아웃룩에서 첨부 파일 하나 열었을 뿐인데 계정이 털린다? — 실제 공격 중인 CVE-2026-124194, 11월 업데이트 확인법
윈도우 PC에서 아웃룩을 쓴다면 이번 주 안에 오피스 업데이트를 끝내야 합니다. 마이크로소프트는 11월 정기 업데이트(미국 11월 10일)에서 실제 공격에 쓰이고 있는 아웃룩 취약점 CVE-2026-124194를 고쳤습니다. 조작된 메시지 파일을 열면 경고 없이 공격자 서버에 접속해, 그 사용자로 로그인하는 데 쓰일 인증 정보가 넘어갈 수 있습니다.
무슨 일인가
마이크로소프트 보안 업데이트 가이드에 따르면 이 취약점은 '스푸핑', 심각도 '보통', CVSS 6.5이지만 '악용이 발견됨'으로 표시됐습니다. 공격자는 로그인 없이 특수하게 만든 파일을 보내고 사용자가 열도록 속입니다. 파일이 열리면 아웃룩이 평소 띄우는 외부 콘텐츠 경고 없이 공격자 쪽 네트워크 위치에 연결하고, 이때 윈도우 인증 값인 NTLMv2 해시가 노출될 수 있습니다. 미국 CISA는 이 취약점을 실제 악용 목록(KEV)에 올리고 연방기관에 11월 24일까지 패치하라고 했습니다(THN 11/11).
메일로 받음
직접 열기
외부 서버 연결
→ 사용자 사칭
왜 중요한가
등급은 '보통'이지만 이미 공격에 쓰이고, 메일 첨부 하나로 시작한다는 점이 무겁습니다. 해시를 얻은 공격자는 그 사용자로 인증할 수 있다고 마이크로소프트는 설명합니다. 견적서·세금계산서처럼 첨부 파일을 매일 여는 사무실일수록 노출 기회가 많습니다. 공격 주체와 구체적 수법은 공개되지 않았습니다.
| 쓰는 오피스 | 11월 보안 업데이트 빌드 | 할 일 |
|---|---|---|
| Microsoft 365 앱(현재 채널) | 버전 2610 · 빌드 20527.20196 | 지금 업데이트 |
| Office 2024·2021 소매판 | 버전 2610 · 빌드 20527.20196 | 지금 업데이트 |
| Office LTSC 2024 | 16.0.17932.21140 | 관리자 배포 확인 |
| Office LTSC 2021 | 16.0.14334.21048 | 관리자 배포 확인 |
| 맥·웹 아웃룩 | 영향 목록에 없음 | 윈도우 PC만 챙기기 |
내 사업·앱에 무슨 의미
- 사무실을 운영하는 사장님 — 직원 PC마다 오피스 자동 업데이트가 켜져 있는지 오늘 한 번 확인하세요.
- 쇼핑몰·스토어 운영자 — 주문·견적 문의를 메일로 받는다면 모르는 발신자의 첨부 파일은 업데이트 전까지 열지 않는 것이 안전합니다.
- 개발자·유지보수 담당자 — 고객사 PC를 관리한다면 LTSC 판은 자동으로 안 올라올 수 있으니 배포 상태를 따로 봐야 합니다.
지금 해볼 것
앱몬스터 작업용 맥북 에어는 영향 목록에 없는 맥이라, 이 글은 2026년 11월 기준 마이크로소프트 공식 자료로 정리했습니다. 윈도우 업데이트로 오지 않는 그림판 취약점은 11월 7일 소식에 정리했습니다.
Q&A — 아웃룩 취약점 자주 묻는 질문
미리 보기 창에서 메일만 봐도 위험한가요?
아닙니다. 마이크로소프트는 미리 보기 창은 이번 취약점의 공격 경로가 아니라고 밝혔습니다. 공격자가 보낸 파일을 사용자가 직접 열어야 성립합니다. 그래도 업데이트 전까지는 모르는 사람이 보낸 첨부 파일을 열지 않는 것이 기본 대비입니다.
맥용 아웃룩이나 웹 아웃룩도 해당되나요?
해당되지 않습니다. 마이크로소프트 영향 목록에는 윈도우용 Microsoft 365 Apps for Enterprise와 Office LTSC 2024·2021만 있습니다. 맥용 아웃룩과 웹 아웃룩은 목록에 없습니다. 다만 같은 사무실 윈도우 PC가 있다면 그쪽은 업데이트해야 합니다.
의심스러운 파일을 이미 열었다면 어떻게 하나요?
먼저 오피스 업데이트를 마친 뒤 그 PC에서 쓰는 윈도우·회사 계정 비밀번호를 바꾸는 편이 안전합니다. 이 취약점은 비밀번호 대신 쓰이는 인증 값(NTLMv2 해시)을 넘기는 것이어서, 공격자가 그 사용자로 로그인할 수 있다고 마이크로소프트가 설명했습니다. 회사 계정이면 관리자에게 알리세요.
출처
- Microsoft — CVE-2026-124194 Outlook 스푸핑 취약성 보안 업데이트 가이드 (2026-11-11 게시)
- Microsoft Learn — Office 보안 업데이트 릴리스 노트 (2026-11-10)
- The Hacker News — Microsoft Patches 1,259 Flaws, Including Exploited Outlook Bug (2026-11-11)