보안2026. 11. 13. 오후 9:07 UTC·2 분 소요

Outlook CVE-2026-124194, 경고 없이 인증 정보 샌다

Outlook에서 조작된 메시지 파일을 열면 경고 없이 공격자 서버에 연결돼 Windows 인증 정보가 샐 수 있었습니다. 패치 전부터 악용도 확인됐습니다.

A laptop showing the Outlook email client with a red security warning shield overlaid on the screen. — 이미지: ギズモード・ジャパン

하루에도 여러 개씩 파일을 열다 보면 경계심이 무뎌지기 마련입니다. 그나마 버틸 수 있는 것은 PC가 "외부에 연결합니다"라고 알려 주기 때문인데, Outlook 스푸핑 취약점 CVE-2026-124194는 바로 그 경고를 건너뜁니다.

Microsoft는 11월 10일(미국 시간) 11월 월간 보안 업데이트에서 이 취약점을 수정했습니다. 업데이트 공개 전에 이미 악용된 사실도 확인됐습니다.

CVE-2026-124194는 무엇인가

JPCERT/CC 주의 문서에 따르면 조작된 메시지 파일을 Outlook에서 열면 평소 뜨는 경고 없이 공격자가 관리하는 서버에 연결되고, Windows 네트워크 인증에 쓰이는 정보가 새 나갈 수 있습니다. 이 정보를 손에 넣은 쪽은 경우에 따라 해당 사용자로 인증을 통과할 수 있습니다.

발신 주소를 속이는 "스푸핑 메일"과는 다른 문제로, 수신자의 PC 안에서 일어납니다. 영향을 받는 제품은 Microsoft 365 Apps for Enterprise, Office LTSC 2021, Office LTSC 2024에 포함된, 수정 전 Windows용 클래식 Outlook입니다.

어떻게 막을 수 있나

Outlook을 포함한 Office 제품에 최신 보안 업데이트를 적용하면 됩니다. Windows Update나 Microsoft Update를 확인하거나, 클래식 Outlook에서 "파일" → "Office 계정" → "업데이트 옵션" → "지금 업데이트"로 수동 업데이트할 수 있는 경우도 있습니다. 일본 IPA도 "앞으로 피해가 확대될 우려가 있다"며 신속한 적용을 당부했습니다. 회사 PC라면 IT 부서 안내를 따르시기 바랍니다.

이번 달 패치는 1093건

이번 달 업데이트로 수정된 취약점은 CVE 기준 1093건이고, 최고 심각도 "긴급"이 63건입니다. Tenable 집계로 2025년 한 해는 1130건이었습니다. 영국 NCSC는 2026년 5월 AI가 취약점 발견을 앞당기고 있다며 "패치의 물결"에 대비하라고 밝혔고, 공개부터 악용까지의 시간이 이미 며칠 단위로 줄었다고 설명했습니다.