CVE-2026-33824 Windows IKE 원격 코드 실행 취약점 원인 분석과 패치 방법

인증 없이 원격 코드 실행이 가능한 Windows IKE 취약점

CVE-2026-33824는 Windows의 Internet Key Exchange(IKE) Service Extensions에서 발생하는 원격 코드 실행(Remote Code Execution) 취약점입니다.

Microsoft는 이 문제를 Double Free(CWE-415) 메모리 관리 취약점으로 분류했으며, 공격자가 별도의 Windows 계정이나 사용자 상호작용 없이 네트워크를 통해 악용할 수 있다고 설명합니다. Microsoft 기준 CVSS 3.1 점수는 9.8 Critical입니다.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

관리자 관점에서 풀어보면 네트워크 접근 가능(AV:N) + 낮은 공격 복잡도(AC:L) + 인증 불필요(PR:N) + 사용자 클릭 불필요(UI:N)라는 상당히 위험한 조합입니다. 성공적으로 악용될 경우 기밀성·무결성·가용성 모두 높은 영향을 받을 수 있습니다.

더 중요한 변화도 있습니다. 이 취약점은 2026년 4월 보안 업데이트에서 이미 수정됐지만, CISA가 2026년 8월 18일 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가하면서 실제 악용 상태를 Active로 변경했습니다. CISA가 제시한 미국 연방기관 대응 기한은 2026년 8월 21일입니다.

Palo Alto Networks Unit 42 역시 실제 공격 캠페인에서 CVE-2026-33824를 대상으로 한 reverse shell 연결 시도를 관찰했다고 공개했습니다.

본 글에서는 해당 위협의 기술적 발생 원인과 영향을 받는 Windows 버전 확인 방법, IKEEXT 서비스 및 UDP 500/4500 포트 점검, 공식 보안 업데이트와 임시 방어 방법을 다룹니다.

1. 기술적 발생 원인: Double Free란 무엇인가?

같은 메모리를 두 번 해제하는 것이 왜 위험할까?

프로그램이 데이터를 처리하려면 운영체제에서 메모리를 할당받고, 사용이 끝나면 다시 반환해야 합니다.

정상적인 흐름은 단순합니다.

메모리 할당
    ↓
데이터 처리
    ↓
메모리 해제
    ↓
종료

하지만 프로그램 내부에서 메모리 객체의 소유권과 수명 관리가 잘못되면 이미 반환된 동일한 메모리를 다시 한 번 해제하려는 상황이 발생할 수 있습니다.

메모리 할당
    ↓
데이터 처리
    ↓
첫 번째 해제
    ↓
이미 해제된 주소를 계속 참조
    ↓
두 번째 해제
    ↓
Heap 상태 손상

이를 Double Free라고 하며 CWE-415로 분류됩니다.

문제는 두 번째 free가 단순히 프로그램 오류를 발생시키는 것으로 끝나지 않을 수 있다는 것입니다.

힙(Heap)의 내부 관리 구조가 예상하지 못한 상태가 되면 프로세스가 충돌할 수 있고, 공격자가 메모리 상태를 정교하게 제어할 수 있는 환경에서는 공격자가 원하는 메모리 동작이나 코드 실행으로 연결될 가능성이 생깁니다.

Microsoft는 CVE-2026-33824를 바로 이러한 Double Free 취약점으로 분류하고 있습니다.

2. 왜 Windows IKE에서 Double Free가 발생했나?

Windows에는 IKEEXT(IKE and AuthIP IPsec Keying Modules)라는 시스템 서비스가 존재합니다.

Microsoft 문서에 따르면 IKEEXT는 Internet Key Exchange(IKE) 및 Authenticated Internet Protocol(AuthIP) 키 교환 모듈을 호스팅하며, Windows의 IPsec 인증 및 키 교환 과정에 사용됩니다.

구조를 단순화하면 다음과 같습니다.

외부 IKE/IPsec Peer
        ↓
IKE 네트워크 트래픽
        ↓
Windows IKEEXT
        ↓
IKE 메시지 처리
        ↓
인증 / 암호화 키 협상
        ↓
IPsec Security Association

TrendAI Zero Day Initiative(ZDI)의 기술 분석에 따르면 CVE-2026-33824의 핵심은 IKEv2 메시지 조각(Fragment)을 다시 결합하는 과정에서 메모리 객체의 소유권이 올바르게 관리되지 않는 문제입니다. 일부 데이터 포인터가 실제 데이터 복사 없이 여러 구조체에서 같은 메모리를 가리키게 되고, 각각의 정리 과정에서 동일 객체가 두 번 반환될 수 있는 구조였습니다.

이를 공격 재현 세부사항을 제외하고 단순화하면 다음과 같습니다.

IKEv2 메시지 수신
       ↓
Fragment 재조립
       ↓
메모리 객체 참조 복사
       ↓
한 처리 경로에서 메모리 해제
       ↓
원본 구조체에는 동일 주소가 남음
       ↓
정리 과정에서 같은 메모리 재해제
       ↓
Double Free / Heap 손상
       ↓
서비스 충돌 또는 코드 실행 가능

즉 단순히 “이상한 VPN 패킷을 받아서 오류가 난다” 정도의 문제가 아니라, 네트워크에서 받은 IKE 데이터를 처리하는 과정의 메모리 수명 관리 오류가 SYSTEM 수준으로 동작하는 서비스의 코드 실행 가능성까지 확대되는 취약점입니다. ZDI 분석에서도 성공적으로 악용할 경우 IKEEXT 서비스의 보안 컨텍스트에서 임의 코드 실행이 가능하다고 설명합니다.

3. 내 Windows가 영향을 받는지 확인하는 방법

Microsoft가 NVD에 제공한 영향 범위에는 Windows 클라이언트뿐 아니라 Windows Server 2016, 2019, 2022, 2025도 포함돼 있습니다.

대표적인 수정 기준은 다음과 같습니다.

Windows 제품	취약한 빌드 기준	2026년 4월 수정 빌드
Windows 10 21H2	19044.7184 미만	19044.7184
Windows 10 22H2	19045.7184 미만	19045.7184
Windows 11 23H2	22631.6936 미만	22631.6936
Windows 11 24H2	26100.8246 미만	26100.8246
Windows 11 25H2	26200.8246 미만	26200.8246
Windows 11 26H1	28000.1836 미만	28000.1836
Windows Server 2016	14393.9060 미만	14393.9060
Windows Server 2019	17763.8644 미만	17763.8644
Windows Server 2022	20348.5020 미만	20348.5020
Windows Server 2025	26100.32690 미만	26100.32690

위 기준은 Microsoft가 CVE 레코드에 등록한 영향을 받는 빌드 범위입니다.

Step 1. Windows 버전과 빌드 확인

PowerShell에서 다음 명령을 실행합니다.

Get-ComputerInfo |
Select-Object WindowsProductName, WindowsVersion, OsBuildNumber

더 간단하게 확인하려면:

winver

예를 들어 Windows Server 2022인데 빌드 번호가 20348.5020보다 낮다면 CVE-2026-33824 수정 전 빌드에 해당합니다.

다만 현재는 2026년 8월이므로 4월 최소 수정 빌드만 맞추는 것보다 현재 제공되는 최신 누적 보안 업데이트까지 적용하는 것이 적절합니다. 예를 들어 Windows Server 2022에는 2026년 8월 11일 KB5120242, OS Build 20348.5499가 제공됐습니다.

4. IKEEXT 서비스가 동작하고 있는지 확인

관리자 PowerShell에서 다음 명령을 실행합니다.

Get-Service IKEEXT |
Select-Object Name, DisplayName, Status, StartType

또는 CMD에서는:

sc query IKEEXT

예를 들어 서비스가 실행 중이라면 다음과 비슷하게 확인할 수 있습니다.

Name    : IKEEXT
Status  : Running

중요한 점은 IKEEXT 서비스가 실행 중이라는 사실 자체가 침해됐다는 의미는 아니라는 것입니다.

IKEEXT는 Windows에서 IPsec과 IKE/AuthIP 키 교환에 사용하는 정상적인 시스템 서비스입니다. Microsoft는 IKEEXT를 중지하거나 비활성화하면 IKE/AuthIP 키 교환이 동작하지 않아 IPsec이 실패할 수 있다고 설명합니다.

따라서 단순히 CVE가 있다는 이유로 다음처럼 처리하는 것은 권장하지 않습니다.

CVE 발견
  ↓
IKEEXT 강제 비활성화

특히 Site-to-Site VPN, IPsec 정책, 서버 간 암호화 통신을 사용하는 환경에서는 서비스 중지가 실제 네트워크 장애로 이어질 수 있습니다.

5. UDP 500·4500 포트 노출 여부 확인

IKE/IPsec 환경에서는 주로 UDP 500과 UDP 4500을 확인해야 합니다.
ZDI 역시 CVE-2026-33824에 대한 탐지 및 완화 과정에서 두 포트의 IKE 트래픽을 확인하도록 안내합니다.

관리자 PowerShell에서 다음과 같이 로컬 UDP Endpoint를 확인할 수 있습니다.

Get-NetUDPEndpoint |
Where-Object {
    $_.LocalPort -in 500,4500
} |
Select-Object LocalAddress, LocalPort, OwningProcess

CMD에서도 확인할 수 있습니다.

netstat -ano -p udp | findstr ":500 :4500"

여기서 중요한 것은 “포트가 있다 = 취약하다”가 아니라 “외부에서 해당 포트까지 접근 가능한가”입니다.

특히 다음 구조라면 우선적으로 점검해야 합니다.

Internet
   ↓
공인 IP
   ↓
UDP 500 / 4500
   ↓
미패치 Windows Server
   ↓
IKEEXT

CVE-2026-33824의 CVSS가 AV:N/PR:N/UI:N인 만큼 외부에서 IKE 서비스에 직접 접근할 수 있는 미패치 시스템은 관리 우선순위를 높여야 합니다.

6. 공식 패치 적용 방법

Microsoft는 2026년 4월 14일 보안 업데이트에서 CVE-2026-33824를 수정했습니다.

당시 대표적인 수정 업데이트는 다음과 같습니다.

제품	2026년 4월 보안 업데이트	수정 빌드
Windows 10 21H2/22H2	KB5082200	19044/19045.7184
Windows 11 23H2	KB5082052	22631.6936
Windows 11 24H2/25H2	KB5083769	26100/26200.8246
Windows 11 26H1	KB5083768	28000.1836
Windows Server 2016	KB5082198	14393.9060
Windows Server 2019	KB5082123	17763.8644
Windows Server 2022	KB5082142	20348.5020
Windows Server 2025	KB5082063	26100.32690

Microsoft Support에서 각각의 2026년 4월 누적 업데이트와 빌드가 확인됩니다.

Step 2. 현재 시점에서는 최신 누적 업데이트 적용

현재 신규 조치를 수행한다면 위 4월 KB를 일부러 찾아 설치할 필요는 없습니다.

Windows 누적 업데이트는 이전 보안 수정 사항을 포함하기 때문에 지원 중인 Windows 환경에서는 2026년 8월 최신 누적 보안 업데이트를 적용하는 것이 더 적절합니다. 예를 들어 8월 11일 기준 Windows Server 2022는 KB5120242, Windows Server 2025는 KB5120233이 제공됐습니다.

Windows 클라이언트에서는 다음 경로에서 확인할 수 있습니다.

설정
 → Windows 업데이트
 → 업데이트 확인

기업 환경이라면 WSUS, Intune, Configuration Manager 등의 패치 관리 시스템에서 4월 이후 누적 업데이트가 정상 배포됐는지 확인하는 것이 좋습니다.

설치된 업데이트는 PowerShell에서도 확인할 수 있습니다.

Get-HotFix |
Sort-Object InstalledOn -Descending |
Select-Object -First 15 HotFixID, Description, InstalledOn

7. 패치가 어렵다면 UDP 500/4500 접근을 제한

ZDI는 Microsoft가 제공한 완화 방법으로 IKE를 사용하지 않는 시스템에서는 UDP 500과 4500 인바운드 트래픽을 차단하고, IKE가 필요한 시스템에서는 알려진 Peer 주소에서만 해당 포트 접근을 허용하도록 안내했다고 설명합니다.

IKE를 전혀 사용하지 않는 서버

운영 영향이 없음을 확인한 경우 Windows Defender Firewall에서 임시 차단 규칙을 추가할 수 있습니다.

New-NetFirewallRule `
    -DisplayName "TEMP-CVE-2026-33824-Block-IKE" `
    -Direction Inbound `
    -Protocol UDP `
    -LocalPort 500,4500 `
    -Action Block

적용 상태는 다음과 같이 확인합니다.

Get-NetFirewallRule `
    -DisplayName "TEMP-CVE-2026-33824-Block-IKE"

패치 완료 후 해당 임시 규칙을 제거해야 한다면:

Remove-NetFirewallRule `
    -DisplayName "TEMP-CVE-2026-33824-Block-IKE"

단, IPsec VPN이나 IKE 기반 통신을 사용하는 서버에서 이 규칙을 그대로 적용하면 VPN 및 IPsec 통신이 중단될 수 있습니다. Microsoft 역시 IKEEXT를 중지하면 IPsec 동작에 영향을 줄 수 있다고 경고하고 있으므로 변경 전 서비스 의존성을 반드시 확인해야 합니다.

IKE를 반드시 사용해야 하는 서버라면 포트를 전체 인터넷에 개방하는 대신 VPN Gateway, 방화벽 또는 ACL에서 실제 IPsec Peer 주소만 UDP 500/4500에 접근하도록 제한하는 방법이 보다 적절합니다.

8. 실제 악용이 확인됐으므로 침해 여부도 함께 점검

이번 취약점에서 특히 중요한 부분입니다.

CVE-2026-33824는 처음 공개됐을 당시 CISA 평가에서 exploitation이 none이었지만, 2026년 8월 18일 Active exploitation으로 변경되고 KEV에 추가됐습니다.

Unit 42는 실제 위협 행위자가 CVE-2026-33824를 대상으로 한 reverse shell callback 시도를 수행했다고 분석했습니다.

따라서 인터넷에 UDP 500/4500이 노출된 상태로 4월 패치를 장기간 적용하지 않았던 서버라면 단순히 업데이트만 하고 끝내지 말고 다음 항목을 추가로 확인하는 것이 좋습니다.

점검 영역	확인 포인트
IKE 트래픽	평소와 다른 외부 IP의 UDP 500/4500 접근
서버 이벤트	IKE/IPsec 관련 반복 오류 또는 비정상 서비스 종료
프로세스	예상하지 못한 프로세스 및 자식 프로세스
외부 통신	서버에서 시작되는 비정상적인 outbound 연결
EDR	Exploit, memory corruption, reverse shell 관련 경보
계정	예상하지 못한 관리자 계정 또는 권한 변경

Windows에서는 IPsec Main Mode 관련 이벤트도 참고할 수 있습니다. Microsoft 문서에는 Event ID 4976이 IPsec이 잘못된 협상 패킷을 수신했을 때 기록될 수 있으며, 반복 발생 시 네트워크 문제 또는 협상 패킷 변조·재전송 시도를 확인하도록 설명돼 있습니다. 단, 이 이벤트 하나만으로 CVE-2026-33824 공격이라고 단정해서는 안 됩니다.

9. 왜 CVSS 9.8보다 KEV 등록 여부를 더 중요하게 봐야 하나?

CVE-2026-33824는 애초부터 CVSS 9.8 Critical이었지만 2026년 8월에는 상황이 한 단계 더 나빠졌습니다.

위험 요소	상태
CVSS	9.8 Critical
공격 경로	Network
공격 복잡도	Low
사전 인증	불필요
사용자 동작	불필요
영향	Remote Code Execution
메모리 취약점	CWE-415 Double Free
실제 악용	Active
CISA KEV	2026-08-18 등록
완전한 해결	Windows 보안 업데이트

CISA의 현재 SSVC 평가에서는 exploitation을 Active, automatable을 Yes, technical impact를 Total로 기록하고 있습니다.

따라서 실무에서는 단순히 CVSS 숫자만 보고 정기 패치 대상으로 분류하기보다 인터넷에 IKE 서비스를 노출한 미패치 Windows Server부터 긴급 점검하는 것이 적절합니다.

10. 실무자가 바로 사용할 점검 순서

Windows 버전 / Build 확인
        ↓
4월 수정 빌드 이상인지 비교
        ↓
IKEEXT 서비스 상태 확인
        ↓
UDP 500 / 4500 노출 여부 확인
        ↓
인터넷에서 직접 접근 가능한지 확인
        ↓
최신 Windows 누적 업데이트 적용
        ↓
패치 후 Build 재확인
        ↓
방화벽 / VPN Peer 접근 범위 최소화
        ↓
과거 IKE·EDR·네트워크 로그 점검

제가 이 취약점을 서버 환경에서 점검한다면 “Windows Update가 자동으로 켜져 있다”는 사실만 확인하지 않고 OS Build를 직접 수집한 뒤 Microsoft의 수정 빌드와 비교하는 방식을 권장합니다.

특히 여러 Windows Server를 운영한다면 PowerShell이나 자산관리 솔루션에서 OsBuildNumber, IKEEXT 상태, 최근 HotFix 정보를 함께 수집하면 미패치·노출 시스템을 빠르게 선별할 수 있습니다.

11. FAQ

Q. VPN을 사용하지 않는 일반 Windows PC도 영향을 받을 수 있나요?

Microsoft가 등록한 영향 제품에는 Windows Server뿐 아니라 여러 Windows 10 및 Windows 11 버전도 포함돼 있습니다.

다만 실제 위험도는 IKE 서비스가 네트워크에서 접근 가능한지, UDP 500/4500이 외부에 노출돼 있는지에 따라 크게 달라집니다.

Q. IKEEXT 서비스를 그냥 끄면 해결되나요?

일반적인 해결 방법으로 권장하기 어렵습니다.

IKEEXT는 IPsec의 인증과 키 교환에 사용되는 Windows 구성 요소이며 Microsoft는 서비스를 중지하거나 비활성화할 경우 IPsec 연결이 실패할 수 있다고 설명합니다.

근본적인 해결책은 Windows 보안 업데이트 적용입니다.

Q. UDP 500과 4500을 차단하면 패치하지 않아도 되나요?

아닙니다.

해당 포트를 사용하지 않는 환경에서 차단하면 공격 표면을 줄이는 데 도움이 되지만 어디까지나 임시 완화 방법입니다.

ZDI 역시 최종적인 완전한 해결은 벤더 보안 업데이트를 적용하는 것이라고 설명합니다.

Q. CVE-2026-33824는 현재 실제 공격에 사용되고 있나요?

네. 현재는 실제 악용이 확인된 상태로 봐야 합니다.

CISA는 2026년 8월 18일 이 취약점을 KEV에 추가했고 exploitation 상태를 Active로 변경했습니다. Unit 42 역시 실제 공격 활동에서 CVE-2026-33824를 이용한 reverse shell 시도를 확인했습니다.

마무리

CVE-2026-33824는 Windows IKE Extension의 IKEv2 Fragment 처리 과정에서 발생하는 Double Free 메모리 관리 취약점입니다. 공격자는 별도의 Windows 계정이나 사용자 클릭 없이 네트워크를 통해 취약점을 악용할 수 있으며, 성공하면 SYSTEM 수준의 원격 코드 실행으로 이어질 가능성이 있습니다.

무엇보다 이 취약점은 이제 과거의 패치 누락 문제로만 볼 수 없습니다.

2026년 8월 18일 CISA KEV 등록 + Active exploitation 확인이라는 조건이 추가됐기 때문에, 인터넷에 IKE/IPsec 서비스를 노출한 Windows Server라면 우선순위를 높여야 합니다.

실무에서는 다음 네 가지부터 확인하면 됩니다.

OS Build 확인
   ↓
IKEEXT / UDP 500·4500 노출 점검
   ↓
최신 Windows 누적 업데이트 적용
   ↓
기존 미패치 노출 서버의 침해 흔적 확인

특히 패치 이전에 인터넷에 UDP 500/4500이 장기간 노출돼 있었다면 “업데이트 성공 = 점검 종료”로 판단하지 않고 EDR·방화벽·IKE/IPsec 이벤트를 함께 검토하는 것이 이번 취약점 대응에서 중요한 포인트입니다.

Post Views: 52