CISA가 경고: 세 개의 SharePoint 취약점 활발히 악용 중

CISA는 세 개의 SharePoint 취약점을 KEV 카탈로그에 추가 - 실제 악용 확인. 두 개의 다른 중요 취약점도 남아있음. 패치해야 할 것들, 그리고 빨리.

사실

미국 사이버보안 및 인프라 보안국(CISA) CISA가 현재 활발히 악용되고 있는 세 가지 SharePoint 취약점에 대한 경보문을 발표했다. 이 취약점들은 알려진 악용 취약점(KEV) 목록에 추가되었으며, 모든 미국 연방 기관에 21일 이내 패치 의무를 부과하는 BOD 22-01 지침을 발동시켰다.

동일한 경보문에서 The Register는 아직 KEV에 등재되지 않은 두 가지 추가적인 치명적 취약점이 악용될 경우 공격 표면이 확대될 수 있다고 지적했다.

영향을 받는 대상

• SharePoint Server 온프레미스: 모든 지원 버전(Subscription Edition, 2019, 2016). 현재 활발한 악용이 집중되고 있는 영역이다.
• SharePoint Online: Microsoft가 클라우드 측에서 패치를 관리하므로 이 영역에서는 사용자 조치가 필요 없다.
• 하이브리드 환경: 특히 취약하다. 온프레미스 환경의 손상된 진입점이 하이브리드 ID로 전환되고, 궁극적으로 Entra ID / Microsoft 365로 이어질 수 있다.

행정 기관, 대학, 법률 사무소, 산업계가 SharePoint 온프레미스의 주요 타깃으로 남아 있다.

분석

SharePoint는 2019년(CVE-2019-0604, 현재까지도 악용 중)부터, 특히 2025년 여름 ToolShell 사태 이후 선호되는 표적이 되었다. 패턴은 안정적이다:

• SharePoint 서버가 종종 직접 인터넷에 노출됨(10년 전부터 나쁜 관행이지만 여전히 지속됨).
• 패치 주기가 무겁고(애플리케이션 테스트, 다운타임, InfoPath / SPFx 사용자 정의 양식에 대한 의존성).
• AD 내 높은 권한을 가진 서비스 계정으로 인해 SharePoint는 우수한 lateral movement(수평 이동) 대상이 됨.

현재의 세 가지 취약점도 이 연속성에 포함된다. 이것은 놀라운 버그가 아니라 운영적 경고다: SharePoint 온프레미스의 보안 유지 관리는 부수적인 작업이 아니라 전일제 업무다.

지금 해야 할 일

• 즉시 Microsoft 패치 적용: CISA가 나열한 CVE에 대한 패치를 적용(아래 CISA 경보문 및 7월 Patch Tuesday 참조).
• 인터넷 노출 확인: 퍼블릭 인터넷에 노출된 SharePoint 온프레미스 서버는 WAF나 MFA 없이 무모한 도박이다. 리버스 프록시 또는 ZTNA(제로 트러스트 네트워크 액세스) 뒤에 배치.
• IIS/ULS 로그 감사: 지난 30일간의 로그를 검토하여 CISA가 공개한 침해 지표(IoC) 확인.
• 컴프로미션 의심 시 비밀(머신키, farm-account 서비스 계정) 교체.
• 장기적 대책: 가능한 경우 SharePoint Online으로 전환하거나 대체 솔루션으로의 이전을 문서화. 온프레미스 제품의 보안 유지 관리 부담은 줄어들지 않을 것이다.