코파일럿 취약점 공개(2026년 8월), 내가 할 일은 따로 없다
코파일럿 웹 취약점 CVE-2026-24301은 8월 18일 공개됐지만, 사용자가 설치할 패치는 없으며 대상별 조치만 확인하면 됩니다.
코파일럿 웹에 무슨 일이 있었나
Microsoft가 CNA로 등록한 공식 이름은 ‘Microsoft Copilot Information Disclosure Vulnerability’입니다.
NVD의 공식 분류는 CWE-77 명령 주입입니다.
외부 입력을 명령 문맥에 맞게 처리하지 못하면 의도하지 않은 명령으로 읽힐 수 있습니다.
공식 영향 항목은 정보 노출이며, 실제 고객 정보가 유출됐다는 사고 보고와는 다릅니다.
Microsoft가 매긴 CVSS 3.1 점수는 8.8 HIGH이며, 공격이 성립하려면 피해자의 상호작용이 필요합니다.
이 점수는 잠재적 기술 영향을 뜻할 뿐, 실제 피해 규모나 악용 여부를 보여주지는 않습니다.
Varonis 시연에서도 조작된 Copilot 링크를 여는 동작이 필요했으므로, 제로클릭보다는 원클릭에 가깝습니다.
Microsoft는 Copilot Web 서비스를 이미 수정했습니다. MSRC의 고객 조치 항목도 ‘필요 없음’입니다. Windows나 Copilot 앱에 별도 패치를 설치할 필요는 없습니다.
누구에게 무엇이 달라지나
공식 CVE 제품 표에 영향 대상으로 등록된 제품은 Microsoft Copilot Web 하나뿐입니다.
Microsoft는 별도 답변에서 Copilot Personal만 영향받았고, 기업 고객은 영향받지 않았다고 밝혔습니다.
다만 공식 제품 표에는 범위가 더 넓은 Copilot Web이 적혀 있어, 두 출처가 가리키는 범위를 구분해 읽어야 합니다.
MSRC와 CISA, Varonis는 모두 실제 악용 증거가 없다고 밝혔습니다. 그렇다고 과거의 모든 시도를 배제할 수 있다는 뜻은 아닙니다.
지금 할 일과 안 해도 될 일
MSRC 공식 CSAF 자료에는 Copilot Web의 제품 상태가 수정 완료로 표시돼 있으며, 고객 조치도 필요 없다고 나옵니다.
이 취약점에는 호스팅 서비스 전용 태그가 붙어 있어 Microsoft가 서버 쪽에서 수정하는 구조입니다.
일반 사용자
- 이 CVE 때문에 Windows 업데이트나 Copilot 앱 재설치를 따로 진행할 필요는 없습니다.
- 낯선 Copilot 링크는 피하고 연결 앱과 메모리 권한만 가끔 살펴보면 충분합니다.
기업 관리자
- MSRC가 고객 조치를 요구하지 않으므로 별도의 사내 패치 배포 작업은 필요 없습니다.
- 내부 공지에는 공식 제품 범위와 Personal 한정이라는 별도 답변을 구분해 적는 편이 안전합니다.
개발자
- CWE-77 분류만 보고 운영체제 셸 명령이 실행됐다고 단정하면 안 됩니다.
- Varonis 시연은 클릭이 필요한 사례이므로, 연구 내용 전체를 CVE의 공식 범위로 묶어 해석해서는 안 됩니다.
개인적으로는 보안 점수보다 누가 고치는 문제인지 먼저 구분하는 편이 정확하다고 봅니다.
다음 확인은 새 MSRC 공지가 나왔을 때
후속 소식이 나오면 MSRC 상세 페이지에서 제품 상태와 고객 조치 항목부터 살펴보면 됩니다.
NVD의 8.8점은 Microsoft가 제공한 잠재 영향 점수이며, 패치 설치를 결정하는 숫자는 아닙니다.
새 안내가 나오기 전에는 낯선 링크를 피하고 연결 권한만 가끔 살펴보면 충분합니다.
