집이나 회사에서 “윈도우 업데이트 끝났으니까 이제 안전하겠지?”라고 생각하셨나요? 그런데 그림판(Microsoft Paint)만큼은 이야기가 달라요. 그림판은 윈도우에 붙어 있는 것처럼 보이지만, 실제로는 Microsoft Store 앱이라서 보안 수정도 스토어로만 옵니다. 윈도우 업데이트 창에 초록 체크가 떠 있어도, 그림판 버전이 오래됐으면 구멍이 남아 있을 수 있어요.
오늘 다룰 구멍은 CVE-2026-83844입니다. 그림판 안에서 데이터를 경계 밖으로 읽는(out-of-bounds read) 문제인데, 마이크로소프트는 이를 원격 코드 실행(RCE)으로 분류했고 점수는 CVSS 8.1 Important예요. 2026년 10월 13일 공개됐고, The Hacker News가 2026년 11월 6일 기준으로 확인했을 때 수정 빌드 11.2609.401.0이 여러 국가 스토어에 올라와 있었습니다. 알려진 악용은 없었고 CISA KEV에도 없었습니다. 오늘은 “왜 윈도 업데이트로는 안 오는지”, “버전 숫자가 왜 두 개처럼 보이는지”, “가족 PC·회사 PC에서 어떻게 확인하는지”를 초보 눈높이로 풀어 볼게요.
한눈에 보는 핵심 정리
| 항목 | 내용 |
|---|---|
| 제품 | Windows 그림판 (Microsoft.Paint) — Microsoft Store 앱 |
| CVE | CVE-2026-83844 |
| 무엇? | out-of-bounds read(경계 밖 읽기) → 원격 코드 실행(RCE)으로 분류 |
| 점수 | CVSS 8.1 Important (공격 복잡도 High, 네트워크·무인증·무상호작용) |
| 공개일 | 2026-10-13 |
| 고친 빌드(MSRC 기준) | 11.2609.401.0 이상 ← 이 숫자를 기준으로 |
| CVE 기록에 남은 숫자 | affected below 11.2605.91.0 (스캐너가 헷갈릴 수 있음) |
| 패치 경로 | Microsoft Store만 (Windows Update로는 안 옴) · Customer Action Required: Yes |
| 악용 현황 | 공개·THN 확인 시점 기준 알려진 악용 없음 · CISA KEV 미등재 |
| 초보 핵심 | 스토어 라이브러리 → 업데이트 받기 → 버전 11.2609.401.0+ 확인 (계정마다·프로비저닝 복사본까지) |
비유부터 — ‘창문 방충망’과 ‘택배 앱’
윈도우 업데이트는 집 전체의 자물쇠·방범창을 한꺼번에 갈아 끼우는 공사예요. 반면 그림판은 벽에 걸린 작은 그림 앱 액자처럼, 스토어라는 택배 앱으로만 새 버전이 옵니다. 집 공사가 끝났다고 해서 액자 유리가 저절로 새것으로 바뀌지는 않아요.
| 쉬운 비유 | 실제 | 이번 이슈에서 |
|---|---|---|
| 집 전체 방범 공사 | Windows Update | 끝났어도 그림판은 그대로일 수 있음 |
| 택배 앱으로만 오는 액자 교체 | Microsoft Store 앱 업데이트 | CVE-2026-83844 수정본의 유일한 경로 |
| 찢어진 방충망 | out-of-bounds read | 데이터가 울타리 밖으로 넘침 → RCE로 이어질 수 있음 |
| 가족마다 다른 책상 서랍 | 사용자별 Store 앱 설치 | 내 계정만 고치면 동생·동료 계정은 남을 수 있음 |
| 새 입주자용 기본 가구 | 프로비저닝(provisioned) 복사본 | 새 Windows 계정 만들 때 옛 그림판이 다시 깔릴 수 있음 |
구멍이 뭐예요? — 경계 밖 읽기 → 원격 코드 실행
초보 말로 하면, 그림판이 어떤 데이터를 읽을 때 “여기까지만 읽어요”라는 울타리를 넘어서 옆 메모까지 엿볼 수 있는 구멍입니다(CWE-125). 마이크로소프트 보안 공지에 따르면 공격자는 네트워크로 특별히 만든 패킷을 영향받는 서비스에 보내는 방식으로 악용할 수 있다고 해요. 로그인도, 사용자가 파일 더블클릭도 필요 없다고 적혀 있습니다. 다만 그 ‘서비스’ 이름이 공지에 구체적으로 안 나와 있어서, “그림판을 켜지 않으면 100% 안전하다” 같은 단정은 어렵습니다. 공격 복잡도(Attack Complexity)는 High라서 “아무나 쉽게”는 아니지만, 점수는 8.1로 가볍지 않아요.
| 항목 | 내용 |
|---|---|
| CVE | CVE-2026-83844 |
| 쉬운 말 | 울타리 밖 메모리 읽기 → 원격으로 코드 실행 가능(벤더 분류) |
| 점수·등급 | CVSS 8.1 · Important |
| 약점 유형 | CWE-125 (Out-of-bounds Read) |
| 네트워크 / 인증 / 사용자 조작 | 네트워크 · 인증 불필요 · 사용자 조작 불필요(공지 기준) |
| 공격 복잡도 | High (대상 시스템에 대한 깊은 이해가 필요하다고 벤더가 명시) |
| 우리가 모르는 점 | 공지가 말하는 ‘영향받는 서비스’의 구체 명칭이 불명확 |
왜 윈도우 업데이트로는 안 와요?
마이크로소프트는 이 CVE에 Customer Action Required: Yes를 붙였어요. 즉 “자동으로 OS 패치만 받으면 끝”이 아니라, 스토어에서 그림판을 올려야 한다는 뜻입니다. 가족 PC든 회사 PC든 “업데이트 확인” 버튼만 누르고 끝내면 그림판은 빠질 수 있어요.
| 경로 | 무엇을 고치나 | 이번 Paint CVE |
|---|---|---|
| Windows Update / 설정 → Windows 업데이트 | OS·드라이버·일부 구성 요소 | 그림판 수정본 미전달 |
| Microsoft Store → 라이브러리 → 업데이트 받기 | Store 앱 (그림판 포함) | 유일한 공식 패치 경로 |
| Store 자동 업데이트 | 백그라운드 앱 갱신 | 켜 둬도 예전엔 고정 빌드가 스토어에 없어 못 옴 → 지금은 11.2609.401.0 제공 중(THN·RFF 2026-11-06) |
| Intune 등 MDM Store 앱 업데이트 스캔 | 회사 PC 여러 대 | 플릿 단위로 Store 갱신 트리거 가능 |
버전 숫자 미스터리 — 11.2605.91.0 vs 11.2609.401.0
여기가 제일 헷갈리는 지점이에요. CVE 공개 기록에는 아직도 “11.2605.91.0 미만이 영향”이라고 남아 있고, MSRC 보안 데이터는 고친 빌드를 11.2609.401.0으로 가리킵니다. 10월 13일 공개 당시 스토어 최신은 11.2605.81.0 부근이었고, 11.2605.91.0은 현장에서 찾기 어려웠다는 보고(Microsoft Q&A 등)가 있었어요. 11월 6일 무렵부터 스토어가 11.2609.401.0을 실제로 주기 시작했다는 게 THN·RFF 확인입니다.
| 시점 | 벤더가 가리킨 ‘고친 빌드’ | 스토어에 실제로 있던 최신(보고) |
|---|---|---|
| 2026-10-13 공개 | CVE 기록: affected below 11.2605.91.0 | 약 11.2605.81.0 (고정본 미도착) |
| ~2026-11-04 | MSRC 보안 데이터: 11.2609.401.0 | 여전히 ~11.2605.81.0 (RFF 다국가 카탈로그) |
| 2026-11-05 | 동일 11.2609.401.0 | 일부 PC는 11.2603.251.0처럼 더 뒤처짐 보고(Windows Latest) |
| 2026-11-06 | 11.2609.401.0 (기준으로 삼을 숫자) | THN 10개국·RFF US/UK/DE 등에서 11.2609.401.0 확인 |
초보 결론: 스캐너가 “11.2605.91.0이면 OK”라고 해도, 우리는 11.2609.401.0 이상을 목표로 잡으세요. 이 숫자면 CVE 기록과 MSRC 둘 다 통과합니다.
내 PC 버전 확인 — 설정 화면
그림판을 연 뒤 설정(톱니) 또는 정보 화면에서 버전을 볼 수 있어요. 숫자가 11.2609.401.0보다 작으면 아직 취약한 쪽입니다. 가운데 네 자리(2603·2605·2609)를 먼저 비교하면 쉬워요. 2603 < 2605 < 2609 순서입니다.
| 예시 버전 | 판정(MSRC 기준) | 한 줄 해석 |
|---|---|---|
| 11.2603.251.0 | 취약 | 두 단계 이상 뒤처짐 — 스토어 업데이트 급함 |
| 11.2605.81.0 | 취약 | 한동안 스토어 ‘최신’이었지만 고정본 아님 |
| 11.2605.91.0 | CVE 기록만 보면 ‘고침’처럼 보임 / MSRC 기준으로는 부족 | 11.2609.401.0으로 올리세요 |
| 11.2609.401.0 이상 | 고침 | 목표 달성 — 다른 계정·프로비저닝도 확인 |
PowerShell로 ‘모든 사람’ 확인하기
스토어 앱은 사용자 계정마다 따로 설치됩니다. 내 계정만 보면 동생·배우자·동료 계정의 옛 그림판을 놓칠 수 있어요. 관리자 PowerShell에서 아래처럼 확인하세요.
| 목적 | 명령(요약) | 초보 팁 |
|---|---|---|
| 모든 사용자 그림판 버전 | Get-AppxPackage -AllUsers -Name Microsoft.Paint 후 Version·Users 확인 |
-AllUsers를 빼면 내 것만 보임 |
| 프로비저닝 복사본 | Get-AppxProvisionedPackage -Online에서 DisplayName이 Microsoft.Paint인 항목의 Version |
새 계정용 ‘기본 가구’ 버전 |
| 판정 | 나온 모든 Version ≥ 11.2609.401.0 | 하나라도 낮으면 스토어 업데이트 또는 관리 도구로 재확인 |
가족 PC라면: 각자 계정으로 로그인해서 스토어 업데이트를 한 번 더 돌리거나, 관리자 계정에서 AllUsers 결과를 보고 빠진 계정을 챙기면 됩니다. 회사 PC라면 IT팀에 이 CVE와 빌드 숫자를 그대로 전달하세요.
스토어에서 고치는 방법 (가족·개인)
| 순서 | 할 일 | 비유 |
|---|---|---|
| 1 | Microsoft Store 앱 실행 | 택배 앱 열기 |
| 2 | 왼쪽 아래 라이브러리 선택 | 내 앱 창고 |
| 3 | 업데이트 받기 클릭 후 대기 | 새 액자 유리 배송 요청 |
| 4 | 목록에 그림판이 있으면 업데이트 완료까지 기다리기 | 교체 작업 |
| 5 | 그림판 다시 열어 버전 ≥ 11.2609.401.0 확인 | 새 유리 스티커 확인 |
| 6 | (선택) 다른 Windows 계정에도 같은 절차 | 다른 방 액자도 교체 |
회사·Intune 팁 (짧게)
많은 PC를 쓰는 조직은 개인이 스토어 버튼을 일일이 누르기 어렵습니다. Intune 등 MDM에서 Store 앱 업데이트 스캔을 돌리면 플릿에 같은 갱신을 촉발할 수 있어요(RFF가 실험한 SYSTEM 스캔과 같은 계열). 점검 후에는 다시 PowerShell로 AllUsers + 프로비저닝 버전이 11.2609.401.0인지 샘플링하세요. 스토어가 막혀 있거나 오프라인 링이면 IT 정책에 맞는 배포 경로를 따로 짜야 합니다.
| 환경 | 추천 행동 | 주의 |
|---|---|---|
| 가족·개인 PC | 스토어 라이브러리 → 업데이트 받기 | 계정마다 확인 |
| 회사·학교 관리 PC | IT/Intune Store 앱 업데이트 + 버전 인벤토리 | 스캐너가 11.2605.91.0을 ‘고침’으로 오판할 수 있음 |
| 스토어 사용 제한 PC | 관리 정책에 맞는 앱 배포·예외 요청 | Windows Update만으로는 해결 안 됨 |
아직 확실하지 않은 것 / 과한 공포를 줄이는 말
| 알고 있는 것 | 아직 불명확한 것 |
|---|---|
| Store 전용 패치, 목표 빌드 11.2609.401.0 | 공지의 ‘영향받는 서비스’ 구체 명칭 |
| CVSS 8.1, Important, AC:High | 가정용 PC에서 실사용 공격이 얼마나 쉬운지 |
| THN 확인 시 알려진 악용·CISA KEV 없음 | 앞으로 야생 악용이 나올지 여부 |
| 사용자별·프로비저닝 복사본이 따로 있음 | 모든 국가·모든 링에 스토어 배포가 동시에 도착하는지(지연 가능) |
패치 전에 “그림판을 지워야만 한다”는 임시 조언도 있었지만, 지금은 스토어에 고정본이 있으므로 업데이트하는 쪽이 기본입니다. 제거는 정말 쓰지 않는 PC·정책상 필요할 때만, 테스트 후 신중히.
초보 용어 미니 사전
| 용어 | 한 줄 설명 | 이번 글에서 |
|---|---|---|
| Microsoft Store 앱 | 스토어로 설치·갱신되는 앱 | 그림판이 여기에 속함 |
| Windows Update | OS 중심 업데이트 통로 | 이번 수정본은 안 옴 |
| RCE | 원격 코드 실행 | 벤더가 붙인 영향 분류 |
| out-of-bounds read | 허용 범위 밖 메모리 읽기 | 구멍의 기술 유형 |
| Appx / Get-AppxPackage | Store 앱 패키지·조회 명령 | 버전 전수 조사 |
| 프로비저닝 패키지 | 새 사용자에게 기본 설치되는 복사본 | 놓치기 쉬운 두 번째 그림판 |
| CVSS / Important | 심각도 점수·등급 | 8.1 Important |
| Customer Action Required | 고객이 직접 조치를 해야 함 | 스토어 업데이트 필요 |
| CISA KEV | 미 정부가 모은 ‘실제로 악용된’ 취약점 목록 | THN 확인 시 미등재 |
오늘 할 일 체크리스트
| 순서 | 할 일 | 초보 비유 |
|---|---|---|
| 1 | 그림판 버전 확인 (설정 또는 PowerShell) | 액자 유리에 적힌 제조 번호 보기 |
| 2 | 11.2609.401.0 미만이면 스토어 → 라이브러리 → 업데이트 받기 | 택배 앱으로 새 유리 받기 |
| 3 | -AllUsers로 다른 계정 버전 확인 |
다른 방 액자도 확인 |
| 4 | 프로비저닝 복사본 버전 확인 | 새 입주자용 기본 가구 점검 |
| 5 | 회사면 IT/Intune에 CVE·빌드 숫자 전달 | 관리 사무소에 공사 요청 |
| 6 | 윈도 업데이트만으로 ‘끝’이라고 단정하지 않기 | 집 공사 ≠ 액자 교체 |
한 줄 요약: 윈도우 업데이트가 끝났어도 그림판은 스토어를 열어야 합니다. 목표 숫자는 11.2609.401.0이고, 내 계정만이 아니라 다른 사용자·프로비저닝 복사본까지 같이 보면 안심에 한 걸음 더 가까워져요.