2026년 9월 8일, 마이크로소프트는 보안 업데이트 KB5002914를 배포했다. 이 패치는 엑셀의 29개 취약점을 한 번에 막아내며 수천만 대의 PC 백그라운드에 조용히 설치되었다. 하지만 다음 날, 수많은 사용자가 기이한 현상을 마주했다. 스프레드시트에서 셀을 복사한 뒤 붙여넣으려고 해도 화면에 아무런 반응이 없는 것이었다.
붙여넣을 대상 위치는 미동도 하지 않았다. 오류 대화상자도 뜨지 않았고, 스피커에서는 아무런 경고음도 울리지 않았다. 복사하려던 원본 내용만이 선택된 채 하이라이트 상태를 유지하고 있을 뿐이었다.
피드백 고리를 파괴하는 침묵의 결함
소프트웨어 엔지니어링에는 하나의 상식이 있다. 가장 치명적인 결함은 바로 침묵의 실패(Silent Failure)라는 점이다. 프로그램 충돌은 적어도 명확한 작동 중단 신호를 보낸다. 사용자는 기술 지원을 요청하거나 시스템을 다시 시작해야 한다는 사실을 알 수 있다. 하지만 이번 엑셀 붙여넣기 오류에서 마이크로소프트는 완벽한 침묵의 실패 사례를 보여주었다.
공식 ‘알려진 문제’ 페이지의 설명은 대단히 정확하다. 사용자가 내용을 붙여넣으려고 시도할 때, 원본 내용은 여전히 선택된 상태로 남아 있고 대상 위치에는 아무런 변화가 없으며, 알림음도 오류 메시지도 출력되지 않는다.
피드백이 없는 결함은 문제 해결을 위한 인지적 비용을 인간의 뇌로 고스란히 떠넘긴다. 화면 앞에 앉은 사람은 마이크로소프트가 코드를 잘못 작성했을 것이라고 곧바로 의심하지 않는다. 그들은 가장 먼저 자신의 손가락이나 키보드를 의심한다.
사용자는 Ctrl+V를 더 강하게 누르거나, 마우스 오른쪽 버튼을 클릭해 메뉴에서 붙여넣기를 찾는다. 자신의 조작에 이상이 없음을 확인했을 때는 이미 자책과 혼란으로 십 분의 집중력이 소모된 뒤다.
오류 안내창은 사용자를 해결책이나 패치로 이끈다. 반면 침묵의 결함은 사용자가 무의미한 동작을 반복하며 깊은 좌절감을 느끼게 만들 뿐이다. 소프트웨어를 개발할 때 가용성을 지키는 일은 취약점을 패치하는 것만큼이나 중요하다. 예측 가능성을 잃어버린 도구는 사용자의 손가락을 보이지 않게 베는 칼이나 다름없다.
그림: Excel 보안 업데이트 KB5002914 공식 안내 페이지. 함께 해결된 취약점들이 정리되어 있다. 출처: Microsoft 지원
’잠시 기다려 주십시오’ 화면에 갇힌 서버
업데이트로 인한 피해는 오피스 소프트웨어에 머물지 않았다. 운영체제 밑단의 통신 구성 요소가 정밀한 타격을 입었다. 여러 버전의 Windows 시스템에서 원격 데스크톱 서비스(RDS)가 업데이트 설치 직후 오작동을 일으켰다.
연결은 몇 분간 유지되다가 갑자기 끊어졌다. 이후 서버는 ‘잠시 기다려 주십시오’라는 설정 화면에 멈춘 채 응답하지 않았다.
피해 범위는 기본적인 원격 데스크톱 연결을 넘어섰다. 마이크로소프트 관리 콘솔(MMC)과 RDS 라이선스 진단 도구가 응답을 멈췄고, 최하단의 파일 탐색기마저 멈칫거렸다. 시스템 관리자들에게 더욱 야속했던 것은, 이 과정에서 Windows 업데이트 설정 페이지 자체마저 멈춰 버렸다는 사실이다.
원격 접속을 차단하고 관리 도구마저 얼려버리는 것은 관리자의 손발을 묶는 것과 같다. 수백, 수천 대의 가상 머신(VM)을 관리하는 인프라 운영자들에게 유일한 임시방편은 가상 머신 할당을 강제로 중지하는 것뿐이었다. 재부팅을 통해 얻을 수 있는 것은 잠시 동안의 짧은 연결 가능 시간뿐이었다.
서둘러 배포한 보안 패치 때문에 기본 프로토콜의 안정성이 밀려났고, 그 순간 인프라는 모든 가용성을 상실했다.
강제로 단절된 구형 오디오 규격
업무용 도구와 서버 프로토콜이 손상된 데 이어, 하드웨어 주변기기 역시 화를 피하지 못했다. Windows 11 26H1 등 일부 버전에서 USB 오디오 클래스 1.0(USB Audio Class 1.0) 기반의 오디오 장치들이 집단으로 먹통이 되었다. 시스템 오디오 출력이 끊어지고, 사운드 설정과 볼륨 조절 패널이 멈추거나 제대로 작동하지 않았으며, 다채널 오디오 환경은 혼란에 빠졌다.
이는 지난 세기에 제정된 오래된 규격이다. 오늘날의 고급 장비들은 이미 새로운 프로토콜로 전환했지만, 거대한 기존 시장에는 여전히 수많은 마이크와 특수 오디오 인터페이스가 이 규격에 의존하고 있다. 일부 사용자는 제어판에서 장치를 2채널 스테레오 모드로 전환해 간신히 소리를 되살려내기도 했다.
구형 규격과의 호환성을 단절하는 것은 종종 하드웨어를 무차별적으로 무용지물로 만드는 결과를 낳는다. 마이크로소프트는 이 문제를 공식 인정했다. 수정 패치를 준비 중이라고 밝혔으나 구체적인 출시 일정은 제시하지 않았다.
코드 수준에서 하위 호환성을 유지하는 작업은 언제나 고되고 지난한 일이다. 하지만 어제까지 잘 녹음되던 기기가 오늘 갑자기 고철 덩어리가 되어버린 소비자에게, 보안 약속이라는 말은 아무런 위로가 되지 않는다.
그림: 마이크로소프트 Windows Release Health 페이지의 알려진 문제 목록. 9월 업데이트로 촉발된 문제들을 공식 인정하고 있다. 출처: Microsoft Learn
패치 삭제가 유일한 탈출구가 되다
이 혼란 속에서 사용자들은 왜곡된 선택에 직면했다. 엑셀 보안 업데이트 KB5002914는 원격 코드 실행(RCE)과 정보 유출 등 위험성이 높은 29개의 취약점을 해결했다. 그러나 마이크로소프트는 보안 패치를 유지하면서 붙여넣기 오류를 우회할 수 있는 방법을 제공하지 않았다.
커뮤니티 포럼은 도움을 요청하고 자구책을 공유하는 글로 넘쳐났다. 오피스 전체를 삭제하고 다시 설치하여 문제를 해결한 이들도 있었고, 명령줄에서 해당 보안 업데이트를 직접 삭제한 사용자도 있었다. 그러나 패치를 삭제하는 행위는 방금 막아두었던 29개의 보안 취약점을 다시 무방비 상태로 노출시키는 일이었다.
일상 업무에 필수적인 기본 기능을 망가뜨려, 업무를 정상화하기 위해 사용자 스스로 보안 패치를 제거하게 만드는 상황은 논리적으로 시스템 공격을 당한 결과와 다르지 않다.
방어 조치의 부작용이 시스템 고유의 위험성을 넘어선다면, 그러한 보안 방벽은 이미 엔지니어링 측면에서 낙제점인 결과물이다.
서두른 보안 업데이트의 청구서를 떠안은 사용자들
불과 6개월 전인 2026년 3월, 마이크로소프트의 Windows 책임자는 품질 문제를 근본적으로 해결하겠다며 “운영체제의 상처를 치유하겠다”고 공개적으로 약속했다. 그 다짐이 채 잊히기도 전에 나타난 9월의 처참한 패치 기록을 두고, IT 전문지 The Register는 더할 나위 없는 아이러니라고 평가했다.
한층 더 씁쓸한 블랙코미디는 Windows Server 2012가 겪은 일이다. 이 운영체제는 2026년 10월 13일을 기점으로 확장 보안 업데이트(ESU) 지원이 완전히 종료될 예정이었다. 10년이 넘는 긴 수명의 마침표를 찍기 직전, 원격 데스크톱을 망가뜨리는 작별 선물을 받은 셈이다.
이번 패치 참사가 남긴 가장 뼈아픈 대가는 그것이 무너져 내린 방식에 있다. 침묵 속에 굳어버린 붙여넣기, 끝없이 맴도는 로딩 링, 기약 없는 오디오 패치 일정은 운영체제에 대한 신뢰를 갉아먹었다. 개발 속도가 테스트 검증 범위를 앞지르면서 보안과 가용성 사이의 모순이 한꺼번에 터져 나왔다.
컴퓨터 앞에 앉은 일반 사용자들은 영문도 모른 채 혼란을 수습해야만 했다. 그리고 이번에는 고장 난 Ctrl+V에 대한 보상을 누구에게 청구해야 할지조차 알 수 없다.
참고 링크:
- Microsoft Windows Release Health 알려진 문제 목록
- Microsoft 지원 KB5002914 업데이트 안내
- The Register 관련 보도
- Hacker News 커뮤니티 토론
