다음을 감시하세요:

정션 생성
심볼릭 링크 생성
재분석 지점 수정

공급업체 패치 적용

Microsoft 보안 업데이트가 출시되면 즉시 설치합니다.

🧪 검증 체크리스트

검사 항목	상태
Microsoft Defender 설치됨	✅
맬웨어 엔진 버전 확인됨	✅
최신 보안 업데이트 설치됨	✅
EDR 활성화됨	✅
변조 보호 활성화됨	✅
재분석 지점 모니터링 활성화됨	✅

🔥 위협 모델링

ATT&CK 매핑

기술	ID
권한 상승 악용	T1068
권한 상승 제어 메커니즘 남용	T1548
파일 및 디렉터리 검색	T1083
시스템 정보 검색	T1082

📊 위험 평가

범주	위험
엔터프라이즈 워크스테이션	높음
공유 시스템	높음
VDI 환경	중간
서버	높음
관리형 엔드포인트	중간

🚨 의심스러운 활동 지표

비정상적인 Defender 활동

mpengine.dll
MsMpEng.exe

다음에 대한 예기치 않은 액세스:

C:\Windows\System32\

정션/재분석 지점 남용

dir /AL /S

심볼릭 링크

dir /A:L

📚 참고 자료

Microsoft 보안 대응 센터(MSRC)
CVE 프로그램
MITRE ATT&CK
Microsoft Defender 문서

⚠️ 면책 조항

이 저장소는 다음 목적으로 제공됩니다:

보안 인식
취약점 관리
블루팀 연구
방어적 보안 운영

무단 액세스, 악용 또는 공격적 활동을 위한 것이 아닙니다.

🛡️ 보호 • 탐지 • 모니터링 • 패치

CVE-2026-50656 — RoguePlanet

CVE-2026-50656

인기