마이크로소프트 패치 화요일(Microsoft Patch Tuesday)은 마이크로소프트가 Windows와 Office 등 자사 제품에 정기적으로 업데이트를 배포하는 날을 가리키는 비공식 용어입니다. 2003년부터 매달 둘째 주 화요일, 시계처럼 정확하게 지켜져 온 일정이기도 합니다. 다른 소프트웨어와 마찬가지로 Windows 역시 다양한 보안 취약점에 노출되어 있으며, 마이크로소프트는 이러한 취약점에 대한 수정 사항을 매주 화요일마다 배포합니다.
마이크로소프트의 패치 화요일
새로운 보안 취약점과 버그가 발견될 때마다 마이크로소프트 개발팀은 이에 대한 수정 프로그램을 만들어냅니다. 이렇게 완성된 업데이트는 미국 시간 기준 매달 둘째 주 화요일에 대규모 업데이트 형태로 공개됩니다. 핫픽스(hotfix), 제로데이 취약점 패치, 익스플로잇(exploit) 같은 용어를 들어본 적이 있으실 겁니다.
마이크로소프트가 이러한 패치들을 한데 모아 배포하는 데에는 분명한 이유가 있습니다. 첫째, 패치 배포 비용을 줄일 수 있습니다. 둘째, IT 관리자에게 '곧 업데이트가 올 것이다'라는 예측 가능성을 제공합니다. IT 관리자는 릴리스 노트(Release Notes)를 확인하고 그에 맞춰 대비할 수 있습니다. 다만 취약점이 심각한 경우에는 릴리스 노트가 늦게 공개되기도 합니다.
업데이트가 화요일에 배포되는 것도 의미심장한 부분입니다. 주말 전까지 충분한 시간을 확보할 수 있어서인데, 업그레이드 과정에서 문제가 발생하더라도 IT 관리자가 여유 있게 복구 작업을 진행하고 피드백을 보고할 수 있습니다.
흥미로운 사실 하나를 소개하자면, 많은 기업들이 자사의 보안 업데이트 일정을 마이크로소프트의 월간 주기에 맞추고 있습니다. 어떤 제품들이 Windows Update를 통해 업데이트를 받는다면, 그것은 해당 제품이 Microsoft Update와 연동되어 있기 때문입니다.
패치 화요일 업데이트는 얼마나 중요한가?
매우 중요합니다. 이 업데이트들은 보안 수정 사항이 대부분을 차지하기 때문입니다. 랜섬웨어(Ransomware)나 원격 코드 실행을 허용하는 버그로 인해 컴퓨터의 데이터가 유출되거나 훼손되기를 원하는 사용자는 없을 것입니다. 따라서 누적 업데이트(Cumulative Update)는 최대한 빨리 설치하는 것이 좋습니다. 참고로 보안 업데이트는 위협 요소가 되기 때문에, 업데이트를 일시 중지한 상태라 하더라도 별도로 제공됩니다.
이러한 업데이트는 지원 기간 내에 있는 Windows 버전에만 배포됩니다. Windows 7처럼 지원이 종료된 구버전을 사용하려면 별도의 지원 구독을 구매해야 합니다. 오래된 Windows 버전이나 지원이 끝난 Windows 10 기능 업데이트를 계속 사용하면 제로데이 공격(Zero-day Attack)에 노출될 위험이 커집니다. Windows 10부터 마이크로소프트는 18개월보다 오래된 버전의 Windows 10을 강제로 업데이트하도록 정책을 변경했습니다.
패치 화요일 일정
패치 화요일은 통상 미국 시간 기준 매달 둘째 주 화요일에 배포되지만, 넷째 주 화요일에 배포된 사례도 있습니다. 또한 사용자가 속한 시간대에 따라 수요일에 도착하는 경우도 있습니다. 패치 화요일 업데이트는 준비되는 즉시 일반 소비자에게 제공되며, 기업 고객에게는 먼저 알림이 전달됩니다. 기업은 자체 일정에 맞춰 업데이트 적용 시점을 선택할 수 있습니다.
마이크로소프트는 가정용 사용자에게는 보안 업데이트가 준비되는 대로 즉시 배포하지만, 기업 고객은 월간 업데이트 주기를 따르도록 하고 있습니다. 이를 'Windows Update for Business'라고 부릅니다.
때로는 취약점 정보가 대중에게 공개되기도 하는데, 이 경우 심각도가 높으면 마이크로소프트가 즉시 보안 업데이트를 배포하기도 합니다.
마이크로소프트는 패치 화요일 일정을 정리해 공식 웹페이지에서 안내하고 있으니, 정확한 일정이 궁금하다면 해당 페이지를 확인해 보시기 바랍니다.
익스플로잇 수요일(Exploit Wednesday)
마이크로소프트는 대부분의 경우 패치와 함께 릴리스 노트를 공개합니다. 그런데 이것이 역설적으로 공격자에게 무엇이 수정되었는지 명확히 알려주는 결과를 낳습니다. 여기서 '익스플로잇 수요일'이라는 비공식 용어가 등장합니다. 공격자들이 패치 화요일 업데이트를 분석·테스트하여, 이전까지 알려지지 않았던 취약점을 즉시 악용하는 현상을 말합니다. 따라서 화요일 업데이트를 건너뛰면 오히려 보안 위험이 커질 수 있습니다.
변화하는 세상 속에서 패치 화요일은 지속 가능한가?
익스플로잇 수요일 같은 상황과 급증하는 사이버 공격을 보면 한 가지 질문이 떠오릅니다. 과연 패치 화요일은 앞으로도 잘 작동할 수 있을까요? 결론적으로는 지속 가능하지만, 업데이트의 품질이 더욱 정교해져야 합니다. 보안 패치가 새로운 문제를 일으키면 양날의 검이 되기 때문입니다. IT 관리자는 업그레이드를 망설이다가 보안 위협에 그대로 노출되고 맙니다.
실제로 2019년 10월의 패치 업데이트는 정부 화물 추적 시스템에 문제를 일으켰고, 결국 해당 업데이트를 철회해야만 문제를 해결할 수 있었습니다.
신고된 취약점에 대한 수정 사항은 최대한 빨리 배포되어야 함이 분명하지만, 동시에 마이크로소프트와 기업 양측 모두에게 관리 부담이라는 딜레마가 됩니다.
앞으로 마이크로소프트가 어떻게 변화해 나갈지, 그리고 패치 화요일에서 우리가 어떤 변화를 목격하게 될지는 시간이 답해줄 것입니다.