패치 배포 전 제로데이 상태에서 실제 공격 확인
CISA, KEV 목록 업데이트하며 랜섬웨어 악용 사실 명시

[보안뉴스 강초희 기자] 마이크로소프트 디펜더(Microsoft Defender)의 BlueHammer(CVE-2026-33825) 취약점이 실제 랜섬웨어 공격에 악용된 것으로 확인됐다.


미국 사이버보안 및 인프라보안국(CISA)은 최근 해당 취약점에 대한 KEV(Known Exploited Vulnerabilities, 실제 악용이 확인된 취약점) 목록을 업데이트하며, BlueHammer가 랜섬웨어 공격 캠페인에 활용됐다고 밝혔다.

BlueHammer는 최근 보안 연구자 Chaotic Eclipse와 Nightmare Eclipse가 공개한 여러 익스플로잇 가운데 하나다. 해당 연구자는 마이크로소프트의 취약점 대응 방식에 불만을 제기하며, 보안 패치가 배포되기 전에 여러 취약점 정보를 공개해 왔다.

CVE-2026-33825는 지난 4월 2일 공개됐으며, 마이크로소프트는 같은 달 14일 보안 패치를 배포했다. 당시 회사는 인증된 공격자가 해당 취약점을 악용해 권한 상승(Privilege Escalation) 공격을 수행할 수 있다고 설명했다.

마이크로소프트는 이후 4월 30일 보안 권고문을 업데이트하면서 해당 취약점의 악용 가능성이 높다고 평가했지만, 실제 공격 사례가 확인됐다는 사실은 공개하지 않았다.

반면 보안기업 헌트리스(Huntress)는 이 취약점이 마이크로소프트의 패치가 배포되기 전 제로데이(Zero-day) 상태에서 이미 실제 공격에 악용된 사실을 확인했다고 밝혔다.

CISA는 지난 4월 22일 BlueHammer를 KEV 목록에 추가한 데 이어 최근 목록을 수정해 이 취약점이 랜섬웨어 공격에도 활용됐다는 내용을 추가했다. 다만 현재까지 어떤 랜섬웨어 조직이 CVE-2026-33825를 악용했는지는 확인되지 않았다. 해당 취약점의 구체적인 악용 사례를 다룬 최근 보고서도 공개되지 않은 상태다.

한편 CISA는 KEV 목록에 포함된 취약점이 이후 랜섬웨어 공격에 활용되기 시작하더라도 별도의 공지를 제공하지 않는다. 이에 따라 이러한 업데이트가 실제 보안 담당자들에게 얼마나 실질적인 도움이 되는지에 대한 의문도 제기되고 있다고 미국 보안 전문매체 ‘SecurityWeek’는 전했다.

이와 관련해 위협 인텔리전스 기업 그레이노이즈(GreyNoise)는 올해 초 KEV 목록의 변경 사항을 추적할 수 있는 무료 도구를 공개한 바 있다.

[강초희 기자(choh@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>