사내 문서 서버가 남의 코드를 실행하기까지 — SharePoint 역직렬화 결함 CVE-2026-45659 점검 노트

이미지 출처: CISA KEV

회사에서 가장 눈에 안 띄는 서버를 하나 꼽으라면 다들 문서 공유 서버를 떠올린다. 결재 시스템처럼 돈이 오가지도 않고, 웹사이트처럼 외부에 얼굴을 내밀지도 않으니 관리자 머릿속에서도 늘 뒷줄로 밀려나 있다. 그런데 공격자 입장에서 SharePoint 같은 사내 협업 서버는 오히려 최고의 발판이다. 인증된 사용자가 잔뜩 드나들고, 사내망 깊숙이 들어가 있으며, 관리자는 "설마 저기가 뚫리겠어" 하고 방심하기 때문임. 이번에 공개된 CVE-2026-45659가 딱 그 방심을 파고드는 유형이다.

핵심 요약

• Microsoft SharePoint Server의 신뢰할 수 없는 데이터 역직렬화(Deserialization of Untrusted Data, CWE-502) 결함으로, 조작된 데이터가 서버에서 코드로 부활할 수 있는 유형임.
• 공격이 성공하면 원격에서 서버 권한으로 명령이 실행될 수 있어, 문서 서버 하나가 사내망 전체의 교두보로 바뀔 위험이 있음.
• 방어는 패치 우선 적용 + 서버-계정 접근 최소화 + 역직렬화·자식 프로세스 이상행위 탐지 3박자로 접근하는 것이 현실적임.

역직렬화가 왜 이렇게 위험한가

직렬화(serialization)는 프로그램 안에서 살아 있던 객체를 파일이나 네트워크로 보내기 좋게 바이트 뭉치로 납작하게 눌러 담는 과정임. 역직렬화는 그 반대로, 받은 바이트 뭉치를 다시 살아 있는 객체로 되살리는 작업이고. 문제는 이 "되살리기" 단계에서 서버가 데이터를 그냥 데이터로만 취급하지 않고, 그 안에 적힌 대로 객체를 조립하고 특정 메서드를 호출한다는 점임.

즉, 공격자가 되살아날 객체의 설계도를 마음대로 그려서 보낼 수 있다면, 서버는 그 설계도를 의심 없이 조립하다가 결국 공격자가 원하는 코드를 자기 손으로 실행하게 됨. 이게 바로 CWE-502가 무서운 이유고, .NET 기반의 무거운 엔터프라이즈 애플리케이션인 SharePoint에서 이런 결함이 반복적으로 나오는 배경이기도 하다. 별도의 계정 탈취 없이도, 잘 만든 입력 하나가 인증 경계를 넘어 원격 코드 실행으로 이어질 수 있는 구조인 것.

공격자는 이 결함을 어떻게 바라보는가

여기서는 재현 코드가 아니라 사고 흐름만 개념적으로 짚고 넘어감. 공격자의 관점은 대략 이런 단계로 흘러간다.

• 진입점 찾기: SharePoint가 외부 입력을 받아 역직렬화하는 엔드포인트나 처리 경로를 탐색함. 사용자가 제출하는 데이터가 내부적으로 객체로 복원되는 지점이 표적이 됨.
• 가젯 체인 구상: 서버에 이미 로드돼 있는 정상 클래스들을 레고 블록처럼 이어 붙여, 복원 과정에서 원치 않는 동작이 연쇄적으로 일어나게 만드는 아이디어를 짬. 새 악성코드를 심는 게 아니라 있는 부품을 악용하는 방식임.
• 실행과 확산: 코드 실행에 성공하면 웹셸을 남기거나 인증 토큰·머신 키를 훔쳐 지속성을 확보하고, 사내망 옆 서버로 이동을 시도함.

핵심은, 마지막 단계까지 가기 전에 방어자가 끊어낼 지점이 여러 군데라는 것임. 완벽한 단 하나의 방어선보다, 여러 겹의 얇은 방어선이 실전에서 훨씬 잘 버틴다.

방어자가 지금 당장 할 일

개인적으로는 아래 순서대로 손대는 걸 추천함. 급한 불부터 끄고, 그다음에 탐지 체계를 다지는 흐름이다.

• 패치를 최우선으로: 역직렬화 취약점은 우회 완화책보다 벤더 패치가 압도적으로 확실함. Microsoft가 배포하는 SharePoint 보안 업데이트를 확인하고, 온프레미스 서버라면 테스트 후 최대한 빠르게 적용하는 게 1순위임.
• 노출 면부터 줄이기: 문서 서버를 굳이 인터넷에 직접 노출할 이유가 있는지 되물어봄. VPN·리버스 프록시 뒤로 넣고, 관리 인터페이스는 별도 세그먼트로 분리해 접근 가능한 계정과 경로를 최소한으로 좁힘.
• 서비스 계정 권한 낮추기: SharePoint를 구동하는 서비스 계정이 과도한 권한을 쥐고 있으면, 코드 실행 한 번에 피해가 눈덩이처럼 커짐. 최소 권한 원칙으로 계정을 다듬어 두면 뚫려도 피해 반경이 줄어든다.
• 머신 키·비밀 값 관리: ASP.NET 머신 키 같은 서버 비밀이 유출되면 패치 후에도 위조 요청이 통할 수 있음. 침해가 의심되면 키 교체(rotation)까지 함께 고려하는 게 안전함.

탐지: 무엇을 보면 걸려드는가

패치가 늦어지는 환경이라도 탐지의 눈은 켜 둘 수 있음. 역직렬화 공격은 성공하는 순간 서버에 "평소와 다른 흔적"을 반드시 남기게 되어 있다.

• 웹 서버가 낳는 수상한 자식 프로세스: w3wp.exe 같은 웹 프로세스가 갑자기 cmd·powershell 같은 셸을 자식으로 띄우면 강한 경보 신호임. 정상 문서 서버는 그럴 일이 거의 없음.
• 웹 디렉터리에 생긴 낯선 파일: SharePoint의 웹 루트나 레이아웃 폴더에 예정에 없던 스크립트·페이지 파일이 생기면 웹셸을 의심함. 파일 생성 이벤트에 대한 무결성 감시를 걸어 두면 좋다.
• 비정상 아웃바운드 연결: 문서 서버가 평소 안 가던 외부 IP로 나가는 트래픽을 만들면 C2 통신이나 데이터 유출일 수 있음.
• 인증 없는 이상 요청 패턴: 특정 처리 엔드포인트로 향하는, 크기가 유난히 크거나 형식이 어긋난 요청들이 몰리면 역직렬화 시도를 의심하고 로그를 되짚어 봄.

이런 신호들은 EDR와 웹 서버 로그, 그리고 네트워크 관측을 겹쳐 보면 훨씬 선명해짐. 하나만 보면 놓치지만, 세 개를 겹치면 웬만한 공격은 어딘가에서 걸린다.

마무리

CVE-2026-45659 같은 역직렬화 결함의 교훈은 늘 비슷하다. "서버는 남이 보낸 데이터를 절대 곧이곧대로 믿으면 안 된다"는 것. 하지만 현실의 방어자는 코드를 직접 고칠 수 없는 경우가 대부분이니, 우리가 쥔 카드는 결국 빠른 패치, 좁힌 노출 면, 낮춘 권한, 그리고 켜 둔 탐지의 눈이다. 오늘 당장 우리 조직의 SharePoint가 어디에 노출돼 있고 어떤 계정으로 돌아가는지부터 한 번 확인해 보는 걸 권함. 점검 결과나 막히는 부분이 있으면 댓글로 같이 이야기해 봐요. 조용한 서버일수록, 조용할 때 들여다보는 게 제일 마음 편하니까.