Outlook 보안 업데이트를 배포한 뒤에는 실제 설치 빌드를 확인해야 합니다. 업데이트 전에 의심스러운 메시지 파일을 연 PC가 있다면, 당시 외부로 연결됐는지와 Windows가 NTLM 인증을 시도했는지도 살펴야 합니다. PC의 업데이트 설치 이력으로 취약점이 수정된 시점을 확인하고, 인증 로그로 그전에 인증정보가 노출됐을 가능성을 판단합니다.
사용자가 파일을 열 때 발생하는 Outlook 스푸핑
Microsoft는 CVE-2026-124194를 위험한 동작에 대한 경고가 빠진 Outlook 스푸핑 취약점으로 분류했습니다. 스푸핑은 여기서 다른 사용자로 가장하는 것을 뜻합니다. 영향받는 Outlook에서 사용자가 조작된 메시지 파일을 열고 네트워크 연결이 가능하면, Outlook이 통상적인 외부 콘텐츠 경고 없이 공격자가 제어하는 위치로 연결할 수 있습니다. MSRC는 미리 보기 창을 공격 경로에서 제외했습니다. MSRC 보안 공지
CVE 기록의 공개일은 2026년 11월 10일(UTC)입니다. Microsoft가 매긴 CVSS v3.1 기본 점수는 6.5점(중간)이며, 원본 공지 기준으로 이미 악용이 관측됐습니다. CISA는 11월 10일 이 CVE를 실제 악용 취약점 목록(KEV)에 추가했습니다. KEV에 적힌 11월 24일은 미국 연방 민간 행정부 기관의 조치 기한입니다. MSRC 보안 공지 · CISA KEV
평문 암호와 NTLMv2 인증 응답의 차이
평문 암호는 사용자가 입력하는 원래 문자열입니다. Windows가 인증에 사용하는 NT 해시는 암호에서 계산한 값입니다. NTLMv2에서는 서버가 일회성 값인 챌린지를 보내고, 클라이언트가 암호에서 파생된 키를 사용해 해당 요청에 맞는 인증 응답을 계산해 돌려줍니다. MSRC가 이 취약점에서 ‘NTLMv2 해시’라고 부른 값은 이 네트워크 인증 과정에서 노출될 수 있는 응답입니다. MSRC 보안 공지
인증 응답도 민감정보입니다. 약한 암호는 유출된 응답을 바탕으로 후보를 추측해 검증할 수 있고, 진행 중인 인증 교환은 대상 서버의 보호 설정에 따라 중계 공격에 악용될 수 있습니다. 조사 기록에는 인증 시도, 인증 응답 전송, 이후 의심스러운 계정 사용 중 어떤 증거를 확보했는지 남깁니다. Microsoft NTLM 감사 지침
외부 SMB 차단과 NTLM 예외 관리
SMB는 Windows 파일 공유 등에 쓰이는 프로토콜입니다. 인터넷으로 나가는 TCP 445 연결은 기본 차단하고, 업무상 필요한 파일 서버 연결은 승인된 목적지로 좁힙니다. 사내 방화벽을 거치지 않는 재택·출장 PC에는 Windows 방화벽 정책도 적용해 실제 차단 여부를 확인합니다. Microsoft SMB 지침
네트워크 차단과 함께 Windows에서 원격 서버로 나가는 NTLM 사용 기록을 수집합니다. 그룹 정책에서 ‘Audit all’을 먼저 적용해 의존하는 서버를 찾고, 전환 가능한 업무 경로는 Kerberos로 옮깁니다. 구형 파일 서버처럼 NTLM이 필요한 곳은 목적지와 업무 사유를 기록하고, 예외를 적용할 PC 범위를 좁힌 뒤 단계적으로 제한합니다. 이 조치는 인증 경로를 줄이는 보완책이며 Outlook 수정은 Office 업데이트로 적용합니다. Microsoft NTLM 감사 지침 · Office 릴리스 노트
Office 수정 빌드와 인증 로그 대조
공식 공지에 명시된 Windows 제품은 Microsoft 365 Apps for Enterprise와 Office LTSC 2021·2024이며, 각 제품의 32비트와 64비트가 해당합니다. Outlook 계정 화면이나 자산 관리 도구에서 제품명과 실제 설치 빌드를 확인합니다. Microsoft 365 Apps는 업데이트 채널과 버전에 따라 기준 빌드가 달라집니다. MSRC 보안 공지 · Office 릴리스 노트
LTSC 2021은 16.0.14334.21048, LTSC 2024는 16.0.17932.21140부터 수정됐습니다. Microsoft 365 Apps는 11월 10일 릴리스 노트의 해당 채널·버전 빌드를 대조합니다. 예를 들어 버전 2610의 Current Channel은 20527.20196, Monthly Enterprise Channel은 20527.20194가 기준입니다. 배포 후 PC에서 확인한 빌드로 설치 여부를 판정합니다. MSRC 보안 공지 · Office 릴리스 노트
의심 신고가 들어오면 메일·단말 보안 기록에서 파일 열람 시각과 PC를 확인하고, 로그에 기록된 시간대를 맞춥니다. 같은 시간대의 방화벽 기록에서 목적지와 허용·차단 결과를 보고, 단말의 Microsoft-Windows-NTLM/Operational 로그에서 해당 목적지의 NTLM 감사·차단 이벤트를 찾습니다. 연결 허용은 통신 경로가 열렸다는 신호입니다. 인증 응답 전송 여부는 세션 기록 등 추가 증거로 판단하고, 기록이 비어 있으면 당시 수집 정책과 보존 범위를 먼저 확인합니다. Microsoft SMB 지침 · Microsoft NTLM 감사 지침
결론
미패치 PC는 실제 설치 빌드를 확인해 보안 업데이트를 우선 적용합니다. 업데이트 전에 의심 파일 열람과 미승인 목적지로의 NTLM 시도가 함께 확인됐다면, 로그를 보존하고 사고 대응 담당자에게 넘깁니다. 인증정보 노출이나 계정 도용 정황에 따라 PC 격리와 암호 재설정 범위를 결정합니다.