- CISA가 Microsoft SharePoint의 고심각도 RCE 취약점이 실제 공격에 악용 중이라고 공식 경고했다.
- Microsoft는 5월에 이미 보안 패치를 배포한 상태로, 패치 미적용 조직은 즉시 위험에 노출된다.
- 미국 연방기관은 KEV 카탈로그 등재 시 지정 기한 내 패치가 의무화되며, 민간 기업도 자발적 점검 권고 대상이다.
공식 패치가 이미 배포된 취약점임에도 현장 침해가 확인된다는 점은, 패치 관리 누락이 곧 공격 표면 확대로 직결된다는 사실을 다시 한번 확인시켜준다.
2026년 7월 1일 미국 시간으로 미국 사이버보안 및 인프라 보안국(CISA)은 Microsoft SharePoint 제품군에서 발견된 고심각도 원격 코드 실행(RCE) 취약점이 실제 공격에 악용되고 있다는 공식 경고를 발표했고, 관련 보도가 Bleeping Computer를 통해 7월 2일 게재되었다. 이번 경고는 단순한 잠재 위협이 아닌, 이미 현장에서 악용 사례가 포착된 능동적 침해 상황임을 의미한다는 점에서 보안 운영팀의 즉각적인 점검이 요구된다.
1. CISA 경고의 의미와 KEV 카탈로그
CISA 경고는 단순한 권고 수준을 넘어 Known Exploited Vulnerabilities(KEV) 카탈로그 등재로 이어질 가능성이 높다. KEV에 등재된 취약점은 미국 연방민간기관에서 지정 기한 내 패치를 적용해야 하는 법적 의무가 발생하며, 글로벌 기업들도 공급망 보안 요건 준수 차원에서 자발적 점검에 나설 가능성이 있다. 이번 SharePoint 취약점은 마이크로소프트의 정기 보안 업데이트를 통해 이미 패치가 제공된 사안임에도 불구하고, 실제 공격이 관측되면서 다시 한번 패치 관리의 중요성이 부각되고 있다.
2. 위협 본질: 온프레미스 SharePoint 환경의 노출 위험
이번에 문제가 된 RCE 취약점은 인증된 사용자가 특수하게 조작된 요청을 전송할 경우 원격에서 임의 코드를 실행할 수 있는 유형으로 분류된다. 특히 사내에 직접 구축한 온프레미스 SharePoint Server 환경을 운영하는 조직에서 패치 적용이 지연될 경우 위험이 커진다. 공격 성공 시 내부 문서 저장소 접근, 권한 상승, 횡적 이동 등 2차 피해로 이어질 수 있어 단순한 단일 시스템 침해를 넘어 내부 인프라 전반의 위협으로 확산될 가능성에 주목할 필요가 있다.
3. 한국 기업에 미치는 파급 효과
한국의 공공기관과 대기업 상당수는 사내 협업과 문서 관리 목적으로 온프레미스 SharePoint를 운영해 온 이력이 있다. CISA 경고가 공식화된 만큼, 국내에서도 한국인터넷진흥원(KISA)이나 주요 CERT 채널을 통해 유사한 권고가 후속 발표될 가능성이 있으며, 이미 해외 위협 인텔리전스 공유가 활성화된 시점에서는 해외 위협 행위자가 한국 자산도 스캔 대상으로 포함시킬 가능성이 있다. 자사의 SharePoint 운영 환경을 즉시 점검하지 않는다면 글로벌 위협 환경 변화에 그대로 노출될 수 있다.
4. 실무 점검 절차와 패치 적용 가이드
보안 운영팀은 다음의 순서로 즉각 대응할 필요가 있다.
- 자산 식별: 사내 SharePoint Server 인스턴스, 버전, 패치 레벨을 전수 조사하여 목록화한다.
- 우선순위 산정: 인터넷 노출 여부, 내부 사용 빈도, 저장 데이터의 민감도를 기준으로 적용 순서를 결정한다.
- 패치 적용: Microsoft에서 배포한 5월 보안 업데이트를 가능한 한 빨리 테스트 환경에 적용 후 운영 환경에 반영한다.
- 탐지 규칙 점검: 침해 흔적을 식별할 수 있는 시그니처와 로그 수집 항목을 SIEM에 등록한다.
- 사후 검증: 패치 적용 후에도 비정상 프로세스 실행, 신규 관리 계정 생성 등의 침해 지표가 남아 있는지 확인한다.
5. 사고 대응 절차 개요
5-1. 탐지 및 격리
이상 징후가 포착될 경우 해당 SharePoint 서버를 네트워크에서 즉시 분리하고 메모리 덤프 및 로그를 보존한다. 무분별한 시스템 종료는 메모리 내 증거 손실을 유발할 수 있으므로, 포렌식 절차에 따라 증거를 확보한 뒤 단계적으로 대응한다.
5-2. 침해 가정 시 사고 대응 플레이북
능동적 악용이 확인된 시점에서는 시스템이 이미 침해되었음을 가정하고 대응하는 것이 일반적인 사고 대응 원칙이다. 즉, 단순히 패치만 적용하는 데 그치지 않고 자격 증명 전수 재발급, 백업 데이터 무결성 검증, 외부 침투 경로 추가 점검까지 동시 진행하는 것이 권고된다. 또한 침해 사실이 확인될 경우 KISA 및 산업 주관기관에 통보하는 절차도 사전에 마련해 두는 것이 바람직한 것으로 보인다.
6. 결론 및 권고 사항
CISA의 이번 경고는 SharePoint 단일 제품의 문제를 넘어 정기 패치 누락이 곧바로 공격 표면 확대로 이어진다는 교훈을 제공한다. 한국 기업도 온프레미스 SharePoint를 운영 중이라면 24시간 이내 자산 식별과 패치 레벨 점검이 권고되며, 가용성과 보안 사이의 균형을 위해 단계적 적용 전략을 함께 수립할 필요가 있다. 무엇보다 이번 사안은 보안 업데이트가 배포되었다는 사실 자체보다 자사의 환경에 실제로 반영되었는지가 핵심이라는 점을 다시 한번 일깨워준다.
핵심 포인트 정리
- CISA 경고는 능동적 악용이 확인된 RCE 취약점에 대한 공식 경고로서 즉각적인 대응이 요구된다.
- Microsoft는 이미 5월에 패치를 배포했으므로 패치 적용 시점은 조직별로 가속화되어야 한다.
- 온프레미스 SharePoint 환경을 운영하는 조직은 자산 식별부터 패치 검증까지 전 과정을 신속히 수행해야 한다.
- 침해가 의심될 경우 시스템을 격리하고 증거를 확보한 뒤 패치와 자격 증명 재발급을 병행해야 한다.
- 한국 기업도 글로벌 위협 환경 변화에 맞춰 자발적 점검과 CERT 권고 모니터링을 강화할 필요가 있다.
참고 출처:
– Bleeping Computer 원문 기사
– CISA Known Exploited Vulnerabilities Catalog