CISA, SharePoint 원격 코드 실행 제로데이 CVE-2026-58644를 KEV에 등재했다: 7월 19일 패치 기한과 운영자 대응 가이드

2026년 7월 17일 CISA는 Microsoft SharePoint Server의 deserialization 결함에서 발생한 원격 코드 실행 취약점 CVE-2026-58644를 Known Exploited Vulnerabilities 카탈로그에 등재했다. CVSS 9.8의 심각도와 실제 악용 사실이 결합된 이번 사건은 엔터프라이즈 협업 환경을 운영하는 모든 조직에 즉각적인 점검과 패치를 요구한다. 본문에서는 KEV 등재의 의미부터 7월 19일 기한을 맞추기 위한 운영자 관점의 조치 절차까지 단계별로 정리한다.

1. 사건 개요: KEV 등재와 7월 19일 기한

1.1 CVE-2026-58644 기본 정보

항목	내용
식별자	CVE-2026-58644
CVSS	9.8 (Critical)
취약점 유형	deserialization 기반 원격 코드 실행 (RCE)
영향 대상	Microsoft SharePoint Server
조치 기한	2026년 7월 19일 (UTC)
조치 대상	미국 연방민간행정기관 (FCEB)

1.2 CISA의 BOD 22-01 적용과 연방기관 의무

CISA는 BOD(Binding Operational Directive) 22-01에 따라 FCEB 소속 기관에 KEV 등재 취약점에 대한에 대한 패치를 의무화한다. 기한 내 미조치 시 CISA는 감사·보고 체계에서 미준수 사실이 노출될 수 있어 연방기관 입장에서는 사실상 강제 이행 사안이다. 출처: CISA KEV 카탈로그.

1.3 민간 부권을 향한 권고 성격

CISA는 비연방 조직에 대해 직접적 의무를 부과하지 않지만, 동일 시점을 민간 권고 기한으로 제시했다. 이는 SharePoint의 광범위한 산업 보급률과 협업 환경의 데이터 민감도를 고려한 조치로 해석된다. 운영자 입장에서는 사실상 “사실상 표준 기한”으로 받아들이고 우선순위를 조정할 필요가 있다.

2. 취약점 기술 분석: SharePoint deserialization 결함의 재현

2.1 CVSS 9.8의 의미와 공격 경로

CVSS 9.8은 네트워크상에서 인증 없이 악용 가능하고 데이터 기밀성·무결성·가용성을 모두 침해할 수 있음을 의미한다. deserialization 결함은 신뢰할 수 없는 입력 객체가 역직렬화되는 과정에서 임의 코드나 명령이 실행되는 경로를 만들어낸다. SharePoint는 복합 문서·워크플로·웹 파트 데이터를 광범위하게 처리하므로 입력 경로가 매우 넓다.

2.2 인증 우회 가능성과 노출 표면

공개된 위협 인텔리전스에 따르면 본 결함은 인증되지 않은 상태에서 도달 가능한 API 경로를 통해 트리거될 가능성이 있다고 보고된다. SharePoint는 사내 인트라넷은 물론 외부 협업용 사이트로도 노출되는 경우가 많아 인터넷 연결면까지 공격 표면이 확장될 수 있다. 권한 분리가 약한 레거시 통합 인증 환경을 보유한 조직일수록 위험도가 커진다.

2.3 과거 SharePoint deserialization 사건과의 비교

SharePoint는 2019년 이후 지속적으로 deserialization 결함이 보고되어 왔으며, CVE-2019-0604, CVE-2021-31181 등이 대표적이다. 이번 CVE-2026-58644는 동일한 코드 패밀리의 회귀(regression) 가능성 또는 신규 입력 경로의 결함으로 분류된다. 즉, “이미 한 번 막았던 결함”이 다시 공격 표면으로 노출된 사례로 판단되며, 이는 패치 이력 관리의 중요성을 다시 한번 강조한다.

3. 실제 악용 시나리오와 위협 행위자

3.1 초기 침투에서 권한 상승까지

공격자는 취약한 SharePoint 엔드포인트로 악성 페이로드를 전송해 웹 셸을 설치하고, 서비스 계정의 토큰을 탈취해 Active Directory 환경으로 횡적 이동할 가능성이 있다. 이후 SharePoint가 보유한 문서 메타데이터, 사용자 프로필, 검색 인덱스가 후속 정찰의 기반으로 활용될 수 있다. 최종적으로 ransomware 배포 또는 데이터 유출로 연결되는 시나리오가 위협 인텔리전스에서 반복적으로 거론된다.

3.2 ACR Stealer, GoSerpent 등 연계 위협

공개 위협 보고서는 ACR Stealer, GoSerpent 같은 정보 탈취형 악성코드와 본 결함을 결합한 캠페인을 거론한다. 단, 이러한 연계는 단정하기보다 ‘공격 사슬의 구성 요소로 활용될 가능성이 있다’는 위협 인텔리전스 기반의 추론으로 해석해야 한다. 운영자 입장에서는 멀웨어 변종 대응보다 진입점이 되는 제로데이 취약점 차단에 자원을 집중하는 편이 비용 대비 효과가 클 것으로 판단된다.

3.3 Fortinet 제품군과의 공격 사슬 연결 가능성

일부 위협 보고서는 Fortinet SSL VPN·방화벽의 기존 취약점과 SharePoint 결함을 조합한 다단계 침투 사례를 언급한다. 이는 본 취약점의 단독 악용보다 주변 인프라인 perimeter 장비가 먼저 침투된 뒤 SharePoint로 이동하는 경로를 시사한다. 외주·원격 접속 지점이 많은 조직일수록 주변 인프라인 점검을 동시에 수행할 필요가 있다.

4. 조직별 7월 19일까지 우선 조치 체크리스트

• 자산 식별 및 버전 매핑: SharePoint Server 설치본, 패치 레벨, 노출 여부(내부/인터넷)를 인벤토리에 등록한다.
• 패치 적용 및 롤백 준비: Microsoft 공식 보안 업데이트를 테스트 환경에 먼저 적용 후, 프로덕션에 단계적 배포한다.
• 가상 패치와 WAF 규칙: 패치를 즉시 적용할 수 없는 경우 역직렬화 패턴을 차단하는 WAF·IPS 시그니처를 임시 적용한다.
• 탐지와 로깅 강화: SharePoint IIS 로그, 프로세스 생성 이벤트, 비정상 PowerShell 호출을 SIEM에 집중화한다.
• 사후 증거 보존: 웹 셸 흔적, 신규 관리자 계정, 비정상 스케줄러 등록 여부를 점검하고 메모리 덤프와 IIS 로그를 보존한다.

4.1 SharePoint Server 자산 식별과 버전 매핑

우선 CMDB와 취약점 스캐너를 교차 검증해 SharePoint 인스턴스의 빌드 번호와 누적 업데이트 적용 이력을 정리한다. 노출 여부는 Shodan, Censys 같은 외부 스캐너와 사내 EDR 가시성을 결합해 평가한다. 결과는 경영진 보고용 대시보드와 운영 티켓에 동시에 반영한다.

4.2 패치 적용과 롤백 시나리오

Microsoft의 SharePoint 보안 업데이트는 가용 즉시 적용하는 것이 원칙이다. 다만 운영 환경의 의존성이 복잡할 경우 테스트 팜에서 워크플로, InfoPath, 사용자 정의 솔루션 회귀 테스트를 수행한 뒤 배포한다. 롤백 시나리오는 마지막 정상 빌드를 시스템 이미지 수준에서 복원할 수 있도록 사전에 검증해야 한다.

4.3 가상 패치와 WAF 규칙, IPS 시그니처

패치를 즉시 적용할 수 없는 경우 역직렬화 페이로드의 핵심 패턴(예: TypeConfuseDelegate, ViewState 등)을 차단하는 WAF 규칙을 임시 적용한다. 다만 SharePoint 내부 트래픽에 대한 과도한 차단으로 운영 장애가 발생하지 않도록 예외 처리 범위를 신중히 설계한다. IPS 시그니처는 가양성 검토 후 스테이징에서 활성화한다.

4.4 탐지·로깅 강화와 사후 증거 보존

SharePoint의 ULS 로그와 IIS 요청 로그는 최소 90일 보존으로 상향한다. 의심 이벤트는 SIEM 상에서 호스트명, 사용자, 페이로드 해시 기준으로 즉시 검색 가능하도록 인덱싱한다. 침해 정황이 확인되면 메모리 수집, EDR 포렌식, 중앙 집중식 계정 감사 로그를 확보해 사후 추적 기반을 마련한다.

5. 거버넌스 시사점

5.1 취약점 대응 SLA와 위험 기반 우선순위

CVSS 절대치보다 KEV 등재 사실, 공격 가용성(exploit availability), 자산 중요도를 결합한 위험 점수 체계를 운영한다. 7월 19일과 같은 외부 기한은 SLA의 하한선으로 삼고 내부 의사결정 시간을 단축하는 기준으로 활용할 필요가 있다. 이는 “예산·인력 한계”를 이유로 한 지연에 대한 합리적 거절 근거가 된다.

5.2 외부 발현형 취약점에 대한 SLA 재설계

CISA KEV, EPSS 상위군, 메이저 벤더사 긴급 권고가 결합된 사건은 별도의 “외부 발현 취약점 등급”으로 분류해 기존 SLA와 분리해 관리할 만하다. 이 등급은 패치 가능 여부와 무관하게 가상 패치, 모니터링, 의사소통이 동시에 진행되어야 한다. 경영진 보고 주기도 분기 1회에서 월 1회 또는 즉시 보고 체계로 재설계하는 것이 바람직하다.

6. 결론: 제로데이 사이클을 단축하는 운영 원칙

6.1 패치 가용성 모니터링 자동화

Microsoft, CISA, 주요 CERT의 권고를 RSS, 웹훅, 이메일로 자동 수집하고 티켓 시스템과 연동한다. 권고 발생 시 자산 인벤토리와 매칭해 영향도를 즉시 산출하는 워크플로우를 표준화할 필요가 있다. 자동화가 갖춰질수록 제로데이 사이클의 “탐지–분석–조치” 단계가 단축된다.

6.2 경영진 보고용 위험 지표 정의

단일 CVSS 점수 대신 “KEV 등재 수, 미조치 자산 수, 가상 패치 커버리지, 평균 조치 시간(MTTR)” 같은 운영 지표를 함께 보고한다. 이를 통해 경영진은 정성적 위험이 아닌 정량적 잔여 위험을 기준으로 자원 배분을 결정할 수 있다. 본 사건은 SharePoint 단일 제품의 취약점을 넘어, 엔터프라이즈 협업 환경 전반의 위협 거버넌스를 재점검하는契机로 삼아야 한다.