CVE-2026-21509 완화 스크립트

번체 중국어 버전: README_zh-TW.md

개요

이 스크립트는 실제 공격에 악용된 CVE-2026-21509(Microsoft Office 보안 기능 우회 취약점)로부터 보호하기 위해 레지스트리 기반 완화 조치를 적용합니다.

CVE ID: CVE-2026-21509
심각도: 중요
영향: 보안 기능 우회
영향을 받는 제품: Microsoft Office 2016 및 2019

취약점 세부 정보

• 공격 벡터: 로컬
• 사용자 상호 작용: 필요
• CVSS 점수: 7.8(기본) / 7.2(시간적)
• 악용 상태: 실제 공격에서 악용됨

중요 참고 사항

스크립트를 실행하기 전에 다음 사이트를 방문하십시오: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21509 보안 업데이트 섹션에서 사용 중인 Office 버전과 일치하는 다운로드 링크가 있는지 확인하십시오.

이 스크립트가 필요한 사용자

• Office 2016 및 2019 사용자: 보안 업데이트를 설치하기 전에 이 완화 조치가 필요합니다.
• Office 2021 이상: 이미 보호됩니다. 조치가 필요하지 않습니다.

임시 완화 조치입니다

이 레지스트리 변경은 즉각적인 보호를 제공하지만 공식 보안 업데이트를 대체하지는 않습니다. 가능한 한 빨리 보안 업데이트(KB5002713)를 반드시 설치해야 합니다.

포함된 파일

1. CVE-2026-21509_Mitigation.ps1 - 레지스트리 키를 적용하는 PowerShell 스크립트
2. Apply_CVE-2026-21509_Mitigation.bat - 배치 실행기(실행하기 더 쉬움)
3. README.md - 이 파일

사용 방법

방법 1: 배치 파일 사용(권장)

1. Apply_CVE-2026-21509_Mitigation.bat을 마우스 오른쪽 버튼으로 클릭
2. "관리자 권한으로 실행" 선택
3. 화면의 정보를 주의 깊게 읽기
4. "완화 조치를 계속하시겠습니까? (y/N)" 프롬프트가 표시되면:
   • 계속하려면 y 또는 Y를 입력하고 Enter 키를 누름
   • 취소하려면 다른 문자를 입력하거나 Enter 키를 누름
5. 계속하면 스크립트가 바탕 화면에 레지스트리 백업을 생성합니다
6. 완료 후 모든 Office 응용 프로그램을 다시 시작합니다

방법 2: PowerShell 직접 실행

1. 관리자 권한으로 PowerShell 열기
2. 스크립트 디렉터리로 이동
3. 실행: Set-ExecutionPolicy Bypass -Scope Process -Force
4. 실행: ./CVE-2026-21509_Mitigation.ps1
5. 프롬프트에 따라 확인
6. 완료 후 모든 Office 응용 프로그램을 다시 시작합니다

스크립트가 수행하는 작업

스크립트는 변경 사항을 자세히 설명하고 적용 전에 확인을 요청합니다. 흐름은 다음과 같습니다:

1단계: 정보 및 확인

1. 취약점 정보 표시

   • CVE ID, 심각도, 악용 상태
   • 영향을 받는 Office 버전

2. 계획된 작업 나열

   • 레지스트리 백업 위치
   • Office 설치 유형 감지
   • 추가할 레지스트리 경로 및 값
   • 중요 알림

3. 확인 요청

   • 프롬프트: "완화 조치를 계속하시겠습니까? (y/N)"
   • y 또는 Y는 계속, 다른 것은 취소

2단계: 변경 사항 적용(확인 후에만)

1. [1/4단계] 바탕 화면에 레지스트리 백업 생성
2. [2/4단계] Office 구성 감지(32비트/64비트, MSI/Click-to-Run)
3. [3/4단계] 적절한 위치에 레지스트리 키 적용:
   • MSI Office: HKLM\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility
   • Click-to-Run: HKLM\SOFTWARE\Microsoft\Office\ClickToRun\REGISTRY\...
   • CLSID 키 생성: {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}
   • 호환성 플래그 설정: 0x00000400
4. [4/4단계] 자세한 결과 보고서 제공

적용되는 레지스트리 경로

시스템 및 Office 구성에 따라 스크립트는 다음 경로 중 하나 이상에 변경 사항을 적용합니다:

• 64비트 MSI Office(또는 32비트 Windows의 32비트):

  root@kitploit:~

  HKLM\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}
  

• 64비트 Windows의 32비트 MSI Office:

  root@kitploit:~

  HKLM\SOFTWARE\WOW6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}
  

• 64비트 Click-to-Run(또는 32비트 Windows의 32비트):

  root@kitploit:~

  HKLM\SOFTWARE\Microsoft\Office\ClickToRun\REGISTRY\MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}
  

• 64비트 Windows의 32비트 Click-to-Run:

  root@kitploit:~

  HKLM\SOFTWARE\Microsoft\Office\ClickToRun\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}
  

스크립트 실행 후

1. 모든 Office 응용 프로그램 다시 시작(Word, Excel, PowerPoint 등)
2. 보안 업데이트 설치:
   • KB 문서: 5002713
   • Microsoft 업데이트 카탈로그에서 다운로드
   • 또는 Windows 업데이트가 제공할 때까지 대기

확인

레지스트리 키가 적용되었는지 확인하려면:

1. Win + R을 누르고 regedit를 입력한 다음 Enter 키를 누름
2. Office 구성에 따라 위에 나열된 경로 중 하나로 이동
3. CLSID 키가 존재하고 Compatibility Flags = 0x00000400인지 확인

롤백 지침

완화 조치를 제거해야 하는 경우:

1. 바탕 화면에서 레지스트리 백업 파일을 찾습니다: RegistryBackup_CVE-2026-21509_*.reg
2. 더블 클릭하여 레지스트리를 복원합니다
3. Office 응용 프로그램을 다시 시작합니다

또는 스크립트가 생성한 레지스트리 키를 수동으로 삭제합니다.

시스템 요구 사항

• Windows OS
• Microsoft Office 2016 또는 2019(MSI 또는 Click-to-Run)
• 관리자 권한
• PowerShell 5.0 이상

보안 업데이트 정보

Microsoft 공식 보안 업데이트 적용 대상:

• Microsoft Office 2016(32비트 및 64비트)
• Microsoft Office 2019(32비트 및 64비트)
• Microsoft Office LTSC 2021(32비트 및 64비트)
• Microsoft Office LTSC 2024(32비트 및 64비트)
• Microsoft 365 Apps for enterprise

업데이트 빌드 번호:

• Office 2016: 16.0.5539.1001
• Office 2019: 16.0.10417.20095
• Office 2021/2024/M365: https://aka.ms/OfficeSecurityReleases 참조

참조

• Microsoft 보안 대응 센터: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21509
• KB 문서: https://support.microsoft.com/help/5002713
• 보안 업데이트 다운로드: https://www.microsoft.com/zh-tw/download/details.aspx?id=108535
• 레지스트리 백업 가이드: https://support.microsoft.com/zh-tw/help/322756

면책 조항

이 스크립트는 어떠한 종류의 보증 없이 "있는 그대로" 제공됩니다. 먼저 비프로덕션 환경에서 테스트하십시오. 레지스트리 백업 기능은 필요한 경우 변경 사항을 복원할 수 있도록 도와줍니다.

코드 생성 참고: 이 코드는 Claude AI로 생성되었습니다.

지원

이 취약점에 대한 질문이 있으면 Microsoft 지원에 문의하거나 Microsoft 보안 대응 센터의 공식 지침을 참조하십시오.

FAQ

Q: Office 2016 및 2019용 업데이트가 지금 제공되나요?

A: 예. 2026년 1월 26일 기준으로 Microsoft는 Office 2016 및 2019용 보안 업데이트를 출시했습니다. 고객은 이 취약점으로부터 보호하기 위해 이러한 업데이트가 설치되어 있는지 확인해야 합니다.

Q: 설치된 버전을 어떻게 확인하나요?

A:

1. Office 앱(Word, Excel 등)을 엽니다
2. "파일" > "계정"으로 이동
3. "정보" 아래의 버전 정보를 확인

Q: 먼저 레지스트리 완화 조치를 적용해야 하나요?

A:

• Office 2016/2019: 예. 보안 업데이트를 설치하기 전에 이 완화 조치를 적용하십시오.
• Office 2021 이상: 아니요. 이미 보호됩니다.

Q: 완화 조치를 적용한 후에도 업데이트를 설치해야 하나요?

A: 예. 이 레지스트리 완화 조치는 임시 조치입니다. 완전한 보호를 위해 공식 보안 업데이트를 설치해야 합니다.

Q: 이 취약점이 공개적으로 공개되었나요?

A: 아니요, 그러나 실제 공격에서 악용이 감지되었습니다.

Q: Microsoft 365를 사용합니다. 조치가 필요한가요?

A: Microsoft 365 Apps for enterprise 사용자는 최신 업데이트가 설치되어 있는지 확인해야 합니다. 자동 업데이트로 구성된 시스템은 추가 조치가 필요하지 않습니다.

문제 해결

오류: "이 스크립트는 관리자 권한으로 실행해야 합니다"

해결 방법: 배치 파일을 마우스 오른쪽 버튼으로 클릭하고 "관리자 권한으로 실행"을 선택합니다

오류: PowerShell 실행 정책

해결 방법: 관리자 권한으로 PowerShell을 열고 다음을 실행합니다:

Set-ExecutionPolicy Bypass -Scope Process -Force

Office 설치를 찾을 수 없음

가능한 원인:

• Office 2021 이상이 설치되어 있을 수 있음(완화 조치 불필요)
• Office가 비표준 위치에 설치됨
• Office Online 또는 웹 버전 사용

레지스트리 변경 사항이 적용되지 않음

해결 방법:

1. 스크립트가 관리자 권한으로 실행되었는지 확인
2. 모든 Office 응용 프로그램 다시 시작
3. 필요한 경우 컴퓨터 재부팅

기술 세부 정보

차단된 COM 개체

이 완화 조치는 다음 CLSID를 차단합니다:

• {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}

이 CLSID는 공격자가 Office 보안 기능을 우회하는 데 사용할 수 있는 취약한 OLE 컨트롤과 연결되어 있습니다.

호환성 플래그

0x00000400(DWORD) 값은 Office에 이 특정 COM 개체의 로드를 차단하도록 지시하여 악용을 방지합니다.

정상 사용에 미치는 영향

이 완화 조치는 일반적인 Office 기능에 영향을 주지 않아야 합니다. 문제가 발생하면 바탕 화면의 백업 파일을 사용하여 레지스트리 변경 사항을 복원하십시오.

연락처 및 피드백

문제가 발생하거나 개선 제안이 있는 경우:

• Microsoft 공식 지원 문서 검토
• 조직의 IT 지원 팀에 문의
• 최신 정보는 Microsoft 보안 대응 센터 웹사이트 참조