SharePoint 제로데이 악용 대응: 공개 직후 공격을 전제로 한 패치 우선순위 점검

서론

SharePoint Server 취약점 대응에서 가장 위험한 판단은 "패치만 적용하면 끝난다"는 전제다. 최근 CISA는 온프레미스 SharePoint Server Subscription Edition, 2019, 2016에 영향을 주는 여러 취약점의 활발한 악용을 경고했다. 이 중 CVE-2026-58644는 MSRC 기준 Critical, CVSS 9.8의 원격 코드 실행 취약점이며, CVE-2026-56164는 CVSS 5.3 Moderate로 분류됐지만 실제 악용이 확인된 KEV 항목이다.

운영팀 입장에서는 CVSS 숫자만 보고 순서를 정하기 어렵다. 낮은 점수의 취약점이라도 이미 악용 중이고, 인터넷에 노출된 SharePoint 서버가 대상이라면 높은 점수의 미악용 취약점보다 먼저 다뤄야 한다. 반대로 아직 악용 확인이 없더라도 Critical 등급이고 "Exploitation More Likely"로 평가된 CVE-2026-55040처럼 같은 패치 창에서 함께 처리해야 할 항목도 있다.

이번 대응의 핵심은 공개 직후 공격을 예외가 아니라 기본 시나리오로 보는 것이다. 인터넷에 노출된 SharePoint 서버를 먼저 식별하고, 노출을 줄인 뒤, 패치를 적용하고, 이미 침해됐을 가능성을 기준으로 IIS와 SharePoint 로그를 확인해야 한다. 이후 machine key 회전과 IIS 재시작까지 마쳐야 패치 이후 재접속 가능성을 줄일 수 있다.

본론

왜 SharePoint는 공개 직후 악용을 전제로 봐야 하나

SharePoint는 내부 문서, 협업 데이터, 인증 흐름, Windows 인프라와 밀접하게 연결되는 서버다. 외부에 직접 노출된 인스턴스가 취약하면 공격자는 단순 웹 서비스 침해에서 멈추지 않고 내부 확산의 출발점으로 사용할 수 있다. 2025년 ToolShell 관련 대응 사례에서도 공격자는 ToolPane 엔드포인트 요청, SignOut.aspx referrer 패턴, IIS machine key 탈취, 웹셸 배치, 악성 .NET 모듈 로드, 랜섬웨어 배포까지 이어지는 흐름을 보였다.

이 사례가 중요한 이유는 현재 취약점과 동일한 CVE가 아니어도 대응 원칙이 같기 때문이다. 공격자가 SharePoint/IIS worker process인 w3wp.exe 권한으로 코드를 실행하거나 구성 정보를 빼낼 수 있다면, 패치 이후에도 탈취한 key나 남겨둔 모듈로 접근을 이어갈 수 있다. 따라서 패치는 필요조건일 뿐 충분조건이 아니다.

이번 범위는 온프레미스 SharePoint Server다. SharePoint Online과 혼동하지 말아야 하며, 조직 안에 Subscription Edition, 2019, 2016 서버가 있는지부터 확인해야 한다. 지원 종료 버전이나 오래된 인스턴스가 인터넷에 남아 있다면 패치 계획보다 먼저 외부 연결을 끊는 판단이 필요하다.

패치 우선순위는 CVSS보다 KEV와 노출 여부를 먼저 본다

운영 우선순위는 다음 기준으로 잡는 것이 현실적이다.

이 표에서 중요한 점은 "인터넷 노출"과 "실제 악용 확인"이다. CVE-2026-56164처럼 점수만 보면 중간 위험도로 보일 수 있는 취약점도 KEV에 올라 있고 악용이 확인됐다면 우선순위가 올라간다. 반대로 내부 전용 서버라 해도 계정 탈취나 VPN 침해 이후 악용될 수 있으므로 별도 장기 과제로 미루지 말고 같은 긴급 변경 안에서 처리해야 한다.

공격 흐름은 패치 이전 침해 가능성을 기준으로 본다

공격자는 공개 직후 인터넷 노출 SharePoint를 대량 스캔한 뒤, 인증 우회·권한 상승·원격 코드 실행 취약점을 조합할 수 있다. 성공하면 w3wp.exe 권한으로 명령을 실행하고, IIS 또는 ASP.NET machine key와 SharePoint 구성 정보를 수집해 지속 접근 기반을 만들 수 있다. 이후 웹셸이나 악성 .NET 모듈을 배치하고, applicationHost.config 또는 web.config를 조작해 IIS 재시작 뒤에도 다시 로드되도록 만들 수 있다.

그다음 단계는 내부 정찰과 확산이다. whoami, net user, nltest, ipconfig, tasklist, quser 같은 명령으로 환경을 확인하고, LSASS 접근, Mimikatz, PsExec, WMI, Impacket 기반 원격 실행으로 범위를 넓힐 수 있다. 일부 사례에서는 백신 비활성화, 서비스 중지, 예약 작업 생성, 랜섬웨어 배포로 이어질 수 있다.

따라서 로그 보존은 패치보다 뒤로 밀려서는 안 된다. 패치 전후의 IIS, ULS, Windows 이벤트, EDR 원격 측정이 사라지면 공격 시점과 침해 범위를 판단하기 어려워진다. 긴급 변경 절차 안에 로그 보존과 스냅샷 확보를 포함해야 한다.

IIS와 ULS에서 먼저 볼 흔적

IIS 로그에서는 POST /_layouts/15/ToolPane.aspx?DisplayMode=Edit 요청, referrer 또는 request header의 /_layouts/SignOut.aspx, 짧은 시간 안에 401·403·500 응답이 반복된 뒤 200 응답으로 바뀌는 패턴을 우선 확인한다. 야간이나 휴일 시간대에 Central Administration, _layouts 경로, 관리자 기능 접근이 늘어난 경우도 별도 검토가 필요하다.

파일 시스템에서는 웹 루트, _layouts, TEMPLATE/LAYOUTS, 임시 업로드 경로에 새로 생긴 .aspx, .ashx, .dll, .exe 파일을 확인한다. spinstall0.aspx, spinstall.aspx, spinstall1.aspx, spinstall2.aspx처럼 알려진 웹셸명과 유사한 파일명도 점검 대상이다. applicationHost.config와 web.config에 신규 모듈, 핸들러, assembly 참조가 추가됐는지도 봐야 한다.

엔드포인트에서는 w3wp.exe 하위에 cmd.exe, powershell.exe, rundll32.exe, reg.exe, schtasks.exe가 실행된 기록을 우선순위 높게 본다. Defender 또는 백신 무력화를 위한 레지스트리 변경, 서비스 중지, Tamper Protection 우회 시도, LSASS 접근, 원격 실행 도구 흔적도 같은 사건 범위로 묶어야 한다.

SharePoint ULS 로그에서는 ToolPane, SignOut, 인증·권한 관련 예외가 이어지는 요청, 평소 없던 Site Owner 권한 사용, 관리성 API 호출, 동일 IP나 사용자 에이전트가 여러 웹 애플리케이션을 순회하는 패턴을 확인한다. AMSI 또는 Microsoft Defender에서 Exploit:Script/SuspSignoutReqBody.A, Exploit:Script/ToolPaneAuthBypass.A, Exploit:Script/ToolPaneAuthBypass.C, Backdoor:MSIL/LeakFang.A!dha와 같은 탐지명이 나온 경우에는 침해 조사 범위를 넓혀야 한다.

즉시 대응 체크리스트

다음 순서로 작업하면 패치와 침해 대응을 분리하지 않고 한 번에 처리할 수 있다.

1. 자산 식별
2. SharePoint Server Subscription Edition, 2019, 2016 전체 목록을 작성한다.
3. 인터넷 직접 노출, VPN·프록시 뒤 노출, 내부 전용으로 분류한다.

4. SharePoint Online은 이번 온프레미스 SharePoint Server 취약점 범위와 구분한다.

5. 노출 차단

6. 인터넷 직접 노출 서버는 패치 전까지 인증이 필요한 L7 reverse proxy, VPN, WAF 뒤로 이동한다.
7. Central Administration 외부 접근은 차단한다.

8. 지원 종료 SharePoint는 인터넷에서 즉시 분리한다.

9. 패치 적용

10. Microsoft 최신 SharePoint 보안 업데이트를 적용한다.
11. SharePoint Products Configuration Wizard 실행 완료 여부를 확인한다.
12. CVE-2026-58644, CVE-2026-56164, CVE-2026-55040은 같은 긴급 변경으로 묶어 처리한다.

13. 서버별 파일 버전, 빌드 버전, 적용 상태를 따로 기록한다.

14. 보호 기능 확인

15. SharePoint AMSI 통합이 각 웹 애플리케이션에 활성화돼 있는지 확인한다.
16. 가능한 경우 Request Body Scan Mode를 Full Mode로 설정한다.

17. Defender Antivirus 또는 AMSI 지원 백신, EDR block mode, cloud-delivered protection을 활성화한다.

18. 침해 흔적 조사

19. IIS, ULS, EDR, Windows 이벤트 로그를 먼저 보존한다.
20. 웹셸, 악성 모듈, machine key harvester, 의심스러운 예약 작업을 찾는다.

21. 악성 모듈 제거 전 IIS만 재시작하지 않는다. 구성 파일에 남은 로드 지점이 있으면 다시 실행될 수 있다.

22. key 회전과 IIS 재시작

23. 침해 흔적 제거 후 ASP.NET machine key를 회전한다.
24. 패치 적용 후에도 다시 machine key를 회전한다.
25. 모든 SharePoint 서버에서 IIS를 재시작한다.

26. SharePoint Server Subscription Edition 25H1 또는 2025년 9월 PU 이후 2016/2019 환경은 자동 machine key rotation 활용 여부를 확인한다.

27. 사후 모니터링

28. 최소 72시간 동안 ToolPane·SignOut 관련 탐지, w3wp.exe 하위 프로세스, 신규 웹셸 파일 생성을 추적한다.
29. 관리자 권한 변경, Site Owner 권한 부여, 신규 계정, GPO 변경을 점검한다.
30. 침해가 확인되면 자격 증명 재발급, lateral movement 조사, 백업 무결성 검증까지 확대한다.

결론

이번 SharePoint 대응의 우선순위는 "가장 높은 CVSS부터"가 아니라 "이미 악용 중이고 인터넷에 노출된 서버부터"다. CVE-2026-58644는 Critical RCE라는 점에서 즉시 대응 대상이고, CVE-2026-56164는 점수보다 KEV 등재와 실제 악용 사실 때문에 앞순위로 올려야 한다. CVE-2026-55040도 아직 악용 확인이 없다는 이유로 분리하지 말고 같은 변경 창에서 처리하는 편이 안전하다.

운영팀은 패치 적용 여부만 보고 종료 처리해서는 안 된다. SharePoint는 침해 이후 key 탈취, 웹셸 배치, 악성 모듈 로드, 내부 확산으로 이어질 수 있는 서버다. 따라서 인터넷 노출 축소, 패치, 로그 보존, 침해 헌팅, machine key 회전, IIS 재시작, 72시간 모니터링을 하나의 대응 절차로 묶어야 한다.

가장 먼저 할 일은 단순하다. 외부에서 접근 가능한 온프레미스 SharePoint Server 목록을 만들고, KEV에 오른 취약점 영향 여부를 확인한 뒤, 패치 전 임시 노출 차단과 로그 보존을 시작하는 것이다. 그다음 패치를 적용하고, 이미 들어온 흔적이 없는지 확인해야 한다. 공개 직후 악용을 전제로 움직이는 조직만이 패치 이후의 잔여 위험까지 줄일 수 있다.

참고자료

• CISA, "CISA Urges SharePoint Hardening After New Exploitations", 2026-07-14, updated 2026-07-16: https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-urges-sharepoint-hardening-after-new-exploitations
• CISA Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
• MSRC, CVE-2026-58644: https://api.msrc.microsoft.com/sug/v2.0/en-US/vulnerability/CVE-2026-58644
• MSRC, CVE-2026-56164: https://api.msrc.microsoft.com/sug/v2.0/en-US/vulnerability/CVE-2026-56164
• MSRC, CVE-2026-55040: https://api.msrc.microsoft.com/sug/v2.0/en-US/vulnerability/CVE-2026-55040
• Microsoft Security Blog, "Disrupting active exploitation of on-premises SharePoint vulnerabilities", 2025-07-22: https://www.microsoft.com/en-us/security/blog/2025/07/22/disrupting-active-exploitation-of-on-premises-sharepoint-vulnerabilities/
• Microsoft Learn, Configure AMSI integration with SharePoint Server: https://learn.microsoft.com/en-us/sharepoint/security-for-sharepoint-server/configure-amsi-integration
• Microsoft Learn, Improved ASP.NET view state security and key management: https://learn.microsoft.com/en-us/sharepoint/security-for-sharepoint-server/improved-asp-net-view-state-security-key-management
• SecurityWeek, "CISA Urges Immediate Patching of Exploited SharePoint Vulnerabilities": https://www.securityweek.com/cisa-urges-immediate-patching-of-exploited-sharepoint-vulnerabilities/
• SecurityWeek, "Fresh SharePoint Vulnerability Exploited Soon After Disclosure": https://www.securityweek.com/fresh-sharepoint-vulnerability-exploited-soon-after-disclosure/

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.