마이크로소프트 셰어포인트 치명적 RCE 취약점 악용 시작…PoC 공개 수시간 만에 공격 포착

핵심 요약

마이크로소프트 셰어포인트의 치명적인 원격 코드 실행(RCE) 취약점(CVE-2026-50522, CVSS 9.8)에 대한 PoC 코드가 공개된 직후 실제 공격에 악용되는 사례가 포착되었습니다. 이 취약점은 사이트 소유자 권한을 가진 공격자가 악성 데이터를 전달하여 원격에서 임의 코드를 실행할 수 있게 하며, 이는 Initial Access(TA0001) 및 Exploitation of Remote Services(T1210) 전술로 이어질 수 있습니다. 단순히 보안 업데이트 적용을 넘어 서버의 머신 키와 관련 인증 정보 교체가 필수적이라는 점이 강조되었습니다. IT 감사인은 SharePoint를 운영하는 조직의 패치 관리 현황과 더불어 핵심 인증 정보의 재발급 및 보안 강화 조치 이행 여부를 면밀히 점검하여 잠재적 보안 사고를 예방해야 합니다.

💡 개선 권고안

• ✔기술적 조치마이크로소프트 셰어포인트 서버에 CVE-2026-50522에 대한 최신 보안 업데이트를 즉시 적용하고, 해당 업데이트 적용 후에는 반드시 서버의 머신 키와 관련 인증 정보를 재발급 및 교체할 것을 권고함.
• ✔기술적 조치웹 애플리케이션 방화벽(WAF) 및 침입 방지 시스템(IPS) 등 네트워크 보안 솔루션의 시그니처를 최신으로 업데이트하고, SharePoint를 대상으로 하는 원격 코드 실행(RCE) 공격 패턴에 대한 탐지 및 차단 규칙을 강화할 것을 권고함.
• ✔관리적 조치모든 정보시스템에 대한 취약점 관리 정책을 재검토하고, CVE-2026-50522와 같이 치명적인 취약점이 공개되고 PoC가 배포될 경우, 패치 적용 및 추가 보안 조치(예: 인증 정보 교체)를 포함한 긴급 대응 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치SharePoint 관리자 및 서비스 계정에 대한 접근 통제 정책을 강화하고, 주기적인 비밀번호 변경 및 다단계 인증(MFA) 적용을 의무화하여 Credential Access(T1212) 공격에 대비할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문