[속보] CISA, SharePoint 3개 취약점 실제 악용 경고…전 지원 버전 영향

미국 사이버보안·인프라보안국(CISA)은 14일(현지시간) 공식 경고를 통해 Microsoft SharePoint Server 취약점 CVE-2026-32201, CVE-2026-45659, CVE-2026-56164가 실제 공격에 악용되고 있다고 밝혔다. CISA는 공격자가 이 취약점들을 이용해 온프레미스 SharePoint Server에 무단 접근할 수 있다고 설명했다.

영향 범위에는 현재 지원되는 SharePoint Server Subscription Edition과 2019, 2016이 모두 포함된다. CISA에 따르면 공격 과정에서는 원격 코드 실행과 함께 인터넷정보서비스(IIS) 머신 키 탈취, 역직렬화 기법을 통한 지속성 확보, 악성코드 배포 같은 사후 침해 활동이 나타날 수 있다.

세 취약점 가운데 CVE-2026-56164는 7월 14일 CISA의 알려진 악용 취약점(KEV) 목록에 새로 추가됐다. CVE-2026-32201과 CVE-2026-45659는 각각 4월 14일과 7월 1일 등재됐다. CISA는 별도로 공개된 CVE-2026-55040과 CVE-2026-58644는 아직 실제 악용이 확인되지 않았지만, 패치하지 않을 경우 잠재적 위험이 있다고 덧붙였다.

CISA는 Microsoft의 최신 패치와 보안 업데이트를 적용한 뒤 설치 완료 여부까지 확인하라고 권고했다. 각 SharePoint 웹 애플리케이션에서 AMSI 연동을 활성화하고, 가능한 경우 요청 본문 검사 모드를 Full Mode로 설정하는 조치도 제시했다. 이상 요청, SharePoint 작업자 프로세스의 의심스러운 활동, 웹셸, 머신 키 접근 흔적을 중심으로 로그를 점검해야 한다는 설명이다.

서버를 인터넷에 직접 노출하지 않는 것도 핵심 대응으로 꼽혔다. 외부 공개가 불가피하다면 인증과 요청 검사가 가능한 계층 7 역방향 프록시 등 애플리케이션 계층 보안 통제 뒤에 배치해야 한다. SharePoint 중앙 관리 페이지의 외부 접근을 차단하고, 팜과 데이터베이스 통신도 필요한 시스템으로 제한할 필요가 있다.

이미 침해가 의심되는 환경에서는 단순 패치만으로 대응을 끝내기 어렵다. CISA는 IIS 머신 키를 교체하기 전에 키 수집 도구를 포함한 침해 흔적을 먼저 찾아 제거해야 한다고 강조했다. 그렇지 않으면 교체된 키가 다시 탈취될 수 있기 때문이다.

이번 경고는 단일 취약점 공지를 넘어, 여러 SharePoint 취약점의 연쇄 악용과 사후 침해 행위를 함께 다룬다는 점에서 주목된다. 온프레미스 SharePoint를 운영하는 국내 기관과 기업도 제품 버전과 패치 상태, 인터넷 노출 여부, 로그 이상 징후를 우선 점검할 필요가 있다. 다만 공격 주체와 국내 피해 사례는 현재 공개된 공식 자료에서 확인되지 않았다.

출처: CISA https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-urges-sharepoint-hardening-after-new-exploitations · CISA KEV 알림 https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-adds-four-known-exploited-vulnerabilities-catalog · Microsoft Learn AMSI 지침 https://learn.microsoft.com/en-us/sharepoint/security-for-sharepoint-server/configure-amsi-integration · Microsoft Learn SharePoint 보안 강화 지침 https://learn.microsoft.com/en-us/sharepoint/security-for-sharepoint-server/security-hardening