[8월 19일 보안브리핑] Firefox·Thunderbird·Sentinel

오늘의 주요 보안 이슈

8월 18일 공개된 Mozilla 보안 권고는 Firefox와 Thunderbird의 공통 엔진에서 샌드박스 경계, 사이트 격리, 메모리 수명 관리와 권한 경계를 폭넓게 수정했습니다. Firefox 154 권고의 전체 영향 등급은 높음이며, 샌드박스 이탈로 분류된 CVE-2026-75874와 WebAssembly·가비지 컬렉션·그래픽 구성요소의 use-after-free 취약점이 포함됐습니다. 개별 문제 하나만 골라 차단하는 방식보다 지원 중인 브라우저와 메일 클라이언트가 수정 버전에 도달했는지 확인하는 편이 안전합니다.

같은 날 Azure operated by 21Vianet 환경에서는 Microsoft Sentinel 서비스 종료일이 도래했습니다. 이 변화는 취약점 패치와 성격이 다르지만, 보안 운영에는 같은 수준의 확인이 필요합니다. 브라우저와 메일 클라이언트가 최신 상태여도 로그 수집·분석·보관 경로가 끊기면 사고 전후의 행위를 추적하기 어려워집니다. 오늘은 엔드포인트의 실행 경계와 중앙 로그의 연속성을 한 번에 점검하는 것이 핵심입니다.

주요 이슈 한눈에 보기

• Firefox 154: 샌드박스 이탈, 사이트 격리, 권한 상승, use-after-free 등 높은 영향의 문제가 수정됐습니다. Firefox ESR도 115.39, 140.14, 153.1 계열 권고를 함께 확인해야 합니다.
• Thunderbird 154: Firefox와 공통인 Gecko 계열 수정이 반영됐습니다. 메일 읽기 화면에서는 스크립트가 비활성화되어 다수 문제가 직접 악용되기 어렵지만, 브라우저와 유사한 문맥이나 연결된 콘텐츠 처리까지 포함해 버전 관리를 해야 합니다.
• Microsoft Sentinel China: Azure operated by 21Vianet에서 8월 18일 서비스 종료가 적용됐습니다. 해당 리전에 의존한 조직은 수집기, 분석 규칙, 보관 정책과 조사 절차가 새 환경에서 이어지는지 검증해야 합니다.

오늘의 침해지표 동향

이번 회차의 방어 기준은 IP나 도메인 차단 목록보다 제품 버전과 로그 파이프라인 상태에 가깝습니다. Firefox와 Thunderbird에서는 실제 실행 파일의 버전, 자동 업데이트 정책, ESR 채널을 확인하고, Sentinel 전환에서는 마지막 정상 수집 시각·데이터 커넥터 상태·보관 위치를 기준점으로 삼은 편이 효과적입니다. 위협 인텔리전스 일치 여부만 확인하면 취약한 클라이언트나 끊어진 수집 경로가 그대로 남을 수 있습니다.

신규 주요 CVE

Firefox 154의 샌드박스·메모리 경계 수정

Mozilla는 Firefox 154에서 CVE-2026-75874를 Remote Settings Client 구성요소의 샌드박스 이탈 문제로 분류하고 높은 영향 등급을 부여했습니다. 샌드박스는 웹 콘텐츠 처리 과정에서 문제가 생기더라도 브라우저의 더 높은 권한이나 운영체제 영역으로 영향이 번지는 것을 제한하는 방어 경계입니다. 이 경계를 벗어날 수 있은 결함은 다른 렌더링 취약점과 결합될 때 공격 연쇄의 후반 단계가 될 수 있으므로, 단순 기능 오류와 다르게 다뤄야 합니다.

같은 권고에는 CanvasWebGL 사이트 격리 문제인 CVE-2026-74934, DOM 네트워킹 권한 상승 문제인 CVE-2026-74935, WebAssembly use-after-free인 CVE-2026-74936, JavaScript 가비지 컬렉션 use-after-free인 CVE-2026-74937이 포함됐습니다. use-after-free는 프로그램이 해제된 메모리를 다시 참조할 때 생기는 취약점으로, 브라우저처럼 외부 콘텐츠를 지속해서 파싱하고 실행하는 소프트웨어에서는 메모리 손상과 코드 실행 가능성으로 이어질 수 있습니다. Mozilla가 개별 문제의 세부 악용 절차를 공개하지 않은 만큼, 운영자는 취약점별 임시 우회보다 공식 수정 버전 적용과 버전 확인에 집중하는 편이 타당합니다.

그래픽 처리 영역도 범위가 넓습니다. CVE-2026-74940은 텍스트 그래픽 구성요소의 use-after-free, CVE-2026-74941은 CanvasWebGL 권한 상승, CVE-2026-74943은 ImageLib use-after-free로 분류됐습니다. 웹 페이지 한 곳만 차단하는 방식으로는 서로 다른 렌더링 경로를 포괄하기 어렵습니다. 프록시나 보안 게이트웨이가 있어도 브라우저 내부의 격리와 메모리 경계가 취약하면 최종 방어선이 약해지므로, 배포 시스템에서 브라우저 자체의 수정 상태를 자산 단위로 확인해야 합니다.

• 관리형 단말의 Firefox 버전이 154 또는 조직이 채택한 ESR 수정 계열에 도달했는지 자산 목록과 실제 실행 파일에서 함께 확인합니다.
• 자동 업데이트가 사용자 권한, 프록시, 애플리케이션 제어 정책 때문에 실패한 단말을 별도 목록으로 분리합니다.
• 업데이트 뒤 브라우저를 재시작하고 새 프로세스가 수정 버전으로 실행되는지 점검합니다.
• VDI·키오스크·업무용 포털 전용 단말처럼 장기간 세션을 유지하는 환경은 재부팅과 이미지 갱신 시점을 확인합니다.
• Firefox ESR을 쓰는 조직은 일반 릴리스 번호와 혼동하지 말고 115.39, 140.14, 153.1 권고가 적용되는 운영 계열을 기준으로 검증합니다.

Thunderbird 154의 공통 엔진과 메일 문맥

Thunderbird 154 권고는 Firefox와 공통인 여러 Gecko 취약점을 함께 다룹니다. Mozilla는 메일을 읽을 때 스크립팅이 비활성화되므로 일반적으로 이 결함들을 이메일만으로 악용할 수 없다고 설명했습니다. 이 문장은 위험이 사라졌다는 뜻이 아니라 노출 조건을 구분하라는 의미입니다. Thunderbird가 웹 콘텐츠를 표시하거나 브라우저와 유사한 문맥을 제공하는 기능, 외부 콘텐츠 처리, 확장 기능과 연계되는 환경에서는 공통 엔진의 보안 수정이 그대로 중요합니다.

메일 클라이언트는 장시간 실행되고 사용자가 종료하지 않은 경우가 많아 업데이트 배포 뒤 프로세스가 계속 살아 있은 문제가 자주 생깁니다. 설치 패키지가 갱신돼도 실행 중인 프로세스가 이전 바이너리를 유지하면 수정 효과가 즉시 반영되지 않을 수 있습니다. 중앙 배포 성공률만 보는 대신 실행 버전, 마지막 재시작 시각, 자동 업데이트 채널을 함께 확인해야 하는 이유입니다. 장기지원판을 운영한다면 Thunderbird 140.14 권고도 같은 날짜에 공개됐으므로 조직 표준 채널에 맞은 수정 계열을 선택해야 합니다.

이메일 보안 게이트웨이와 첨부파일 검사 장비는 악성 메시지를 줄이는 데 유용하지만, 클라이언트 렌더링 엔진의 샌드박스·메모리 안전 문제를 대신 고치지는 못합니다. 반대로 Thunderbird 자체를 업데이트해도 계정 탈취나 OAuth 토큰 오용, 규칙 변조 같은 메일 계정 위험이 자동으로 해소되지는 않습니다. 이번 권고의 범위는 클라이언트 소프트웨어 수정이며, 계정 보안과 메시지 필터링은 기존 통제를 유지해야 합니다.

• Thunderbird 154 또는 조직의 ESR 수정 버전이 실제 실행 중인지 확인합니다.
• 업데이트 설치 뒤 클라이언트를 완전히 종료하고 다시 시작해 새 프로세스 버전을 검증합니다.
• 외부 콘텐츠 자동 로드, HTML 메일 표시, 링크를 여는 기본 브라우저 정책을 조직 기준과 대조합니다.
• 확장 기능 호환성 때문에 업데이트가 지연된 단말은 예외 기간과 대체 통제를 기록합니다.
• 메일 보안 게이트웨이, 계정 다중요소 인증, 의심스러운 전달 규칙 감시는 별도 통제로 계속 운영합니다.

보안서비스 변경

Azure China의 Microsoft Sentinel 종료

Microsoft 문서에 따르면 Azure operated by 21Vianet의 Microsoft Sentinel 기능은 2026년 8월 18일 공식 종료됐습니다. 해당 리전에서 Sentinel을 직접 사용하지 않은 조직에는 적용되지 않지만, 중국 현지 법인·합작사·위탁운영사 또는 지역별 로그 워크스페이스를 분리한 기업은 자산 소유 관계부터 확인할 필요가 있습니다. 본사 테넌트만 조회하면 현지 구독과 워크스페이스 의존성을 놓칠 수 있습니다.

SIEM 전환의 완성 기준은 새 화면이 열리는지가 아니라 탐지와 조사 체인이 이어지는지입니다. 데이터 커넥터가 새 목적지로 이벤트를 보내고, 분석 규칙이 같은 필드와 시간대를 해석하며, 보관 정책이 조사에 필요한 기간을 유지해야 합니다. 자동화 규칙과 플레이북, 위협 인텔리전스 피드, 사건 티켓 연동도 종속성을 따로 가집니다. 한 구성요소라도 누락되면 경보 수가 갑자기 줄어든 것을 위협 감소로 오인할 수 있습니다.

마이그레이션 전후의 중복 수집도 함께 봐야 합니다. 전환 기간에 두 목적지로 로그를 보내면 수집 비용과 경보 중복이 늘 수 있고, 오래된 수집기를 서둘러 끄면 조사 공백이 생길 수 있습니다. 마지막 정상 수집 시각, 예상 이벤트량, 지연 시간, 필드 매핑과 탐지 규칙 실행 결과를 기준으로 이전 환경을 종료해야 합니다. 규제나 계약상 중국 리전 밖으로 내보낼 수 없은 로그가 있다면 데이터 거버넌스 담당자와 보관·이전 경계를 먼저 확정해야 합니다.

1. Azure operated by 21Vianet 구독과 Sentinel 워크스페이스의 소유 부서·수집기·데이터 원본을 목록화합니다.
2. 각 데이터 커넥터의 마지막 정상 수집 시각과 시간당 이벤트량을 기준선으로 저장합니다.
3. 대체 목적지에서 필드 매핑, 분석 규칙, 자동화 규칙, 사건 티켓 연동을 샘플 이벤트로 검증합니다.
4. 조사에 필요한 보관 기간과 검색 가능 범위를 확인하고 이전 워크스페이스의 종료 시점을 결정합니다.
5. 전환 후 24시간 이상 수집량·지연·경보 수를 비교한 뒤 중복 수집이나 누락된 로그 소스를 다룹니다.

운영 참고

오늘 세 가지 이슈는 서로 다른 계층에서 같은 교훈을 보여 줍니다. Firefox와 Thunderbird 수정은 외부 콘텐츠를 처리하는 클라이언트의 격리·메모리 경계를 다루고, Sentinel 종료는 그 클라이언트와 서버에서 생기는 이벤트를 모으는 관측 경계를 다룹니다. 어느 한쪽만 관리하면 패치되지 않은 단말 또는 보이지 않은 사고 구간이 남습니다. 자산 인벤토리, 배포 상태, 실행 버전, 로그 수집 상태를 같은 변경 기록으로 연결하면 누락을 줄일 수 있습니다.

• 브라우저·메일 클라이언트: 설치 성공 여부가 아니라 재시작 뒤 실제 실행 버전을 확인합니다.
• ESR 채널: 일반 릴리스와 장기지원판의 수정 번호를 구분하고 예외 단말의 종료일을 기록합니다.
• SIEM 전환: 마지막 정상 수집 시각과 예상 이벤트량을 기준으로 경보 공백을 찾습니다.
• 변경 후 검증: 웹 접속, 메일 렌더링, 로그 수집, 분석 규칙 실행, 사건 티켓 생성까지 실제 흐름을 점검합니다.

확인 기준은 2026년 8월 19일 07시 57분 KST입니다. 이후 Mozilla 보안 권고의 세부 설명이나 Microsoft의 서비스 전환 안내가 바뀌면 해당 환경의 운영 기준도 다시 대조해야 합니다.