CVE 데이터베이스CVE-2021-26858

최종 갱신 2026-10-01English Advisory →

CVE-2021-268587.8/HIGHCISA KEV 등재

Microsoft Exchange Server 원격 코드 실행(RCE) 취약점 (CVE-2021-26858) 긴급 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

exchange server

권고문 발행일

2021-03-03

CVSS v3.1

7.8

HIGH

30일 악용확률

93.7%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Microsoft Exchange Server 2013, 2016, 2019 온프레미스(On-Premises) 환경

파급 효과

공격자가 시스템(SYSTEM) 권한으로 임의의 코드를 실행하여 메일 서버를 완전히 장악하고 내부망으로 침투할 수 있습니다

권장 조치

Microsoft 공식 누적 업데이트(CU) 및 보안 패치(SU)를 즉시 적용하고 침해 지표(IoC) 검사를 수행하십시오

영향받는 제품 및 버전 범위

Microsoft Exchange Server 2013, 2016, 2019 온프레미스 버전 (클라우드 기반 Exchange Online은 영향 없음)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Exchange Server의 누적 업데이트(CU) 상태를 확인한 후, 최신 보안 업데이트(SU)를 적용해야 합니다. PowerShell을 관리자 권한으로 실행하여 현재 버전을 확인하고 패치를 다운로드하십시오.

powershell

# Exchange Server 버전 및 빌드 번호 확인
GCI 'HKLM:\Software\Microsoft\ExchangeServer\v15\Setup' | GP | Select-Object AdminDisplayVersion

# 최신 보안 패치 적용 후 IIS 서비스 재시작
IISReset /noforce

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용 전까지 외부로부터의 악의적인 요청을 차단하기 위해 IIS(인터넷 정보 서비스)에서 URL 재작성(URL Rewrite) 규칙을 적용하여 외부 프록시 요청을 차단합니다.

powershell

# IIS URL Rewrite 모듈을 사용하여 취약한 경로에 대한 외부 접근 차단 규칙 추가
Import-Module WebAdministration
$site = 'Default Web Site'
$ruleName = 'Block_External_Exchange_Exploit'
Add-WebConfigurationProperty -pspath 'IIS:\sites\'$site -filter 'system.webServer/rewrite/rules' -name '.' -value @{name=$ruleName;patternSyntax='ECMAScript';stopProcessing='True'}
Set-WebConfigurationProperty -pspath 'IIS:\sites\'$site -filter "system.webServer/rewrite/rules/rule[@name='$ruleName']/match" -name 'url' -value 'owa/auth/.*\.aspx'

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

Exchange 웹 로그 및 OWA 디렉터리 내에 비정상적인 ASPX 파일이 생성되었는지 검사하는 스크립트입니다.

powershell

# OWA 인증 디렉터리 내 최근 생성된 ASPX 웹셸 탐지
Get-ChildItem -Path 'C:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\' -Filter '*.aspx' | Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-30) } | Select-Object FullName, Length, LastWriteTime

# Exchange HttpProxy 로그에서 비정상적인 POST 요청 분석
Select-String -Path 'C:\Program Files\Microsoft\Exchange Server\V15\Logging\HttpProxy\Owa\*.log' -Pattern 'POST' | Select-Object -First 20

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

본 취약점은 실제 공격에 적극적으로 악용되고 있으므로, 즉시 Microsoft 공식 보안 패치를 적용하고 웹셸 존재 여부를 전수 조사하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2021-26858)은 Microsoft Exchange Server에서 발생하는 원격 코드 실행(RCE) 취약점입니다. 이 취약점은 서버 내의 특정 파일 쓰기 경로 검증 미흡으로 인해 발생하며, 공격자가 Exchange 서버의 임의 경로에 파일을 작성할 수 있는 권한을 획득하게 만듭니다. 특히, 이 취약점은 다른 취약점(예: CVE-2021-26855 SSRF)과 연계되어 인증되지 않은 공격자가 관리자 권한을 획득한 후 악성 웹셸(Webshell)을 업로드하는 방식으로 악용되었습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

실제 위협 그룹(Hafnium 등)은 다음과 같은 시나리오로 본 취약점을 악용했습니다: 1단계: CVE-2021-26855(SSRF) 취약점을 통해 Exchange 서버의 HTTP 프록시 엔드포인트를 우회하고 SYSTEM 권한의 세션을 획득합니다. 2단계: 획득한 권한을 바탕으로 CVE-2021-26858 취약점을 트리거하여, 웹 서버의 공개 디렉터리(예: '/owa/auth/' 경로)에 악성 ASPX 웹셸 파일을 강제로 작성합니다. 3단계: 업로드된 웹셸에 원격으로 접속하여 PowerShell 명령을 실행하고, Active Directory 자격 증명을 탈취하며 내부 네트워크로 횡적 이동(Lateral Movement)을 수행합니다.

3. 비즈니스 및 인프라 파급 영향

Exchange 서버는 기업의 핵심 소통 채널이자 민감한 비즈니스 데이터가 집중되는 자산입니다. 본 취약점이 익스플로잇될 경우 이메일 데이터 무단 탈취, 기밀 정보 유출, 랜섬웨어 유포 기지로의 악용 등 치명적인 비즈니스 중단 사태를 초래할 수 있습니다. CISA KEV(Known Exploited Vulnerabilities)에 등록되어 있고 EPSS 점수가 매우 높아(0.9365) 즉각적인 조치가 요구됩니다.