Azure AI Foundry, 자격 증명 없이 권한 상승 가능 — CVE-2026-85889, CVSS 10.0

마이크로소프트는 2026년 9월 17일, Azure AI Foundry — 생성형 AI 애플리케이션과 에이전트를 구축·배포·관리하기 위한 엔터프라이즈 플랫폼으로, Microsoft Foundry라는 이름으로도 판매되는 제품 — 에 CVSS 10.0으로 평가된 인증 누락 취약점이 존재했음을 공개했다. CVE-2026-85889로 추적되며 CWE-306, 즉 중요 기능에 대한 인증 누락으로 분류된 이 취약점은 마이크로소프트의 권고문에 따르면 인증 정보나 사용자 상호작용 없이도 비인가 공격자가 네트워크를 통해 백엔드 기능에 접근하고 권한을 상승시킬 수 있게 했다. 이 플랫폼은 클라우드 호스팅 방식이므로 수정 사항은 마이크로소프트 자체 인프라에 적용되었고 고객이 설치할 것은 없었다. 마이크로소프트는 이 취약점이 실제로 악용된 증거를 찾지 못했다고 밝혔으며, 이와 관련된 피해도 기록되지 않았다. 이 사건은 the Orca AI Incident Archive에 수록된 항목 중 하나로, 해당 아카이브에는 인용 출처, 심각도 등급, 신뢰도 평가 및 이견 표시와 함께 전체 기록이 보관되어 있다.

권고문이 실제로 말하는 것

해당 Microsoft Security Response Center 권고문은 짧으며, 이 취약점에 관해 공개된 거의 모든 세부 정보는 이 권고문에서 나온 것입니다. 설명 전문은 다음과 같습니다. “Azure AI Foundry의 중요 기능에 대한 인증 누락으로 인해 권한이 없는 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.” 영향을 받는 버전은 없습니다. 버전 자체가 없기 때문입니다. CVE-2026-85889에 대한 MSRC 기록은 최신 소프트웨어 릴리스를 N/A로 표시하고 있으며 업데이트 링크나 다운로드가 없는데, 이는 Microsoft가 직접 운영하는 서비스에 대한 권고문의 일반적인 형태입니다.

MSRC는 이 결함을 심각(Critical)으로 평가하며 기본 점수는 10.0이고, 벡터는 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H입니다. 이는 네트워크를 통해 도달 가능하고, 공격 복잡도가 낮으며, 권한이 필요 없고, 사용자 상호작용이 없으며, 범위가 변경되었고, 기밀성·무결성·가용성에 높은 영향을 줍니다. 2026년 9월 17일에 게시되고 9월 25일에 마지막으로 수정된 NVD 항목은 동일한 설명을 담고 있으며 해당 약점을 CWE-306으로 매핑합니다. "Exploited" 및 "Publicly Disclosed" 필드에서 Microsoft는 아니요와 아니요로 기록합니다.

해당 결함은 Rémy Marot에 의해 발견되었으며, The Hacker News의 공개 보도에서 공로를 인정받았고, Cloud Security Alliance의 연구 노트에서 책임 있게 신고한 사람으로 이름이 올랐습니다. 2026년 9월 19일 발표된 그 노트는 권고문이 생략한 내용을 검토하는 기록상 유일한 자료이며, 그 공백을 이야기의 핵심으로 다룹니다.

10.0과 9.8 — 두 채점자가 의견이 갈리는 단 하나의 지표

헤드라인 숫자는 만장일치가 아닙니다. NVD는 CVE-2026-85889에 대해 서로 다른 두 평가자가 매긴 두 개의 CVSS 3.1 점수를 보여 주며, 두 점수는 정확히 하나의 지표에서만 다릅니다. 보조 출처로 제출된 Microsoft의 점수는 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H에서 10.0입니다. NVD 자체의 기본 점수는 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H에서 9.8입니다. Scope를 제외한 모든 구성 요소가 동일합니다.

Microsoft는 Scope를 Changed로 평가하고, NVD의 기본 점수는 이를 Unchanged로 유지합니다. 그것이 차이의 전부이며, 결코 사소한 트집이 아닙니다. CVSS 3.1에서 Changed 스코프는 취약한 구성 요소와 영향을 받는 구성 요소가 서로 다른 보안 권한에 속한다는 뜻입니다. 즉 공격자의 발판과 공격자가 결국 통제하게 되는 대상이 경계의 반대편에 놓인다는 뜻입니다. 10.0은 그 경계를 넘는 것이 바로 이 결함의 목적이라는 주장입니다. NVD의 9.8은 영향, 기밀성, 무결성, 가용성이 모두 High라는 점에 관해서는 같은 진술을 하지만, 경계를 넘는다고 단정하지는 않습니다. 두 점수 모두 Critical입니다. 아카이브는 이 차이를 결함이 존재했는지 또는 수정되었는지에 관한 논쟁으로 취급하지 않으며, 독자도 그렇게 해서는 안 됩니다.

세 번째 평가자는 점수는 건드리지 않은 채 결과 측면에서 더 나아갔다. CISA의 해당 CVE에 대한 SSVC 결정 기록은 2026년 9월 18일 타임스탬프가 찍혀 있으며, 악용을 "none"으로, 자동화 가능성을 "yes"로, 기술적 영향을 "total"로 설정한다. 가운데 값이 곱씹어 볼 만한 값이다: 인증이 필요 없고 복잡도가 낮으며 범위를 바꾸는 결함은 구조상 자동화 가능하다 — 그 안에는 대상별로 사람이 적응시켜야 할 어떤 것도 없다.

고객 누구도 설치할 수 없었던 수정 사항

Azure AI Foundry는 호스팅 서비스이므로 CVE-2026-85889에는 고객의 이름이 붙은 패치가 없었습니다. MSRC의 권고문에는 업데이트 문서도, 해결 방법도 없으며, 자체 FAQ에서 당연한 질문에 답합니다: "이 취약점은 Microsoft에 의해 이미 완전히 완화되었습니다. 이 서비스 사용자가 취할 조치는 없습니다. 이 CVE의 목적은 추가적인 투명성을 제공하는 것입니다."

Cloud Security Alliance 노트는 동일한 내용을 설명합니다: 교정 조치는 Microsoft의 인프라에 적용되었으며, "고객이 설치할 패치도, 취할 조치도 없었습니다". The Hacker News는 Microsoft가 클라우드 문제를 완전히 완화했다고 밝혔고 고객 조치가 필요하지 않았다고 보도합니다. Microsoft 자체 기록은 "고객 조치 필요"를 false로 표시합니다. 시점과 관련하여 MSRC는 권고문 날짜를 2026년 9월 17일로 기재하고, CSA 노트는 권고문과 완료된 교정 조치를 2026년 9월 17–18일에 걸쳐 배치합니다.

이것은 CSA 노트가 계속해서 되돌아가는 지점이며, Microsoft의 엔지니어링을 비판하는 것이 아닙니다. 서버 측 수정은 빠르고 완전하며 고객에게 무료입니다. 또한 고객 입장에서는 관찰할 수 없습니다.

마이크로소프트가 말하지 않은 것

클라우드 보안 연합(Cloud Security Alliance)에 따르면, 이 권고문은 취약점이 언제 도입되었는지 밝히지 않으며, 해당 노트는 노출 기간을 수치화하지 않는다. 또한 Microsoft는 취약한 함수에 어떻게 도달할 수 있었는지, 어떤 자격 증명 유형이 관련되었는지, 이를 악용하는 데 테넌트별 식별자가 필요했는지, 또는 교차 테넌트 접근이 가능했는지 공개하지 않는다. 이는 보고의 공백이 아니라 CSA 노트가 Microsoft가 명시적으로 열린 채로 남겨 두었다고 말하는 질문들이며, CSA 노트는 교차 테넌트 질문을 모든 고객의 위험 평가와 관련된 질문으로 지목한다.

노트가 도출하는 결론은 좁으며, 꾸밈없이 말할 가치가 있다. 악용이 전적으로 서버 측에서 발생한다면 고객 측에서는 전혀 보이지 않을 수 있다. 테넌트 관리자는 자신의 프로젝트가 탐색되었더라도 살펴볼 로그 라인이 하나도 없었을 수 있다. CSA가 권장하는 대응은 사후적이다. 2026년 9월 17–18일 이전 몇 주 동안의 Azure 활동 로그와 AI Foundry 감사 추적에서 비정상적인 관리 작업, 모델 또는 에이전트 구성 변경, 이상한 서비스 계정 접근이 있었는지 조사하고, 교차 테넌트 접근이 기술적으로 가능했는지 Microsoft에 직접 문의하라.

권고문 자체에는 신고자도, 결함이 신고된 날짜도 명시되어 있지 않으며 NVD 기록에도 마찬가지이므로, Marot의 신고와 수정 사이의 간격은 이 기록의 어떤 내용으로도 확인되지 않는다.

그것을 둘러싼 파도

CVE-2026-85889는 고립된 수정 사항이 아니었습니다. Microsoft 보안 업데이트 가이드에는 2026년 9월 17일에 공개된 18개 취약점이 나열되어 있으며, 이 그룹의 구성 자체가 더 많은 정보를 주는 사실입니다. 18개 모두 Critical입니다. 전부 클라우드 서비스입니다. 모두 악용되지 않았고 고객 조치가 필요 없는 것으로 기록되어 있습니다. 18개 중 7개가 10.0점을 받았습니다 — Azure Billing, Microsoft Fabric, Azure AI Foundry, Azure Logic Apps의 두 건, Azure Arc, Microsoft Container Registry입니다.

이번 웨이브 속 대비는 헤드라인을 읽는 데 중요하다. CVE-2026-85885의 명령 주입인 Microsoft 365 Copilot는 9.9점으로 PR:L — 권한 필요 — 로 평가되며, Microsoft의 설명은 "권한을 가진 공격자"라고 말한다. CVE-2026-85889는 PR:N이며 "권한이 없는 공격자"라고 말한다. 같은 릴리스에 있는 두 가지 결함, 두 개의 치명적(Critical) 점수, 그리고 그중 하나만 공격자가 시작하기 전에 자격 증명을 보유해야 했다. 이 그룹의 세 번째 AI 발견 항목인 CVE-2026-85917은 Azure AI Foundry의 7.5점 서버 측 요청 위조로, 범위는 변경되지 않았고 영향은 기밀성으로 제한된 것으로 평가되었다.

무엇이 바뀌었고, 고객이 여전히 가질 수 있는 것은 무엇인가

바뀐 것은 결함입니다. Microsoft는 이 결함이 완전히 완화되었다고 보고하며, 고객이 배포해야 할 것은 아무것도 없습니다. 바뀌지 않은 것은 고객이 보관할 수 있는 기록입니다. CSA의 권고는 즉각적인 조치부터 구조적인 조치까지 이어집니다. 2026년 9월의 수정 조치가 테넌트에 적용되었는지 확인하고, 그 이전 몇 주간의 활동 로그와 AI Foundry 감사 추적을 보존 및 검토하며, AI Foundry 프로젝트를 테넌트와 워크로드별로 분할하고, 사용자, 서비스 주체, 관리 ID에 최소 권한을 적용하며, 단일 프로젝트가 접근할 수 있는 데이터와 자격 증명을 제한하고, AI Foundry 및 Microsoft Defender for Cloud 경고를 중앙 집중화하십시오.

구조적 권고는 이 CVE를 넘어 일반화되는 것입니다. 클라우드 AI 관리 플레인을 별도의 제3자 위험 범주로 취급하고, 공급업체 평가에 제공업체의 취약점 공개 이력을 포함하며, 제어 플레인 결함에 대해 계약상 통지 일정과 사후 투명성을 요구하라는 것입니다. 그중 어느 것도 CVE-2026-85889를 견뎌 내는 데 필수였던 것은 아닙니다. 그것이 다음 취약점을 가시화할 수 있게 하는 것입니다.

아카이브가 이것을 어떻게 분류하는지

이 기록은 취약점으로 등록되어 있으며, 발견된 것이지 실제로 악용된 것으로 알려진 것은 아니다. 신뢰도는 A 등급으로, 1차 출처들이 일치하는 잘 문서화된 항목이며, 이 기록은 분쟁 중으로 표시되어 있지 않다. 실제 피해 필드는 false이고, AI 관련성은 확인되었다. 영향을 받은 제품은 생성형 AI 애플리케이션 및 에이전트 플랫폼이지, 그 근처에 있는 범용 클라우드 서비스가 아니다. 날짜는 일 단위 정밀도로 2026년 9월 17일이며 종료 날짜는 없다. 이는 캠페인이 아니라 단일 시점이기 때문이다.

아카이브 자체의 필드가 전달할 수 없는 한 가지는 이 이야기에서 얼마나 큰 부분이 ‘부재’인가이다. 기업 고객이 에이전트를 구축하고 실행하는 데 사용하는 플랫폼에 최고 심각도의 인증 결함이 있다. 수정 조치가 있다. 연구자의 이름도 있다. 없는 것은 — 권고문, NVD 기록, CSA 노트, 업계 언론 어디에도 — 누군가 이 결함을 시도했다는 진술, 이 결함에 얼마나 오랫동안 접근할 수 있었는지에 대한 진술, 또는 고객이 스스로 확인할 수 있는 방법이다.