위협 피드

보통CVSS6.5#CVE-2026-124194 #Microsoft Outlook #Microsoft #Office #스푸핑 #NTLM #KEV #정례 패치

CVE-2026-124194 — Microsoft Outlook 스푸핑 취약점으로 NTLMv2 해시가 유출됨: 해설과 대책(11월 정례 패치에서 수정, KEV 등재)

CVE-2026-124194: 조작된 메시지 파일을 열면 Outlook이 경고 없이 외부에 접속해 NTLMv2 해시가 유출됩니다(CVSS 6.5). 2026년 11월 수정, KEV 등재.

게시 2026-11-11 업데이트 2026-11-11 최종 확인 2026-11-11 7분 읽기

이 페이지에서

조작된 메시지 파일을 열면 사용자의 NTLMv2 해시가 유출되는 Microsoft Outlook 취약점의 해설입니다. 무슨 일이 일어나는지, 누가 영향을 받는지, 어떻게 대응해야 하는지를 방어하는 쪽의 관점에서, 공격 절차 없이 설명합니다.

권고 요약 — 권고 / KEV

CVE: CVE-2026-124194 (Microsoft Outlook Spoofing Vulnerability)
심각도: CVSS v3.1 6.5 (중간. 벡터 AV:N/AC:L/PR:N/UI:R/C:H. Microsoft가 부여했으며 NVD도 같은 값). MSRC 심각도: Moderate
유형: 제품 UI가 안전하지 않은 동작을 사용자에게 경고하지 않음(CWE-356). 스푸핑
영향: 조작된 메시지 파일을 열면 Outlook이 외부 콘텐츠 경고 없이 외부에 접속해 NTLMv2 해시가 유출됨. 미리 보기 창은 경로가 아님
영향 대상: Office LTSC 2021, Office LTSC 2024, Microsoft 365 Apps for Enterprise
수정: LTSC 2021: 16.0.14334.21048 / LTSC 2024: 16.0.17932.21140 / Microsoft 365 Apps: Office 보안 릴리스 페이지 참조
공개: 2026년 11월 10일(정례 패치)
악용: Microsoft가 악용 확인으로 표시(Exploited: Yes). 2026년 11월 10일 CISA KEV에 추가(기한 11월 24일)

6.5

CVSS v3.1 (Microsoft)

악용 확인

11월 패치 중 유일

NTLMv2 해시

유출되는 것

11월 24일

KEV 기한

CVSS는 중간이지만 악용 중입니다: Office를 업데이트하고, NTLM 해시가 유출될 수 있다는 전제로 외부로 나가는 통신을 제한하세요

2026년 11월 정례 패치에서 Microsoft가 악용 확인으로 표시한 유일한 취약점입니다. 점수가 6.5인 것은 영향이 해시 유출에 한정되기 때문이지, 악용되지 않아서가 아닙니다. 우선순위는 점수가 아니라 악용 상황(KEV)으로 정하세요.

Office 빌드를 확인해 수정된 빌드 이상으로 업데이트하세요(Microsoft 365 Apps는 릴리스 페이지에서 확인).
경계에서 외부로 나가는 SMB(TCP 445)를 차단하고 외부로 나가는 NTLM을 제한하세요(출처는 아래 참조).
출처를 알 수 없는 메시지 파일은 열지 않도록 사용자에게 알리세요.
업데이트 전에 그런 파일을 열었을 수 있는 PC의 사용자는 비밀번호 변경을 검토하세요.

방치할 때의 위험

해시는 평문 비밀번호가 아니지만, Microsoft 권고에 따르면 공격자는 이를 이용해 사용자로 인증할 수 있습니다. 사용자가 NTLM으로 사내 공유나 서비스에 인증할 수 있는 환경이라면, 해시 하나가 그 사용자가 닿을 수 있는 모든 곳으로 들어가는 발판이 될 수 있습니다.

어떤 취약점인가

Microsoft 권고에 따르면 인증 없는 공격자가 조작된 메시지 파일을 보내 사용자가 열도록 유도할 수 있습니다. 그러면 Outlook이 평소의 외부 콘텐츠 경고를 표시하지 않고 공격자가 통제하는 곳에 접속해, 사용자를 사칭하는 데 쓰일 수 있는 인증 정보를 노출할 수 있습니다. CWE-356(제품 UI가 안전하지 않은 동작을 사용자에게 경고하지 않음)으로 분류됩니다.

악용하려면 네트워크 접속과 사용자의 조작이 필요합니다. CVSS 벡터의 UI:R은 사용자가 악성 Office 파일을 열도록 유도되어야 함을 뜻합니다.
Microsoft는 미리 보기 창이 공격 경로가 아니라고 밝히고 있습니다.
유출되는 것은 NTLMv2 해시입니다. 기밀성 영향은 높고(C:H) 무결성과 가용성은 영향이 없어 6.5가 됩니다.
권고는 파일을 만드는 방법이나 접속이 이루어지는 구조를 설명하지 않으며, 본 사이트도 설명하지 않습니다.

영향 범위

항목	내용
제품	Microsoft Outlook (Office LTSC 2021 / Office LTSC 2024 / Microsoft 365 Apps for Enterprise, 32비트와 64비트)
수정(LTSC 2021)	16.0.14334.21048
수정(LTSC 2024)	16.0.17932.21140
수정(Microsoft 365 Apps)	Office 보안 릴리스 페이지 참조(aka.ms/OfficeSecurityReleases)
회피책 / 완화책	권고 데이터에서는 확인되지 않음
고객의 조치	필요(Microsoft: Customer Action Required: Yes)

목록에 없는 버전(예: 오래된 Office 릴리스)은 권고의 대상 밖입니다. 이를 사용 중이라면 Microsoft에 문의하세요.
자동 업데이트를 쓰더라도 업데이트 채널 설정에 따라 적용이 늦어질 수 있습니다. 실제 빌드를 확인하세요.

영향 여부 확인 방법

Office 빌드 확인

Outlook에서 파일, Office 계정, Outlook 정보 순으로 열어 빌드를 확인하세요. LTSC 2021이 16.0.14334.21048 미만이거나 LTSC 2024가 16.0.17932.21140 미만이면 영향을 받습니다. Microsoft 365 Apps는 릴리스 페이지에서 사용 중인 채널의 수정 빌드를 찾아보세요. 단말이 많다면 자산 목록 체크리스트처럼 목록으로 정리하세요.

업데이트 배포 방식 확인

업데이트가 자동인지 관리자가 관리하는지 확인하세요. 배포가 보류되어 있다면 11월 정례 패치의 업데이트가 막혀 있지 않은지 확인하세요.

외부로 나가는 SMB와 NTLM을 지금 확인

단말이 SMB(TCP 445)로 인터넷에 닿을 수 있는지, 외부로 나가는 NTLM을 제한하는 설정이 있는지 확인하세요. 열려 있다면 해시가 유출되었을 때의 피해가 커집니다.

오늘 해야 할 일

Office를 수정된 빌드 이상으로 업데이트(최우선)

LTSC 2021은 16.0.14334.21048 이상, LTSC 2024는 16.0.17932.21140 이상으로 올리세요. Microsoft 365 Apps는 Office 보안 릴리스 페이지에서 채널별 수정 빌드를 찾아 업데이트하세요. KEV 기한은 11월 24일이지만 악용이 확인되었으므로 기한까지 기다리지 마세요.

경계에서 외부로 나가는 SMB 차단

일반적인 방어책으로, 사내망에서 인터넷으로 나가는 SMB(TCP 445)를 방화벽에서 차단하세요. 사용자가 조작된 파일을 열더라도 해시가 외부로 전달되기 어려워집니다. 외부 상대와 파일 공유에 SMB를 쓰고 있다면 먼저 그 용도를 확인하세요.

외부로 나가는 NTLM 제한

Microsoft는 외부로 나가는 NTLM을 감사하거나 거부할 수 있는 Windows 정책 "Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers"를 문서로 안내하고 있습니다(Microsoft Learn). 곧바로 "Deny all"로 설정하면 업무가 멈출 수 있으므로, 먼저 "Audit all"로 실제 사용 현황을 보고 단계적으로 조이세요.

업데이트 전에 그런 파일을 열었을 수 있는 사용자 확인

수상한 메시지 파일을 열었던 기억이 있는 사용자는 비밀번호를 바꾸고 로그인 기록에서 이상이 없는지 확인하세요. 유출되는 것은 비밀번호에서 만들어진 해시이므로, 비밀번호를 바꾸면 유출된 해시를 쓸 수 없게 됩니다. 계정 보호도 함께 강화하세요(다요소 인증 가이드).

사용자에게 알리기

출처를 알 수 없는 메시지 파일이나 첨부 파일은 열지 않도록 사용자에게 알리세요. 대표적인 피싱 패턴은 피싱이란?에서 다룹니다.

악용 상황

Microsoft 권고는 Publicly Disclosed를 No, Exploited를 Yes로 기재하고 있습니다.
CISA가 2026년 11월 10일 KEV에 추가했으며 기한은 11월 24일입니다(KEV 버전 2026.11.10). KEV에서의 명칭은 "Missing User Interaction for Potentially Unsafe Action"입니다.
KEV는 랜섬웨어 사용 여부를 Unknown, 포렌식 분류를 No로 기재하고 있습니다.
CISA의 평가가 CVE 레코드에 덧붙어 있습니다(악용: active, 자동화 가능: no, 기술적 영향: partial).
NVD 상태는 Analyzed이며 Microsoft의 6.5를 그대로 싣고 있습니다.
공격의 규모, 수법, 공격 주체에 대한 공개 정보는 확인하지 못했습니다. 권고에는 보고자에 대한 사의가 실려 있습니다.

같은 11월 정례 패치의 우선순위

Microsoft의 2026년 11월 CVRF(기계가 읽을 수 있는 보안 업데이트 데이터)에는 1,342건이 들어 있습니다. 여기에는 Edge가 받아들이는 Chromium 취약점 같은 서드파티 제품도 포함되므로, 본 사이트는 Microsoft 단독 제품의 건수는 적지 않습니다. 이 중 68건이 Critical이며, CVE-2026-124194 자체는 Moderate입니다. 아래는 CVRF에서 확인한 주요 Critical 항목입니다. CVRF 안에서 악용 확인으로 표시된 것은 이 CVE뿐입니다.

CVE	제품	요약
CVE-2026-118207	Exchange Server (Subscription Edition)	원격 코드 실행(CVSS 8.8). 인증된 낮은 권한의 공격자가 대상. 악용 가능성 높음으로 평가
CVE-2026-119958	Windows LDAP	원격 코드 실행(CVSS 9.8). 인증 불필요. 악용 가능성 낮음으로 평가
CVE-2026-116928	Windows Search	원격 코드 실행(CVSS 9.8). 권고는 Exchange가 첨부 파일을 자동 처리하는 경로를 설명. 악용 가능성 낮음으로 평가
CVE-2026-119952	Windows Schannel	원격 코드 실행(CVSS 8.1). 인증 불필요. 악용 가능성 높음으로 평가
CVE-2026-118146	Active Directory Domain Services	원격 코드 실행(CVSS 8.8). 악용 가능성 높음으로 평가

"악용 가능성 높음/낮음"은 Microsoft의 Exploitability Index 평가이며, 실제로 악용이 관측되었는지(Exploited)와는 별개입니다.
주요 항목만 추린 것입니다. 그 밖의 Critical 항목은 Microsoft 권고에서 확인하세요.

출처

Microsoft — CVE-2026-124194 Microsoft Outlook Spoofing Vulnerability(2026년 11월 10일 공개. 영향 제품, 수정 빌드, 악용 확인, CVSS 6.5)
Microsoft — MSRC CVRF, November 2026 security updates(Critical 목록과 악용 가능성 평가)
Microsoft — Microsoft 365 Apps security updates(Office 빌드 목록)
Microsoft Learn — Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers(외부로 나가는 NTLM의 감사와 거부)
CVE.org — CVE-2026-124194(2026년 11월 10일 공개. CISA의 추가 포함)
NVD — CVE-2026-124194(Analyzed. CVSS 6.5)
CISA KEV — Known Exploited Vulnerabilities Catalog(11월 10일 추가, 기한 11월 24일)

외부로 나가는 SMB(TCP 445) 차단은 본 사이트가 일반적인 방어책으로 적은 것이며, Microsoft 권고에 명시된 회피책이 아닙니다. 최종 확인: 2026년 11월 11일.

이어서 읽기

FAQ

QCVE-2026-124194는 무엇인가요?

제품 UI가 안전하지 않은 동작을 사용자에게 경고하지 않는 Microsoft Outlook의 결함(CWE-356)입니다. Microsoft 권고에 따르면 인증 없는 공격자가 조작된 메시지 파일을 보내고 사용자가 그것을 열면, Outlook이 평소의 외부 콘텐츠 경고 없이 공격자가 통제하는 곳에 접속해 사용자를 사칭하는 데 쓰일 수 있는 인증 정보(NTLMv2 해시)가 노출될 수 있습니다. CVSS v3.1 점수는 6.5(중간)입니다.

Q영향받는 제품과 수정 방법은 무엇인가요?

Microsoft의 CVRF와 CVE 레코드에 따르면 Microsoft Office LTSC 2021(수정 빌드 16.0.14334.21048), Office LTSC 2024(16.0.17932.21140), Microsoft 365 Apps for Enterprise(수정 빌드는 Office 보안 릴리스 페이지에 게재)가 대상입니다. 수정은 2026년 11월 10일 정례 패치로 제공되었습니다.

Q메시지를 미리 보기만 해도 영향을 받나요?

Microsoft는 미리 보기 창이 공격 경로가 아니라고 밝히고 있습니다. 악용하려면 사용자가 조작된 파일을 열어야 합니다(CVSS 벡터의 UI:R).

Q아직 업데이트할 수 없다면 회피책이 있나요?

확인한 권고 데이터에는 회피책이나 완화책이 나와 있지 않으므로, 업데이트를 대신할 설정은 제시되지 않습니다. 본 사이트가 독자적으로 덧붙이는 조언으로, 업데이트할 수 있을 때까지는 경계에서 외부로 나가는 SMB(TCP 445)를 차단하고 외부로 나가는 NTLM을 제한해 유출된 해시를 쓰기 어렵게 만드세요.

Q이미 악용되고 있나요?

네. Microsoft는 악용 확인(Exploited: Yes)으로 표시했고 CISA가 2026년 11월 10일 KEV에 추가했습니다(기한 11월 24일). KEV는 랜섬웨어 사용 여부를 Unknown으로 기재하고 있습니다. 공격의 규모와 수법은 공개 정보로는 확인하지 못했습니다.

QCVSS 점수가 6.5뿐인데 왜 서둘러야 하나요?

CVSS는 악용 여부를 반영하지 않습니다. 영향이 기밀성(유출된 해시)에 한정되어 점수는 중간이지만, 유출된 해시로 사용자를 사칭할 수 있으므로 실제 피해는 점수가 시사하는 것보다 클 수 있습니다. 우선순위는 먼저 악용 상황(KEV)으로 판단하세요.