CISA가 SharePoint 원격코드실행 결함에 '악용 중' 도장을 찍었다 — 기한 통보 뒤 방어자가 밟아야 할 순서

이미지 출처: BleepingComputer

미국 사이버보안·인프라보안국(CISA)이 관리하는 '알려진 악용 취약점(KEV)' 목록은 이름만 화려한 위험을 걸러내는 필터다. 이 목록에 오른다는 건 이론상 위험이 아니라 지금 이 순간 실제로 누군가 이 구멍으로 들어오고 있다는 관측이 확보됐다는 뜻이다. 이번에 마이크로소프트 SharePoint의 원격코드실행(RCE) 결함이 그 목록에 추가됐다. 사내에 온프레미스 SharePoint 서버를 굴리는 조직이라면, 이건 '언젠가 패치할 항목'이 아니라 이번 주 안에 끝내야 할 숙제로 바뀌었다는 신호다.

핵심 요약

• CISA가 SharePoint RCE 결함을 KEV 목록에 등재 — 실제 악용이 관측됐다는 의미이며, 미 연방기관에는 시정 기한이 통보됨.
• SharePoint RCE는 대개 인증 우회·역직렬화·ViewState 조작을 통해 서버 권한으로 코드가 실행되는 형태로, 문서 서버 하나가 내부망 교두보가 됨.
• 방어자는 '패치'만이 아니라 '이미 뚫렸는지'부터 확인해야 함 — w3wp 하위 프로세스, 웹셸, ViewState 오류 로그를 함께 점검.

왜 하필 SharePoint가 반복해서 노려지는가

SharePoint는 조직의 문서·결재·협업이 모이는 창고다. 공격자 입장에서 매력적인 건 두 가지인데, 하나는 여기 쌓인 데이터 자체의 가치이고 다른 하나는 이 서버가 대개 내부망 깊숙이 인증 서비스와 연결돼 있다는 위치다. 인터넷에 노출된 SharePoint 하나를 장악하면, 그건 파일 몇 개를 훔치는 데서 끝나지 않고 도메인 계정·서비스 계정으로 이어지는 통로가 열린다는 뜻이다.

SharePoint 계열 RCE의 개념적 뼈대는 대체로 비슷하다. 상세 재현은 다루지 않되 방어에 필요한 만큼만 정리하면 다음과 같다.

• 인증 우회 또는 인증 전 접근: 특정 엔드포인트가 인증을 충분히 검증하지 않아, 정상 로그인 없이 서버 내부 처리 경로에 요청이 닿음.
• 역직렬화·ViewState 처리 결함: 서버가 신뢰하지 않아야 할 입력을 객체로 되살리는 과정에서, 공격자가 구성한 데이터가 서버 권한으로 실행되는 지점이 생김.
• 결과: w3wp(IIS 작업자 프로세스) 권한으로 임의 코드 실행 → 웹셸 설치 → 지속성 확보 및 내부 이동.

구체적 CVSS 수치나 정확한 빌드 번호는 공지에 따라 갱신되므로 단정하지 않겠지만, 요점은 분명하다. 인증 없이 서버가 남의 코드를 실행하는 부류이고, 그래서 KEV에 오른 것이다.

먼저 '이미 뚫렸는가'부터 본다

악용이 관측된 취약점을 대할 때 순서를 자주 뒤집는다. 패치부터 서두르다 보면, 이미 심어진 웹셸은 그대로 둔 채 문만 새로 잠그는 꼴이 나기 때문이다. 개인적으로는 침해 여부 점검을 먼저 병행하길 추천한다.

• 비정상 자식 프로세스: w3wp.exe가 cmd.exe·powershell.exe·csc.exe 같은 프로세스를 자식으로 띄운 흔적이 있는지 확인. 문서 서버가 명령 셸을 부르는 건 정상 동작이 아님.
• 웹셸 흔적: LAYOUTS·wwwroot 하위 등 웹 디렉터리에 최근 생성·수정된 .aspx/.ashx 파일을 시간순으로 훑기. 정상 배포 이력과 대조.
• ViewState·역직렬화 오류 로그: 공격 시도는 실패해도 애플리케이션 로그에 예외를 남기는 경우가 많음. 특정 엔드포인트로 몰린 비정상 POST와 오류 급증을 함께 봄.
• 인증 로그 이상: 서비스 계정의 낯선 시간대 활동, 새로 만들어진 로컬 계정이나 예약 작업(Scheduled Task) 여부.

여기서 하나라도 걸리면 그건 패치 이슈가 아니라 침해대응 상황이다. 서버를 성급히 재부팅하거나 파일을 지우기 전에 이미지·메모리·로그부터 확보하는 게 순서다.

그다음이 완화와 패치

침해 흔적을 확인했다면, 이제 구멍을 실제로 막는 단계다.

• 공식 보안 업데이트 적용: 마이크로소프트가 배포한 해당 SharePoint 버전용 패치를 우선 적용. 온프레미스는 자동 갱신이 안 되는 경우가 많아 수동 확인이 필요함.
• 노출면 축소: 인터넷에 직접 노출된 SharePoint라면 VPN·역방향 프록시·IP 허용목록 뒤로 두어, 인증 전 접근 자체를 어렵게 만듦.
• AMSI·엔드포인트 탐지 연동: SharePoint의 AMSI 통합을 켜 두면 ViewState 기반 실행류 공격의 상당수를 실행 시점에 차단·기록할 수 있음.
• 비밀·키 교체: 이미 침해가 의심되면 머신키·서비스 계정 자격증명을 교체. 서버를 복구해도 유출된 키가 살아 있으면 재침투가 쉬움.

남기고 싶은 한 가지

KEV 등재의 진짜 메시지는 '이 취약점이 위험하다'가 아니라 '이미 시계가 돌기 시작했다'는 것이다. 연방기관에 통보된 기한은 남의 조직 이야기 같지만, 실제 악용이 확인된 이상 민간이라고 시간이 더 주어지는 건 아니다. 문서 서버 하나가 내부망 열쇠가 되는 구조는 우리 대부분이 안고 있는 현실이라, 이번 건은 남 일이 아니다.

혹시 조직에 온프레미스 SharePoint가 있다면, 오늘은 '패치했는가'보다 '지난 며칠 사이 이 서버가 이상하게 굴지 않았는가'부터 먼저 열어보길 권한다. 점검하다 애매한 로그를 만나면 혼자 끙끙대지 말고 댓글로 남겨 달라. 같이 들여다보자.