9 읽음
셰어포인트 RCE 악용, 머신 키 탈취로 장기 침투
위키트리
0
마이크로소프트 셰어포인트(SharePoint)의 온프레미스 서버를 겨냥한 원격코드실행(RCE) 취약점이 공개된 개념증명(PoC) 코드 유포 직후 실제 공격에 악용되고 있다. 문제의 취약점은 CVE-2026-50522로, 취약점 위험도를 나타내는 CVSS 점수 9.8점을 받은 치명적 결함이다. 보안업체 왓치타워(WatchTowr)는 공격자들이 이 취약점을 통해 서버의 IIS 머신 키(machine key)를 탈취해 패치 이후에도 장기간 접근 권한을 유지하려 한다고 밝혔다. 위협 인텔리전스 업체 디퓨즈드(Defused)는 PoC가 공개되기 전인 7월17일(현지시각)부터 이미 유사한 공격 흔적을 포착했다고 전했다. 미국 사이버보안·인프라보안국(CISA)도 셰어포인트를 겨냥한 다수의 취약점에 대해 긴급 경고를 발표했다.
CVE-2026-50522는 마이크로소프트 오피스 셰어포인트에서 신뢰할 수 없는 데이터를 역직렬화(deserialization)하는 과정에서 발생하는 결함이다. 이 취약점을 이용하면 공격자가 네트워크를 통해 임의의 코드를 원격으로 실행할 수 있다. 마이크로소프트는 이 결함을 지난 7월 정기 보안 업데이트(패치 튜즈데이)에서 수정했다고 밝혔다. 취약점을 발견해 신고한 인물은 DEVCORE 소속 연구원 splitline이다.
마이크로소프트가 공개한 심각도 지표에 따르면 이 취약점의 공격 벡터는 네트워크(AV:N)이며 공격 복잡도는 낮음(AC:L)으로 분류됐다. 공격자가 시스템에 대한 사전 지식 없이도 반복적으로 공격을 성공시킬 수 있다는 의미다. 마이크로소프트는 이 결함에 대해 “악용 가능성 높음(Exploitation More Likely)” 평가를 내렸다. 실제로 이 평가는 그대로 현실이 됐다. 패치가 배포된 지 얼마 지나지 않아 공개 악용 코드가 등장하고 실제 공격까지 이어졌기 때문이다.
왓치타워는 “7월20일 이 취약점에 대한 개념증명 악용 코드를 확인했다. 몇 시간 만에 우리 전역 허니팟 네트워크 어태커아이(Attacker Eye)가 이 PoC를 이용한 공격 시도를 포착했고, 대상 시스템이 실제로 침해됐다”고 밝혔다. 즉 PoC 공개와 실공격 사이에 걸린 시간은 단 몇 시간에 불과했다.
문제는 그보다 앞선 시점에도 유사한 공격 흔적이 있었다는 점이다. 디퓨즈드는 7월17일(현지시각) “문서화되지 않은 셰어포인트 역직렬화 공격 경로”가 실제 공격에 쓰이고 있는 것을 포착했지만 당시엔 이를 특정 취약점과 연결하지 못했다. 이후 21일(현지시각) 디퓨즈드는 “포착된 요청에는 인증 관련 정보가 전혀 없었으며 이는 CVE-2026-50522의 비인증 공격 패턴과 일치한다”고 밝히며 해당 공격이 CVE-2026-50522를 겨냥한 것으로 추정된다고 밝혔다. 이 분석이 맞다면 CVE-2026-50522에 대한 실제 악용은 PoC가 공개되기 전, 그러나 마이크로소프트가 이달 초 이 결함에 대한 패치를 배포한 이후부터 이미 시작됐을 가능성이 있다.
PoC 코드는 깃허브(GitHub)에 보안 연구자 Janggggg가 공개한 파워셸(PowerShell) 기반 시연용 익스플로잇으로 확인됐다. 이 PoC는 위조된 SecurityContextToken의 쿠키에 악성 .NET ‘BinaryFormatter’ 페이로드를 담아 WS-Federation 로그인 응답 형태로 셰어포인트의 ‘/_trust/default.aspx’ 엔드포인트에 전송하는 방식으로 동작한다. 취약한 역직렬화 경로가 이 토큰을 처리하면 서버에서 임의 코드가 실행되는 구조다.
이번 공격에서 특히 주목할 부분은 공격자들이 단순히 코드를 실행하는 데 그치지 않고 서버의 머신 키까지 훔쳐가고 있다는 점이다. 머신 키를 확보한 공격자는 유효한 인증 토큰을 위조해 정상 사용자를 사칭할 수 있다. 위조된 신원의 권한으로 셰어포인트 사이트와 문서 등 조직 내부 리소스에 접근할 수 있게 되는 셈이다.
왓치타워는 “공격자들은 단 한 번의 요청으로 셰어포인트 머신 키를 빼가고 있다”며 “패치만으로는 충분하지 않다. 방어자는 노출됐을 가능성이 있는 모든 자산에 대해 자격 증명(credential)을 교체해야 한다”고 경고했다. 다시 말해 취약점 패치를 적용했더라도 그 전에 이미 머신 키가 유출됐다면, 공격자는 패치된 서버에서도 위조 토큰을 이용해 계속 접근할 수 있다는 뜻이다. 이 때문에 보안 업계는 패치 적용과 함께 머신 키 교체를 병행할 것을 강조하고 있다.
CVE-2026-50522는 최근 실제 공격에 악용된 것으로 확인된 세 번째 셰어포인트 서버 취약점이다. 앞서 CVE-2026-56164(CVSS 5.3, 권한 상승 결함)와 CVE-2026-58644(CVSS 9.8, RCE 결함)가 패치되기 전 이미 제로데이(zero-day) 형태로 무기화돼 악용된 바 있다. 두 취약점 모두 7월 중 수정됐다.
CISA는 CVE-2026-32201, CVE-2026-45659, CVE-2026-56164, CVE-2026-58644를 포함한 다수의 셰어포인트 취약점이 공격자들에 의해 악용되고 있으며, 이를 통해 온프레미스 인스턴스에 대한 무단 접근이 이뤄지고 있다고 경고했다. CISA는 자체 관리형 서버 인스턴스를 운영하는 조직에 신속한 보안 업데이트 적용을 촉구했다.
인터넷 인텔리전스 업체 센시스(Censys)가 인터넷에 노출된 셰어포인트 서버를 조사한 결과 대부분은 마이크로소프트가 직접 호스팅·운영·패치하는 셰어포인트 온라인(SharePoint Online)이었다. 다만 웹 속성이 아닌 호스트 단위로 집계하면 자체 관리형 온프레미스 버전을 운영하는 서버가 약 1,500대 존재했다. 이 중 대다수는 셰어포인트 2019였고 일부는 2016과 구독형 에디션(Subscription Edition)으로 확인됐다. 이런 서버는 대부분 미국에 위치해 있었다. 센시스는 “셰어포인트 응답 헤더로는 패치 적용 여부를 정확히 판단하기 어렵다”며 이들 서버가 최신 보안 업데이트를 받았는지는 확인이 불가능하다고 덧붙였다.
이번 사례는 인터넷에 노출된 온프레미스 셰어포인트 서버가 왜 계속 공격 대상이 되는지를 보여준다. 조직 내부 데이터와 시스템에 깊이 연동돼 있는 만큼, 취약점 하나가 뚫리면 파급 범위가 넓어질 수밖에 없다. 보안 업계는 패치 적용은 물론 이미 노출됐을 가능성이 있는 자격 증명과 머신 키 교체까지 함께 진행해야 실질적인 위협 차단이 가능하다고 강조하고 있다.