[속보] 홍콩 정부 CERT, Windows ‘LegacyHive’ 권한 상승 취약점 경고…패치 전 PoC 공개

홍콩 정부 컴퓨터 사고 대응조정센터(GovCERT.HK)는 16일 Windows 사용자 프로필 서비스에서 권한 상승으로 이어질 수 있는 ‘LegacyHive’ 취약점에 대해 고위험 보안 경고를 냈다. 경고에 따르면 취약점을 재현하는 개념증명(PoC) 코드가 공개돼 있으며, 공격에 성공하면 영향받는 시스템에서 권한을 높일 수 있다.

LegacyHive는 Windows에서 사용자별 설정을 불러오는 사용자 프로필 서비스의 레지스트리 하이브 처리 과정을 겨냥한다. 공개 저장소의 설명은 제한된 권한을 가진 사용자가 다른 계정의 레지스트리 하이브를 자신의 환경에 연결할 수 있다고 주장한다. 저장소 작성자는 2026년 7월 보안 업데이트를 적용한 지원 중인 Windows 데스크톱·서버에서도 PoC가 작동한다고 밝혔지만, 세부 영향 범위는 Microsoft가 공식 확인하지 않았다.

공개된 PoC는 악용 난도를 낮추지 않기 위해 일부 기능을 제한한 형태다. 작성자는 현재 코드가 추가 사용자 자격증명을 요구하며 특정 하이브만 다루도록 축소됐다고 설명했다. 다만 공개 코드가 존재한다는 사실 자체가 취약점 분석과 변형 가능성을 높이는 만큼, 패치가 나오기 전까지 방어 조직의 주의가 필요하다.

CrowdStrike의 7월 보안 업데이트 분석은 사용자 프로필 서비스가 SYSTEM 권한으로 동작하는 점을 공격의 핵심으로 짚었다. 공격자가 이미 일반 사용자 수준의 접근 권한을 확보한 뒤 서비스의 하이브 로딩 동작을 악용하면 레지스트리 기반 지속성 확보, 자격증명 탈취, 보안 제품 설정 변경으로 이어질 수 있다는 설명이다. 다만 CrowdStrike는 공개 작성자가 주장한 전체 기능과 영향 범위를 자체 검증하지 않았다고 명시했다.

이 취약점은 원격에서 인증 없이 바로 침투하는 유형으로 확인된 것은 아니다. 현재 공개된 PoC는 로컬 접근과 추가 계정 정보가 필요한 권한 상승 시나리오다. 그럼에도 피싱이나 악성코드 등으로 일반 사용자 권한을 얻은 공격자가 관리자 권한으로 이동하는 후속 단계에 결합할 수 있어 기업 환경에서는 위험을 가볍게 보기 어렵다.

17일 기준 LegacyHive에는 공개 CVE 번호가 부여되지 않았고 Microsoft의 전용 보안 권고와 패치도 확인되지 않았다. 실제 공격에 사용됐다는 공식 증거 역시 공개되지 않았다. 관리자는 Microsoft의 후속 공지를 확인하는 한편 최소 권한 원칙과 관리자 계정 분리를 유지하고, 사용자 프로필 서비스와 레지스트리 하이브 관련 비정상 동작을 보안 제품에서 점검할 필요가 있다.

출처: 홍콩 정부 컴퓨터 사고 대응조정센터 보안 경고 https://www.govcert.gov.hk/en/alerts_detail.php?id=1966
출처: LegacyHive 공개 저장소 https://github.com/MSNightmare/LegacyHive
출처: CrowdStrike 2026년 7월 Microsoft 보안 업데이트 분석 https://www.crowdstrike.com/en-us/blog/patch-tuesday-analysis-july-2026/