이 게시글은 해킹 학습 플랫폼 드림핵 팀이 작성했습니다.
드림핵은 사이버 보안, 해킹을 공부할 수 있는 국내 최대 학습 플랫폼으로,
현재 8만 명이 드림핵에서 함께 해킹을 공부하고 있습니다.
더 다양한 해킹의 원리가 궁금하다면?
드림핵에서 확인해 보세요!
CVE와 취약점, 초보가 해킹 공부에 활용하는 방법
CVE 번호와 CVSS 점수, 어떻게 읽고 활용할 수 있을까요? 실제 취약점 사례로 확인하는 법부터 관련 워게임 문제를 찾아 실습하는 방법까지 확인해 보세요!
Jul 27, 2026
지난 2026년 7월, 마이크로소프트가 한 달 동안 새로운 CVE 621건(Zero Day Initiative, ZDI의 7월 집계 기준)을 패치했어요. 이 수치는 매일 새로운 보안 취약점이 20개씩, 엄청난 양의 취약점이 발견되고 있다는 뜻이기도 한데요.
이렇게나 많은 취약점이 어떻게 발견되고 공개된 걸까요?
CVE는 어떤 걸까요?
이 질문의 답을 알아두면 보안 공부할 때 도움이 될 거예요!
이번 게시글에서는 취약점이 세상에 알려지는 경로부터, CVE 번호를 보고 어떤 취약점인지 파악한 뒤 관련 워게임 문제를 찾아 직접 실습해 보는 방법까지 하나의 흐름으로 정리해 볼게요.
취약점은 어떻게 세상에 공개될까요?
이번에 공개한 621건의 취약점을 모두 마이크로소프트가 자체적으로 찾아낸 건 아니에요. 개인 보안 연구자나 기업 내부 보안팀이 취약점을 발견해서 벤더에 제보하고, 벤더가 검증한 뒤 패치를 준비하고, CVE 번호가 부여되어 공개됩니다. 취약점은 발견, 제보, 패치, 공개의 과정을 거쳐 세상에 알려지게 되는데요.
이 중 제보 단계의 대표적 경로가 버그바운티 프로그램이에요.
기업이 우리 제품의 취약점을 연구자들에게 제보를 받고 보상하는 구조인데, 이번 달 패치 중 일부도 바로 이 경로를 거쳐 세상에 모습을 드러냈습니다. 아직 알려지지 않은 소프트웨어의 약점을 찾아 벤더에 보고하는 것이 보안 연구자의 실제 업무 중 하나이기도 해요. 버그 바운티를 더 자세히 알고 싶다면? 👉 버그 바운티 입문 가이드 게시글을 확인해 보세요!
그러면 취약점에 붙는 CVE-2026-56164 이 문자열은 무엇이고, 어떻게 정해지는 걸까요?
CVE란?
전 세계에서 매일 수많은 취약점이 발견되는데요. 이 많은 취약점을 사람마다 다르게 부르면 어떻게 될까요? 같은 취약점을 두고 누구는 SharePoint 버그, 누구는 권한상승 이슈라고 부르면 혼란스럽겠죠. 그래서 취약점에는 고유한 ID가 발급됩니다. 그 ID를 바로 CVE라고 해요.
CVE는 Common Vulnerabilities and Exposures의 약자로, 번역하면 공통 취약점 및 노출이에요. 전 세계 보안 취약점에 붙는 고유 식별자입니다. 앞에서 예시로 들었던 CVE-2026-56164도 SharePoint의 권한상승 취약점을 가리키는 이름표인 셈이죠.
CVE 번호는 CVE-YYYY-NNNNN처럼 단순한 구조를 가집니다.
앞 네 자리는 연도, 뒤에 붙는 숫자는 고유의 일련번호예요. 이 번호는 미국의 비영리 연구기관인 MITRE가 운영하는 CVE 프로그램에서 관리하고 있는데요. 1999년 미국 정부의 지원을 받아 시작된 프로그램으로, 지금까지 30만 건이 넘는 CVE를 등록해왔어요. 2025년 한 해에만 새로 등록된 CVE가 48,185건으로 2024년 39,962건 보다 20%나 늘었습니다.
이름이 있는 취약점
대부분의 CVE는 이 무미건조한 번호로만 불리지만, 가끔 이름과 로고까지 얻어 대중에게 각인되는 경우도 있어요. OpenSSL의 정보 유출 취약점이었던 Heartbleed(CVE-2014-0160), Bash의 환경 변수 처리 취약점 Shellshock(CVE-2014-6271), Log4j 라이브러리의 원격 코드 실행 취약점 Log4Shell(CVE-2021-44228) 같은 사례가 대표적입니다. 영향 범위가 넓거나 파급력이 컸던 취약점일수록 이렇게 별명이 붙는 경향이 있어요.
CVSS: 취약점의 위험도
보통 취약점을 볼 때 CVE 번호와 함께 확인할 수 있는 지표가 더 있는데요.
바로 CVSS(Common Vulnerability Scoring System) 점수예요. 전 세계 보안 사고 대응 팀과 제품 보안 대응 팀의 협력을 지원하는 국제 조직, FIRST(Forum of Incident Response and Security Teams)가 관리하는 기준으로, 취약점의 위험도를 나타내요. 점수는 Low(0.1~3.9)부터 Medium(4.0~6.9), High(7.0~8.9), Critical(9.0~10.0)로 나눠 표현합니다. 참고로 CVSS는 3.1과 4.0 버전이 함께 쓰이고 있지만, 등급을 나누는 점수 구간은 동일해요.
CVE 번호, CVSS 점수는 모두 cve.org나 NVD(National Vulnerability Database) 같은 공개 데이터베이스에서 검색해서 직접 확인할 수 있어요. 이 외에도 마이크로소프트라면 MSRC처럼 벤더가 직접 운영하는 보안 공지 페이지에서 더 자세한 설명이나 패치 방법을 확인할 수도 있습니다.
CVE를 확인하는 방법
이번 2026년 7월 마이크로소프트에서 공개된 CVE-2026-56164를 예시로 함께 확인해 볼게요. 조금 어려운 용어는 다음에 공부해 보고, 이 게시글에선 어떻게 확인하는지 방법을 익혀보세요.
취약점 설명 (Description)
특정 CVE를 검색해서 설명 페이지에 들어가면 Description 란에 이 취약점을 설명하는 문장이 나와요. 쉽게 풀어보면,
SharePoint의 특정 기능은 원래 로그인(인증)을 거쳐야 쓸 수 있는데, 이 취약점으로 인해 로그인 없이도 그 기능을 쓸 수 있게 돼요. 그리고 이걸 악용해 원래보다 더 높은 권한을 가질 수 있습니다.
여기서 더 높은 권한을 가질 수 있는 부분을 영어로 elevate privileges라고 쓰여 있는데요, 이 취약점의 유형을 알려주는 핵심 키워드로 볼 수 있어요. 해당 키워드로 우리는 이 취약점이 흔히 권한상승(Elevation of Privilege)이라고 부르는 유형에 속하는 것을 알 수 있는 것이죠.
CVSS 점수
이제 취약점이 얼마나 위험한지도 확인해 볼까요? 페이지 하단 Metrics를 보면 CVSS 점수를 확인할 수 있는데요. 같은 취약점인데 채점 주체에 따라 점수가 완전히 다르게 나와 있습니다.
NVD(NIST) 채점: 9.8, Critical
마이크로소프트 자체 채점: 5.3, Medium
무려 4.5점 차이로, 등급으로는 Medium과 Critical을 오갈 정도예요. 왜 이런 차이가 날까요?
NVD는 기밀성·무결성·가용성 영향을 C:H/I:H/A:H로, 취약점이 뚫리면 정보 유출, 데이터 변조, 서비스 마비까지 크게 영향을 준다고 판단했고, 마이크로소프트는 C:N/I:L/A:N으로 이 취약점이 미치는 영향을 훨씬 제한적으로 봤어요. 같은 취약점을 두고도 공격이 성공했을 때 실제로 어디까지 영향을 미칠 수 있는지를 다르게 해석한 것이죠.
중요한 점은 점수가 5.3이든 9.8이든, 이 취약점은 실제로 공격에 쓰이고 있다는 것인데요. 패치 관리나 보안 운영을 목표로 공부하고 있다면 이렇게 점수 하나만 보지 않고 여러 출처를 교차 확인해 보는 것이 좋아요.
워게임으로 취약점 연습하는 방법
CVE 설명에서 읽어낸 취약점 유형은 그 자체로 검색 키워드가 되어 공부에도 활용할 수 있습니다. 드림핵 워게임은 웹 해킹, 시스템 해킹, 리버싱, 포렌식, 크립토, web3 등 분야별로 나뉘어 있고, 각 분야 안에서 다시 세부 키워드로 문제를 걸러볼 수 있는 기능이 있습니다. 웹 해킹 한 분야에만 SQL Injection, Command Injection, Auth Bypass, CSRF처럼 80개가 넘는 세부 키워드로 구분되어 문제를 확인할 수 있어요.
실제로 System Hacking의 Vulnerability 키워드를 확인해 보면, 안드로이드 커널의 Use-After-Free 취약점인 Bad Binder(CVE-2019-2215)를 재현한 문제 Case Study UAF를 확인할 수 있어요. 윈도우 SharePoint가 아니라 안드로이드 커널이라는 점에서 CVE-2026-56164와 플랫폼은 다르지만, 권한상승이라는 같은 유형의 취약점이 다른 환경에서 어떻게 나타나는지 직접 풀어볼 수 있는 것이죠.
기술적으로 보면 SharePoint는 웹 애플리케이션의 인증 로직 문제고, Bad Binder는 커널 메모리 구조를 다루는 완전히 다른 영역입니다. 둘 다 권한상승 키워드로 묶이는 이유는, 권한상승이 특정 기술이나 방법이 아니라 원래 가지면 안 되는 권한을 갖게 되는 결과를 가리키는 말이어서 그렇습니다. 결과에 도달하기까지 방법이 완전히 다를 수 있어요.
실제 문제 목록
CVE-2026-56164처럼 환경 구성이 어렵거나 최근에 알려진 취약점의 경우 정확히 일치하는 문제가 없을 수도 있지만, 뉴스에서 본 취약점 유형과 이미 널리 알려진 CVE들 중 드림핵 워게임에서 직접 풀어볼 수 있는 문제들도 있어요.
참고로 이 문제들 중 드림핵이 제작한 것도 있지만, 유저들이 직접 제작한 문제도 있어요. 드림핵은 워게임을 푸는 유저들이 직접 워게임 문제를 만들어 공유할 수 있습니다. 유명한 CVE를 보고 나라면 이렇게 문제를 만들 것 같다는 생각이 든다면, 직접 제작해 보는 것도 좋은 학습 방법이 될 수 있어요.
읽는 것과 푸는 것은 달라요
키워드로 찾은 문제 중에서 내 실력과 맞는 난이도의 문제부터 시도해 보세요. 문제마다 난이도가 표시되어 있어서 처음 시작하는 분야라면 낮은 난이도부터 골라볼 수 있어요. 뉴스와 위키에서 이름만 들어봤던 Heartbleed를 재현해 볼 수 있는 문제, Listen To My Heart도 좋은 출발점이에요.
읽는 것과 실제 환경에서 재현해 보는 것은 이해의 깊이가 완전히 달라지죠. CVE 보고서 한 줄로 권한상승 취약점이구나 생각하는 것과, 워게임 환경에서 직접 권한을 높여보는 과정을 손으로 겪어보는 것은 전혀 다른 경험이에요.
권한상승을 다룬 다른 취약점도 확인해 보고 싶다면, Copy Fail(CVE-2026-31431)을 다룬 글도 참고해 보세요. 이번엔 SharePoint가 아니라 리눅스 커널의 페이지 캐시를 이용한 권한상승을 다루는데요, 그림과 비유로 메커니즘을 설명하고 마지막엔 직접 풀어볼 수 있는 워게임도 소개합니다. 같은 유형의 취약점이 환경에 따라 어떻게 달라지는지 비교해 보는 것도 재미있는 학습 방법이에요.
CVE가 처음엔 그냥 알파벳과 숫자가 뒤섞인 낯선 문자열처럼 보였을 수도 있어요. 이제는 어떤 취약점인지, 어디서 확인할 수 있는지, 취약점 유형을 파악하고 관련된 실습 문제를 찾는 방법까지 알게 되셨는데요.
다음에 보안 뉴스에서 CVE를 마주치면 그냥 지나치지 말고 대표 키워드를 드림핵 워게임에 검색해 보세요! 뉴스 속 취약점을 내가 직접 풀어보며 재현하는 경험을 할 수 있을 것입니다.
✨
Share article