CVE-2026-21509 — 방어자 가시성을 위한 교육용 더미 PoC

⚠️ 이 저장소는 무해하고 비악용적인 Proof of Concept을 제공합니다.
그 목적은 방어 연구, EDR/AV 가시성 테스트, 교육을 지원하는 것입니다.
CVE‑2026‑21509를 악용하지 않으며 더미 OLE 아티팩트만 포함합니다.

📝 개요

이 저장소는 Microsoft Office 보안 기능 우회 취약점인 CVE‑2026‑21509와 관련된 구조적 마커를 시뮬레이션하는 교육용 PoC를 포함합니다.
이 PoC는 원격 분석, 샌드박스 분석, EDR 규칙 검증, SOC 교육을 위한 더미 임베디드 OLE 구성 요소가 포함된 무해한 DOCX 파일을 생성합니다.

이 저장소의 어떤 것도 악의적이지 않습니다.
코드 실행, 악용 체인, 유해한 개체가 없습니다.

📌 CVE‑2026‑21509 정보

CVE‑2026‑21509는 보안 결정에서 신뢰할 수 없는 입력에 의존하여 발생하는 Microsoft Office의 보안 기능 우회 취약점으로, 인증되지 않은 공격자가 사용자가 악성 문서를 연 후 로컬에서 OLE 보호를 우회할 수 있게 합니다. 1

이 취약점:

Microsoft Office 및 Microsoft 365 Apps의 OLE 완화 조치 우회를 허용합니다. 2
사용자 상호 작용이 필요합니다(피해자가 파일을 열어야 함). 2
미리 보기 창은 공격 벡터가 아닙니다. 2
CVSS v3.1 점수는 7.8(높음) 입니다. 1
CISA KEV(알려진 악용 취약점) 카탈로그에 포함되어 있습니다. 1

영향을 받는 제품군

Microsoft 및 여러 권고에 따르면 다음 제품이 영향을 받습니다:

Office 2016
Office 2019
Office LTSC 2021
Office LTSC 2024
엔터프라이즈용 Microsoft 365 Apps 2

🎯 이 PoC의 목적

이 프로젝트는 오직 다음을 위해 존재합니다:

블루 팀이 OLE와 관련된 Office 파일 구조를 이해하도록 돕습니다.
다음을 테스트할 안전한 샘플을 제공합니다:
- EDR 탐지
- ASR(공격 표면 축소) 규칙
- MOTW/보호된 보기 동작
- 샌드박스 분석 워크플로우
SOC 분석가를 문서 기반 위협 헌팅에 교육합니다.

다시 말하지만:

❗ 이 PoC는 CVE‑2026‑21509를 악용하지 않습니다.
학습 및 탐지 테스트를 위한 무해한 구조적 패턴만 시뮬레이션합니다.

🔍 7‑Zip으로 DOCX 검사하기

7‑Zip을 사용하여 생성된 파일을 분석할 수 있습니다:

파일을 마우스 오른쪽 버튼으로 클릭 → 아카이브 열기(7‑Zip)
내부 ZIP 구조 검사:
- word/document.xml
- word/_rels/document.xml.rels
- word/embeddings/ (더미 oleObjectX.bin)
오프라인 분석, 시그니처 개발 등을 위해 추출합니다.

이는 방어자가 위험 없이 Office 문서 내부의 개체 관계를 이해하는 데 도움이 됩니다.

🧪 블루 팀 / EDR 체크리스트

격리된 환경에서 더미 DOCX를 열 때 다음을 관찰하세요:

OLE 관계를 읽을 때 Office의 동작
COM/OLE 정책 검사와 관련된 레지스트리 액세스
ASR 규칙 트리거
다음에 대한 EDR 원격 분석:
- OLE 개체 파싱
- Office 신뢰 정책 평가
- 보호된 보기 전환
- 예기치 않은 모듈 로드

Microsoft의 권고 및 CVE‑2026‑21509 분석에서 설명된 OLE/COM 동작 패턴을 참조하세요. 3

🔧 완화 조치(실제 취약점 맥락)

Microsoft는 다음을 발표했습니다:

여러 Office 버전에 대한 긴급 패치. 2
Office 2021+에 대한 서비스 측 보호(재시작 필요). 2
패치가 배포될 때까지 Office 2016/2019에 대한 임시 레지스트리 기반 COM 킬 비트 완화 조치. 2

CISA는 조직이 KEV 카탈로그에 명시된 기한까지 완화 조치를 적용하도록 요구합니다. 1

⚖️ 법적 및 윤리적 고지

격리된 실험실 환경에서만 사용하세요.
프로덕션 사서함이나 엔드포인트에 파일을 보내지 마세요.
관리자는 오용에 대해 책임을 지지 않습니다.
이 PoC에는 악성 페이로드, 악용 체인, 유해한 로직이 포함되어 있지 않습니다.

📚 참고 자료

NVD CVE‑2026‑21509 항목 1
BleepingComputer 긴급 패치 분석 2
TechRepublic OLE 우회 심층 분석 3
SecurityWeek 악용 개요 4

📄 라이선스

이 프로젝트는 연구 및 교육 목적으로만 제공됩니다.

CVE-2026-21509-PoC

인기