미리 보기 창은 공격 표면이다

Microsoft는 2026년 9월 8일에 기록상 가장 큰 보안 수정 세트를 공개했다. 헤드라인 수치는 집계 주체에 따라 달라진다. Tenable은 964개의 CVE로 집계했고, Zero Day Initiative는 972개로 집계했으며, 외부 항목과 Chromium 항목이 서로 다르게 귀속되기 때문에 그보다 더 높게 보는 곳도 있다. 8월 총계의 약 두 배이며, 약 100개가 중요 등급이었고, 그중 2개는 이미 실제 환경에서 악용되고 있었다.

무엇이든 바꾸는 숫자는 그 모든 것보다 더 작다.

Zero Day Initiative의 해당 월 검토에 따르면, 그 릴리스에 포함된 22개의 중요 Microsoft Office 패치 중 12개는 Preview Pane 또는 Reading Pane에서 트리거될 수 있다. 그중 가장 심각한 3개는 CVSS 점수 9.8을 받았으며, Windows Graphics Component의 CVE-2026-77493, Word의 CVE-2026-78510, Outlook의 Reading Pane의 CVE-2026-78509가 이에 해당한다. 9.8

아무것도 열리지 않는다. 매크로 프롬프트도 나타나지 않는다. 메시지가 도착하고, 클라이언트가 첨부 파일의 미리 보기를 그리며, 코드가 실행된다.

렌더링은 파싱이다

미리 보기 창은 편리한 기능이지만, 요구가 많은 작업을 수행합니다. 파일 안에 무엇이 들어 있는지 보여주려면 먼저 파일을 분해해야 합니다. 즉, 컨테이너를 압축 해제하고, 레코드 구조를 따라가며, 포함된 글꼴과 이미지를 해석하고, 레이아웃을 실행한 뒤, 결과를 그려야 합니다. 이러한 각 단계는 모두 공격자가 제공한 바이트를 읽고 그에 대해 판단을 내리는 코드입니다.

그것이 바로 전체 공격 표면이며, 아무도 이를 동작으로 생각하지 않는 부분이기도 하다. 파일을 읽는 것은 수동적으로 느껴진다. 하지만 그렇지 않다. 잘못된 길이 필드, 조작된 글꼴 테이블, 그래픽 구성 요소의 use-after-free 같은 것들은 문서가 신뢰될 필요가 없다. 단지 그 문서가 그려지기만 하면 된다.

그래서 "지원되는 파일 형식"이라는 표현은 조심해서 다룰 가치가 있다. 클라이언트가 미리 볼 수 있는 모든 형식은 그 클라이언트가 노출되는 파서이며, 요청받지 않아도 이것저것 보여주는 데 더 친절할수록, 어떤 판단이 내려지기 전부터 도달 가능한 표면도 더 넓어진다.

경로에 없는 판단

시중에 나와 있는 거의 모든 사용자 대상 안내는 여는 행위를 중심으로 구성되어 있다. 모르는 발신자의 첨부 파일은 열지 말 것. 열기 전에 주소를 확인할 것. 클릭하기 전에 링크에 마우스를 올려볼 것. 피싱 시뮬레이션은 정확히 이것을 측정한다. 누가 클릭했는지, 누가 열었는지, 누가 신고했는지.

이 모든 것은 인간의 판단이 내려지는 순간을 겨냥한다. 이번 달의 중요 Office 버그 12개는 그보다 앞단에 있다.

이것은 인식 교육이 쓸모없다는 주장이 아닙니다. 인식 교육은 credential phishing, business email compromise, 송장이 아닌 송장, 그리고 실제로 도착하는 것의 대부분을 잡아냅니다. 이것은 인식 교육이 file-borne code execution에 대한 control이 될 수 없다는 주장입니다. 왜냐하면 code가 실행되는 시점에는 사용자가 loop 안에 있지 않기 때문입니다. excellent click rate를 보고하는 programme은 이 종류의 bug에 대해 전혀 아무 말도 하지 않습니다. 왜냐하면 그것은 경로상에 결코 없었던 결정을 측정했기 때문입니다.

미리 보기 창을 솔직하게 읽어보면, 신뢰 경계를 정신적 모델보다 더 앞당긴다는 점이다. 경계는 사용자의 결정이 아니다. 조직이 수락한 파일이 클라이언트가 이를 렌더링할 어느 한곳에 도달하는 순간이다.

규제 기관은 이미 이 소프트웨어를 명시했다

규칙 뒤에 있는 직감은 옳으며, 그렇게 말할 가치가 있다.

호주의 Signals Directorate는 인터넷에서 온 신뢰할 수 없는 콘텐츠와 일상적으로 상호작용하는 애플리케이션, 즉 오피스 생산성 제품군, 웹 브라우저와 그 확장 기능, 이메일 클라이언트, PDF 소프트웨어, 보안 제품에 대해 Essential Eight 패치 기한을 강화했습니다. 그 기한은 한 달에서 2주로 바뀌었습니다. 이번 달 릴리스가 가장 큰 타격을 준 소프트웨어가 정확히 그 목록이며, 제시된 이유도 정확히 그 이유입니다.

싱가포르의 기대치도 다른 각도에서 같은 방향을 가리킵니다. MAS Technology Risk Management Guidelines는 금융기관이 편의가 아니라 정해진 기한 내에 심각도를 평가하고 수정 사항을 배포하는 패치 관리 프로세스를 운영할 것을 요구하며, CSA의 Cybersecurity Codes of Practice는 중요 정보 인프라에 대해 이에 상응하는 기대치를 담고 있습니다. 둘 다 특별한 것은 아닙니다. 이제 이 지역의 거의 모든 프레임워크가 어떤 형태로든 패치 기간을 명시합니다.

가변적인 릴리스에 맞서는 고정된 기간

여기에 적히지 않는 부분이 있습니다.

패치 기간은 여러분의 프로세스에 대한 약속입니다. 수정 사항이 존재하게 된 뒤 얼마나 빨리 대응할지를 말해 줍니다. 하지만 한 번에 얼마나 많은 것이 도착하는지는 말해 주지 않으며, 그 두 번째 숫자는 전적으로 다른 누군가가 정합니다.

2주는 평범한 한 달을 상대로는 합리적인 약속입니다. 하지만 변경 기간, 테스트 주기, 휴가 중인 애플리케이션 소유자, 그리고 업무 시간 중에는 재시작할 수 없는 몇몇 시스템이 있는 환경에서, 960개가 넘는 수정 사항이 배포되고 그중 약 100개가 치명적인 한 달을 상대로 하면, 그 기간은 더 이상 마감일처럼 작동하지 않고 대기열처럼 작동하기 시작합니다.

대기열에는 순서가 있습니다. 누군가가 그 순서를 정합니다. 대부분의 조직에서는 그 정렬이 비공식적으로 이루어지며, 패치 주기를 운영하는 사람이 보통 CVSS 점수에 따라, 때로는 가장 큰 소리를 낸 티켓을 만든 시스템에 따라 정합니다. 이는 기록되는 경우가 드물고, 검토되는 경우도 드물며, 패치 policy에 서명한 사람이 정하는 경우는 거의 없습니다.

이번 달이 드러내는 것은 바로 그 간극입니다. 노출 기간은 사실 여러분의 성실성만의 함수가 아닙니다. 그것은 여러분의 성실성을 릴리스 규모로 나눈 값이며, 그 두 숫자 중 하나만 여러분의 것입니다.

메일 클라이언트의 preview-pane-triggerable 버그는 그 대기열의 앞쪽에 있어야 합니다. 사용자의 상호작용 없이도 작동하며, 설계상 낯선 사람의 메일을 읽는 소프트웨어에 있기 때문입니다. 이번 달에 실제로 그렇게 되었는지는 답할 수 있는 질문이며, 총합보다 그 답이 더 유용합니다.

이것이 아닌 것

정직한 단서 세 가지입니다. 이 논지는 도움을 필요로 하지 않기 때문입니다.

기록적인 CVE 수는 부분적으로는 얼마나 많은 사람이 보고 있는지를 나타내는 지표입니다. 더 많은 연구자, 더 나은 퍼징, 그리고 공개를 보상하는 벤더 프로그램은 모두 같은 달에 기반 소프트웨어가 더 나빠지지 않더라도 수치를 끌어올립니다. 기록은 실제이며, 그것이 곧바로 깔끔한 위험 신호는 아닙니다.

preview pane을 끄는 것은 실제 완화책이며, 실제 비용이 따릅니다. 하루에 메시지를 백 건씩 분류하는 사람들은 이를 계속 사용하며, 그만큼 속도를 늦추는 통제는 1분기 안에 다시 켜지게 됩니다. 공식적으로든 아니든 말입니다.

패치된 취약점에 대한 올바른 답은 여전히 패치입니다. 여기서는 그 작업을 덜 하자고 주장하지 않습니다. 논점은 릴리스 규모가 다른 누군가의 결정일 때, 고정된 기간이 무엇을 약속할 수 있느냐는 것입니다.

물어볼 가치가 있는 질문

패치 policy에 여러분의 이름이 올라가 있다면, 이번 주에 물어봐야 할 것은 여러분이 기간 안에 있었는지 여부가 아닙니다. 대부분의 팀은 그랬거나, 그렇게 될 것입니다.

어떤 항목이 대기열의 앞쪽으로 갔는지, 누가 그렇게 결정했는지, 그리고 아무도 아무것도 열지 않아도 작동하는 버그가 그 안에 포함되었는지를 물어보십시오. 아무도 답할 수 없다면, 그 정렬이 바로 통제 수단이며, 현재는 문서화되어 있지 않은 것입니다.

호주의 패치 기한에 대한 공개된 맥락은 Australia compliance page를 참조하십시오. MAS와 CSA의 기대치에 대해서는 Singapore compliance page를 참조하십시오.