CVE 데이터베이스CVE-2021-26855

최종 갱신 2026-08-19English Advisory →

CVE-2021-268559.1/CRITICALCISA KEV 등재CWE-918CWE-918

Microsoft Exchange Server 원격 코드 실행(RCE) 취약점 (ProxyLogon SSRF) - CVE-2021-26855

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

exchange_server

권고문 발행일

2021-03-03

CVSS v3.1

9.1

CRITICAL

30일 악용확률

100.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

온프레미스(On-Premises) Microsoft Exchange Server 2013, 2016, 2019 버전

파급 효과

인증되지 않은 원격 공격자가 HTTP 요청을 위조하여 Exchange 백엔드 서버에 임의의 명령을 전송하고, 메일함 데이터 탈취 및 추가 취약점 연계를 통한 원격 코드 실행(RCE)이 가능합니다

권장 조치

Microsoft 공식 누적 업데이트(CU) 및 보안 패치를 즉시 적용하고, 패치 적용 전까지 IIS 재작성 규칙을 통해 외부로부터의 악성 요청을 차단해야 합니다

영향받는 제품 및 버전 범위

Microsoft Exchange Server 2013, 2016, 2019 (온프레미스 버전 전체)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Microsoft 공식 보안 가이드에 따라 사용 중인 Exchange Server의 누적 업데이트(CU) 버전을 확인하고 최신 보안 업데이트(SU)를 적용하십시오. 아래 PowerShell 명령어를 통해 현재 버전을 확인한 후 패치를 진행합니다.

powershell

# Exchange Server 버전 및 빌드 번호 확인
Get-ExchangeServer | Format-List Name, Edition, AdminDisplayVersion

# 최신 보안 패치 적용 후 IIS 및 Exchange 서비스 재시작
Restart-Service W3SVC, MSExchangeIS, MSExchangeMailboxAssistants

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 불가능한 경우, IIS(인터넷 정보 서비스)의 URL 재작성(URL Rewrite) 모듈을 사용하여 외부에서 유입되는 악성 'X-AnonResource' 헤더를 차단하는 규칙을 적용해야 합니다.

xml

<!-- IIS web.config 또는 ApplicationHost.config에 아래 규칙 추가 -->
<system.webServer>
  <rewrite>
    <rules>
      <rule name='Block ProxyLogon SSRF' stopProcessing='true'>
        <match url='.*' />
        <conditions>
          <add input='{HTTP_X_ANONRESOURCE_BACKEND}' pattern='.*' />
        </conditions>
        <action type='CustomResponse' statusCode='403' statusReason='Forbidden' statusDescription='Blocked by Security Policy' />
      </rule>
    </rules>
  </rewrite>
</system.webServer>

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

Exchange HTTP 프록시 로그에서 SSRF 공격 시도 및 백엔드 무단 접근 흔적을 탐지하기 위해 아래 PowerShell 명령어를 실행하여 로그를 분석하십시오.

powershell

# HttpProxy 로그 디렉터리에서 'X-AnonResource-Backend' 또는 'X-BEResource' 관련 비정상 요청 검색
Get-ChildItem -Path 'C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy' -Recurse -Filter '*.log' |
  Select-String -Pattern 'X-AnonResource-Backend' |
  Select-Object Path, LineNumber, Line | Out-File -FilePath 'C:  emp\ProxyLogon_IoC_Detection.txt'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

온프레미스 Exchange Server를 운영 중인 조직은 즉시 Microsoft 공식 누적 업데이트를 적용하고, 외부 노출 포트에 대한 접근 제어를 강화하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2021-26855)은 Microsoft Exchange Server의 프론트엔드(Frontend) 아키텍처가 클라이언트 요청을 백엔드(Backend) 서비스로 프록시하는 과정에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. Exchange는 클라이언트의 요청을 수신하는 프론트엔드(IIS)와 실제 비즈니스 로직을 처리하는 백엔드로 분리되어 있습니다. 프론트엔드는 'X-AnonResource-Backend' 및 'X-BEResource'와 같은 특정 HTTP 헤더를 처리할 때 적절한 검증을 수행하지 않아, 공격자가 백엔드의 임의 엔드포인트로 인증되지 않은 요청을 라우팅할 수 있도록 허용하는 취약한 구조적 결함을 가지고 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 포트 443(HTTPS)을 통해 Exchange 서버에 특수하게 조작된 HTTP POST/GET 요청을 전송합니다. 요청 헤더에 'X-BEResource'를 포함시켜 백엔드 내부의 로컬 호스트(예: localhost:444/ecp)를 가리키도록 조작하면, 프론트엔드 프록시 모듈은 이를 신뢰할 수 있는 내부 통신으로 판단하여 백엔드로 그대로 전달합니다. 이 과정에서 공격자는 시스템 계정(NT AUTHORITY\SYSTEM) 권한으로 백엔드 API에 접근할 수 있게 되며, 사용자 메일박스 정보를 탈취하거나 다른 취약점(예: CVE-2021-26857, CVE-2021-26858 등)과 연계하여 웹셸(WebShell)을 업로드하고 최종적으로 원격 코드 실행(RCE)을 달성하는 'ProxyLogon' 공격 체인을 완성합니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 있으며 EPSS 점수가 최고치(1.0)에 달할 정도로 실제 야생(In-the-Wild)에서 매우 활발하게 악용되었습니다. 공격자가 이 취약점을 성공적으로 악용할 경우, 기업의 핵심 기밀이 담긴 이메일 데이터베이스에 무단 접근하여 데이터를 유출할 수 있습니다. 또한, Active Directory(AD) 환경 내에서 도메인 컨트롤러 권한을 장악하기 위한 교두보로 활용되어 랜섬웨어 유포, 내부망 횡적 이동(Lateral Movement) 등 기업 비즈니스 연속성에 치명적인 파괴적 결과를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Microsoft Exchange Server Remote Code Execution Vulnerability

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855

출처: secure@microsoft.com · Patch, Vendor Advisory

http://packetstormsecurity.com/files/161846/Microsoft-Exchange-2019-SSRF-Arbitrary-File-Write.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/161938/Microsoft-Exchange-ProxyLogon-Remote-Code-Execution.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/162610/Microsoft-Exchange-2019-Unauthenticated-Email-Download.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/162736/Microsoft-Exchange-ProxyLogon-Collector.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-26855

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

자주 묻는 실무 질문 (FAQ — CVE-2021-26855)

FAQ

Q1. CVE-2021-26855 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2021-26855의 기본 점수는 CVSS 9.1 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 100.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2021-26855에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 exchange_server입니다. 상세 영향 범위: Microsoft Exchange Server 2013, 2016, 2019 (온프레미스 버전 전체)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Microsoft 공식 누적 업데이트(CU) 및 보안 패치를 즉시 적용하고, 패치 적용 전까지 IIS 재작성 규칙을 통해 외부로부터의 악성 요청을 차단해야 합니다 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동