미국 사이버보안 및 인프라 보안국(CISA)은 랜섬웨어 조직이 Windows Task Host 구성 요소의 보안 취약점 CVE-2025-60710을 악용하고 있다고 확인했다. CISA는 4월 13일 이 취약점을 실제 악용이 알려진 취약점 목록에 추가했으며, 금요일 다시 목록을 업데이트하면서 랜섬웨어 조직이 수행하는 공격과의 연관성을 명시적으로 밝혔다.
이 취약점은 Windows 11 및 Windows Server 2025 기기에 영향을 미치며, 링크 추적 메커니즘의 취약점에서 비롯된다. Microsoft는 2025년 11월에 발표한 보안 업데이트를 통해 이 결함을 수정했다. 취약점 설명에 따르면, 기본 사용자 권한을 가진 로컬 공격자는 이를 악용해 권한을 SYSTEM 수준으로 상승시킬 수 있으며, 이에 따라 업데이트되지 않은 기기를 완전히 제어할 수 있다.
Windows Task Host의 역할은 무엇인가?
Task Host는 Windows의 핵심 구성 요소로, DLL 파일에 의존하는 프로세스를 백그라운드에서 실행할 수 있게 하며, 종료 시 해당 프로세스를 정상적으로 닫아 데이터 손상 위험을 줄이는 데도 도움을 준다. 이 결함을 악용하려면 제한된 권한을 가진 계정으로 공격자가 로컬에 존재해야 하므로 반드시 네트워크에 침투하는 최초의 진입점이 되는 것은 아니지만, 공격자가 특정 기기에 접근한 뒤 결정적인 권한 상승 단계로 활용될 수 있다.
실제로 무엇이 달라지는가?
CISA는 현재 진행 중인 공격이나 CVE-2025-60710을 악용한 조직에 대한 세부 정보를 공개하지 않았으며, 이 글이 게시될 때까지 Microsoft도 실제 공격에서의 악용을 확인하도록 보안 권고를 업데이트하지 않았다. 그럼에도 이 취약점이 Known Exploited Vulnerabilities 목록에 추가되고 랜섬웨어 조직의 사용이 특정된 것은, 여전히 패치되지 않은 버전을 사용하는 기관에서 업데이트 적용의 우선순위를 높인다.
Microsoft는 이 취약점이 2025년 11월 업데이트에서 해결됐으며, 해당 업데이트를 설치한 고객은 보호되므로 추가 조치가 필요하지 않다고 밝혔다. CISA는 기관에 회사의 지침에 따라 완화 조치를 적용하고, 클라우드 서비스와 관련된 의무 운영 지침 BOD 22-01을 준수하거나 적절한 완화 수단을 제공할 수 없다면 제품 사용을 중단하라고 촉구했다.
Microsoft 제품 악용의 broader context
이번 경고는 CISA가 Microsoft SharePoint의 원격 코드 실행 취약점인 CVE-2026-45659를 랜섬웨어 조직이 악용하기 시작했다고 발표한 지 일주일 만에 나왔다. CISA는 이 취약점이 7월 초 실제로 악용되고 있음을 확인했다. 2021년 11월 이후 CISA는 Microsoft 제품에서 실제 악용된 취약점 383개를 목록에 추가했으며, 이 가운데 112개는 랜섬웨어 공격에도 사용됐다.
이는 CVE-2025-60710의 해결을 취약점 관리 프로그램과 분리된 조치로 이해해서는 안 된다는 뜻이다. 실무적으로는 Windows 11 및 Windows Server 2025 기기에 2025년 11월 업데이트가 설치됐는지 확인한 뒤, 업데이트되지 않은 상태로 남아 있던 시스템에서 침해 지표나 예상하지 못한 로컬 계정이 있는지 검토하는 것이 우선이다. 이 글은 침해 지표나 사용된 공격 기법에 관한 추가 세부 정보를 제공하지 않았다.