현재 사용 중인 SharePoint 버전의 영향 여부는 Microsoft Security Update Guide에서 CVE 번호로 확인하고, 즉시 최신 누적 업데이트(CU)를 적용해 원격 코드 실행(RCE) 경로를 차단해야 한다. 특히 외부 노출 서버는 인증되지 않은 공격자가 조작된 요청을 보낼 위험이 크다. 패치 전까지는 관련 엔드포인트의 접근 제어를 최우선으로 설정할 필요가 있다.
SharePoint 서버의 제로데이 취약점, 그중에서도 원격 코드 실행(RCE) 취약점은 공격자가 서버 권한을 완전히 탈취하는 가장 치명적인 위협이다. 주로 입력값 검증 미흡이나 역직렬화(Deserialization) 과정의 결함으로 발생한다. 공격자는 HTTP 요청 헤더나 파라미터에 악성 페이로드를 삽입해 서버가 임의의 명령어를 실행하도록 유도한다.
SharePoint는 복잡한 권한 체계와 다양한 웹 서비스 엔드포인트를 갖춰 공격 표면(Attack Surface)이 매우 넓다. 인증 없이 접근 가능한 특정 API 엔드포인트에서 취약점이 발견되면, 내부 망에 진입한 공격자가 권한 상승(Privilege Escalation)을 통해 도메인 컨트롤러까지 장악하는 징검다리로 활용될 위험이 크다. 단순한 소프트웨어 업데이트를 넘어 공격 유입 경로를 정확히 파악하는 것이 핵심이다.
공격자가 권한을 탈취하는 3가지 치명적 경로
SharePoint 서버의 보안이 무너지는 경로는 크게 세 가지로 나뉜다. 경로마다 공격 난이도와 영향도가 다르므로 관리자는 지점별로 모니터링 전략을 달리해야 한다.
1. 인증되지 않은 원격 코드 실행(Unauthenticated RCE) 경로
가장 위험한 경로다. 공격자가 계정 정보 없이도 조작된 XML이나 JSON 요청을 보내 서버에서 코드를 실행한다. 주로 서버 측 요청 위조(SSRF)와 결합해 내부 API를 호출하거나, 메모리 오염 취약점으로 시스템 셸을 획득한다. 이 경우 공격자는 즉시 시스템 권한을 확보해 데이터베이스의 모든 기밀 문서에 접근한다.
2. 인증된 사용자 기반의 권한 상승 경로
낮은 권한을 가진 내부 사용자나 계정이 탈취된 외부 공격자가 이용한다. 워크플로 설정, 사이트 컬렉션 관리 등 SharePoint 특정 기능의 로직 결함을 이용해 권한을 사이트 관리자나 서버 팜 관리자로 격상시킨다. 내부 위협(Insider Threat)으로 작용할 가능성이 커 탐지가 매우 어렵다.
3. 역직렬화 취약점을 통한 객체 주입 경로
객체를 직렬화한 데이터를 다시 복구하는 역직렬화 과정의 허점을 노린다. 공격자가 조작된 직렬화 객체를 전송하면, 서버는 이를 처리하며 공격자가 의도한 악성 클래스를 인스턴스화해 실행한다. SharePoint뿐만 아니라 .NET 프레임워크 기반 애플리케이션에서 빈번하게 나타나는 고전적이면서도 강력한 기법이다.
취약점 영향도 및 버전별 대응 우선순위
SharePoint는 온프레미스와 온라인 버전(Microsoft 365)으로 나뉜다. 특히 온프레미스 환경 관리자는 패치 주기 관리에 각별히 주의해야 한다. 아래 표는 일반적인 SharePoint 취약점 발생 시 영향도와 대응 우선순위다.
| 취약점 유형 | 공격 요구 조건 | 잠재적 영향도 | 대응 우선순위 |
|---|---|---|---|
| Unauthenticated RCE | 인증 불필요 / 네트워크 접근 | 전체 서버 제어권 탈취 및 데이터 유출 | 최우선 (즉시 패치) |
| Authenticated RCE | 유효한 사용자 계정 필요 | 관리자 권한 획득 및 설정 변경 | 높음 (계정 관리 및 패치) |
| Privilege Escalation | 낮은 권한의 계정 보유 | 권한 외 문서 접근 및 수정 | 중간 (권한 감사 및 패치) |
| Information Disclosure | 특정 URL 요청 | 시스템 설정 및 내부 경로 노출 | 보통 (설정 최적화 및 패치) |
보안 패치 누락 시 발생하는 최악의 시나리오
보안 패치를 제때 적용하지 않고 방치하면 단순히 데이터 유출 이상의 피해를 입는다. 우선 랜섬웨어의 거점이 된다. RCE 취약점으로 진입한 공격자가 서버 내 백업 파일을 삭제하고 파일 시스템 전체를 암호화해 금전을 요구할 수 있다.
다음으로 APT(지능형 지속 위협) 공격의 교두보가 된다. 서버에 백도어를 설치해 연결을 유지하며 사내 다른 서버나 PC로 횡적 이동(Lateral Movement)을 시도한다. SharePoint는 전사 문서가 공유되는 곳이라 여기서 탈취한 인증 토큰이나 세션 정보를 이용해 클라우드 서비스나 ERP 시스템으로 침투하기 쉽다.
마지막으로 컴플라이언스 위반에 따른 법적 책임이다. 개인정보 보호법 및 ISMS-CERT 등 보안 인증 기준상 최신 패치 적용은 필수 의무다. 취약점을 인지하고도 방치해 사고가 났다면 중대한 관리 소홀로 간주되어 막대한 과징금과 이미지 실추라는 결과로 이어진다.
실무자를 위한 단계별 대응 프로세스
인프라 및 보안 담당자는 패치 공고 확인 후 다음 절차에 따라 대응한다.
- 취약점 분석 및 영향도 파악: Microsoft Security Update Guide에서 해당 CVE 번호의 영향 받는 버전(Affected Versions)을 확인하고, 현재 운영 중인 SharePoint 서버의 빌드 번호와 대조한다.
- 스테이징 환경 테스트: 운영 서버 적용 전, 동일 구성의 테스트 환경에서 누적 업데이트(CU)를 적용해 기존 커스터마이징 기능이나 워크플로에 영향이 없는지 검증한다.
- 백업 수행: 패치 중 발생할 수 있는 서비스 중단이나 데이터 손실에 대비해 팜 데이터베이스(Configuration, Content DB)를 전체 백업한다.
- 순차적 패치 적용: SharePoint 팜 내 모든 서버에 패치를 적용하고, SharePoint 제품 업데이트(SPPU) 도구로 업데이트를 완료한다.
- 사후 검증 및 모니터링: 서비스 가동 상태를 점검하고, 웹 서버 로그(IIS Log)와 이벤트 뷰어로 비정상 요청이나 오류 발생 여부를 실시간 모니터링한다.
SharePoint 제로데이 및 RCE 취약점은 단순한 소프트웨어 오류가 아니라 기업 핵심 자산을 위협하는 직접적인 통로다. 보안 패치는 서비스 중단이라는 단기 리스크보다 서버 전체 장악이라는 치명적인 리스크를 막는 유일한 해결책이다. 지금 즉시 서버 버전을 확인하고 최신 보안 업데이트를 적용해 인프라 안전성을 확보해야 한다.