Microsoft SharePoint 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-65660)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTMicrosoft SharePoint Server 2016, 2019 및 Subscription Edition 전 버전
인증된 공격자가 네트워크를 통해 서버 내 임의 코드를 실행하고 시스템 전체 권한 탈취 가능
Microsoft 공식 보안 패치 즉시 적용 및 침해 지표(IoC) 기반의 웹 셸 탐지 수행
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND- 보안 패치 적용: Microsoft 보안 업데이트 가이드(MSRC)를 참조하여 최신 누적 업데이트(CU)를 즉시 설치하십시오.
- 임시 완화 조치: 패치 적용 전까지 SharePoint 서비스 계정의 권한을 최소화(Least Privilege)하고, 불필요한 서비스(예: Sandbox Code Service)를 비활성화하십시오.
- WAF 탐지 강화: 웹 애플리케이션 방화벽(WAF)에서 비정상적인
.aspx파일 업로드 및_vti_bin경로에 대한 의심스러운 POST 요청을 차단하십시오.
# SharePoint 빌드 버전 확인 명령어
(Get-SPFarm).BuildVersion코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
본 취약점은 Microsoft SharePoint의 코드 생성 제어 미흡(CWE-94, Code Injection)으로 인해 발생합니다. 공격자가 유효한 사용자 계정(낮은 권한 포함)을 보유한 경우, 특정 요청을 통해 서버 측에서 임의의 코드를 동적으로 생성하고 실행할 수 있습니다. 특히 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 공격에 악용되고 있으며, EPSS 점수가 0.94에 달해 공격 시도가 매우 빈번한 상태입니다. 공격자는 이를 통해 웹 셸을 설치하거나 내부망 이동(Lateral Movement)의 교두보로 활용할 수 있습니다.
공식 보안 권고문 및 참조 링크
Improper control of generation of code ('code injection') in Microsoft Office SharePoint allows an authorized attacker to execute code over a network.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.