Microsoft Exchange Server 권한 상승 및 원격 코드 실행 취약점 (CVE-2022-41080) 보안 권고
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTMicrosoft Exchange Server 2013, 2016, 2019 온프레미스(On-Premises) 환경.
인증된 공격자가 원격 PowerShell 세션을 통해 시스템 권한(SYSTEM)을 획득하고, 최종적으로 원격 코드 실행(RCE)으로 연계할 수 있습니다.
Microsoft에서 제공하는 최신 누적 업데이트(CU) 및 보안 업데이트(SU)를 즉시 적용하고, 불필요한 원격 PowerShell 액세스를 차단하십시오.
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
가장 확실한 해결책은 Microsoft 공식 보안 업데이트를 적용하는 것입니다. 아래 PowerShell 명령어를 사용하여 현재 Exchange Server의 빌드 버전을 확인하고 최신 SU(Security Update)를 다운로드하여 설치하십시오.
# Exchange 서버 버전 및 빌드 번호 확인
Get-ExchangeServer | Format-List Name, Edition, AdminDisplayVersion
# 최신 보안 패치 적용 후 IIS 및 Exchange 서비스 재시작
Restart-Service W3SVC, MSExchangeIS, MSExchangeMailboxAssistants2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
패치를 즉시 적용하기 어려운 환경에서는 비관리자 사용자의 원격 PowerShell 접속 권한을 명시적으로 차단해야 합니다. 아래 스크립트를 실행하여 일반 사용자의 PowerShell 사용을 비활성화하십시오.
# 특정 사용자의 원격 PowerShell 비활성화
Set-User -Identity 'username' -RemotePowerShellEnabled $false
# 조직 내 모든 비관리자 사용자의 원격 PowerShell 일괄 비활성화
Get-User -ResultSize Unlimited -Filter {RemotePowerShellEnabled -eq $true} | Where-Object {$_.WindowsEmailAddress -ne $null} | Set-User -RemotePowerShellEnabled $false3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
IIS 로그 및 Exchange 원격 PowerShell 로그에서 비정상적인 POST 요청이나 익스플로잇 시도를 탐지하기 위한 점검 명령어입니다.
# IIS 로그 디렉토리에서 PowerShell 엔드포인트로의 비정상적인 접근 패턴 검색
grep -ri '/powershell' /var/log/iis/ | grep -E 'Autodiscover|owa'반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2022-41080)은 Microsoft Exchange Server의 원격 PowerShell(Remote PowerShell) 프로토콜 처리 과정에서 발생하는 권한 상승(Elevation of Privilege) 취약점입니다. 공격자가 유효한 일반 사용자 계정(기본 사서함 권한)을 가지고 있을 경우, Exchange 원격 PowerShell 엔드포인트에 연결하여 세션 컨텍스트를 조작하고 프로세스 실행 권한을 로컬 시스템(SYSTEM) 수준으로 승격시킬 수 있습니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
실제 위협 환경에서 본 취약점은 단독으로 사용되기보다, IIS 웹 서버의 프론트엔드 취약점(예: CVE-2022-41082)과 체이닝되어 'OWASPFall' 또는 'Play Ransomware' 공격 캠페인에 적극적으로 악용되었습니다. 공격자는 OWA(Outlook Web Access) 인터페이스를 우회하여 원격 PowerShell 백엔드 엔드포인트(/powershell)에 직접 접근한 뒤, 직렬화된 페이로드를 전송하여 인증 필터를 우회하고 타겟 서버에서 임의의 PowerShell 명령을 시스템 권한으로 실행합니다.
3. 비즈니스 및 인프라 파급 영향
본 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재될 만큼 실질적인 위협이 입증되었습니다. 공격자가 Exchange 서버의 제어권을 완전히 장악할 경우, 기업 내부 네트워크 전체로의 횡적 이동(Lateral Movement)이 가능해지며, Active Directory(AD) 도메인 컨트롤러 장악, 이메일 데이터 무단 탈취, 랜섬웨어 유포 등 비즈니스 연속성에 치명적인 피해를 초래할 수 있습니다.
공식 보안 권고문 및 참조 링크
Microsoft Exchange Server Elevation of Privilege Vulnerability
자주 묻는 실무 질문 (FAQ — CVE-2022-41080)
FAQQ1. CVE-2022-41080 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2022-41080의 기본 점수는 CVSS 8.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 77.3%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2022-41080에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 exchange_server입니다. 상세 영향 범위: Microsoft Exchange Server 2013 Cumulative Update 23 이하, Exchange Server 2016 Cumulative Update 22/23 이하, Exchange Server 2019 Cumulative Update 11/12 이하 버전.
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] Microsoft에서 제공하는 최신 누적 업데이트(CU) 및 보안 업데이트(SU)를 즉시 적용하고, 불필요한 원격 PowerShell 액세스를 차단하십시오. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2022-41080 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (microsoft)
동일 카테고리 전체 보기 →Windows IKE 확장 모듈 이중 해제(Double Free) 취약점 원격 코드 실행 경보 (CVE-2026-33824)
[영향 대상] Windows 및 Windows Server 운영체제에서 실행되는 IKE(Internet Key Exchange) 확장 서비스
Microsoft SharePoint Server 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-58644, CWE-502)
[영향 대상] Microsoft SharePoint Server 환경
Microsoft Office SharePoint 중요 기능 인증 누락으로 인한 권한 상승 취약점 (CVE-2026-56164) 긴급 보안 권고
[영향 대상] Microsoft Office SharePoint 서버 환경
Microsoft SharePoint 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-50522, CWE-502)
[영향 대상] Microsoft SharePoint Server 제품군
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.