CISA, SharePoint 원격 코드 실행 적극 악용 경고하며 정부·기업 협업 시스템 비상 점검 촉구함
미국 CISA가 Microsoft SharePoint의 CVE-2026-45659를 ‘이미 공격에 사용 중’이라고 공식 경고하며, 전 세계 공공·기업 협업 플랫폼의 즉각적인 패치와 취약점 관리가 핵심 과제로 부상했다.
- BleepingComputer와 The Hacker News는 미국 사이버보안·인프라보안국(CISA)이 Microsoft SharePoint Server의 원격 코드 실행 취약점인 CVE-2026-45659가 실제 공격 캠페인에서 적극 악용되고 있다며, 이를 Known Exploited Vulnerabilities(KEV) 목록에 추가했다고 보도했으며, 이 취약점은 SharePoint의 특정 API 요청을 통해 인증 우회 또는 권한 상승을 유도해 서버에서 임의 코드를 실행할 수 있게 하여, 내부 문서·메일·프로젝트 데이터를 통합 관리하는 협업 포털이 랜섬웨어와 스파이웨어 배포 거점으로 전환될 수 있는 심각한 위협이다.
- 보도에 따르면 CVE-2026-45659는 2026년 초에 공개되었으나 일부 조직이 패치를 미적용한 상태에서 공격자들이 인터넷에 노출된 SharePoint 서버를 스캐닝해 취약 버전만 골라 자동화된 익스플로잇 스크립트를 투입하고 있고, CISA는 미국 연방기관에 대해 3주 이내 패치 적용을 의무화하는 지침을 발령했으며, 해당 취약점은 글로벌 기업의 Microsoft 365·하이브리드 SharePoint 환경에서도 동일하게 악용될 수 있어, 민간 부문에도 사실상 강제에 가까운 조기 대응을 요구하고 있다.
- 기사에서 언급된 기술 세부 내용에 따르면 공격자는 특수 제작된 SharePoint 요청을 통해 서버 측 코드 파편을 주입하고 이를 시스템 권한으로 실행함으로써, 도메인 컨트롤러 접근, Active Directory 계정 탈취, 추가 악성코드 배포를 연쇄적으로 수행할 수 있으며, 이는 이른바 “Living off the Land”형 공격과 결합될 경우 기존 로그 패턴에서 탐지하기 어려운 장기 잠입형 침해로 이어질 수 있는 것으로 분석된다.
- CISA의 KEV 목록 등재는 미국 행정명령과 연방 조달 기준에서 ‘패치 미적용 시스템을 그대로 운영하면 규정 위반’이 될 수 있음을 의미하며, EU·영국·아시아 각국의 CERT와 규제기관도 동일 취약점을 자국 중요 인프라 점검 항목에 반영할 가능성이 높아, SharePoint·Teams 같은 협업 플랫폼을 광범위하게 사용하는 한국 공공기관·민간 대기업에도 즉각적인 보안 감사와 패치 적용을 요구하는 정책 압력이 확산될 수 있다.
- 한국 정부는 디지털플랫폼정부, 공공 클라우드, 교육·의료기관에서 사용하는 Microsoft SharePoint 및 SharePoint Online 환경에 대해 CVE-2026-45659를 포함한 고위험 취약점 패치 상황을 일괄 조사하고, CISA KEV와 연동한 국내형 ‘우선 패치 목록’을 제정하여 공공·민간 모두가 일정 기한 내 대응을 의무화하는 제도적 장치를 마련함으로써, 협업 시스템을 겨냥한 국가·범죄자 공격에 대한 방어력을 높여야 한다.
협업 플랫폼은 행정·교육·의료 데이터가 집중되는 핵심 인프라이므로, 한국도 CISA KEV와 연동된 ‘국가 취약점 관리 목록’을 운영해 SharePoint 등 주요 시스템 패치를 강제하는 정책 도구를 서둘러 구축해야 한다.
주요 용어: CISA(미국 사이버보안·인프라보안국으로 연방기관 보안을 총괄하는 기관), KEV 목록(공격에 실제 사용 중인 취약점을 모아 우선 대응을 요구하는 공식 리스트), CVE-2026-45659(Microsoft SharePoint Server의 원격 코드 실행 취약점 식별번호)
