CVE-2026-50522 SharePoint 역직렬화 취약점은 인증되지 않은 외부 공격자가 조작된 보안 토큰을 보내 서버에서 임의의 코드를 실행하게 하는 치명적인 RCE 취약점이다. 공격자는 서버가 외부 입력값을 검증하지 않고 BinaryFormatter로 역직렬화하는 허점을 악용해 시스템 최고 권한을 획득한다.
핵심은 사용자 신원 확인에 쓰이는 보안 컨텍스트 토큰 처리 방식에 있다. 정상적인 환경에서 SharePoint는 로그인 과정을 거쳐 디지털 명찰과 같은 보안 토큰을 발급하고, 이후 이 토큰으로 권한을 확인한다. 하지만 CVE-2026-50522는 외부에서 전달된 토큰 무결성과 진위를 엄격히 검증하지 않고 맹목적으로 신뢰하는 허점을 노린다.
공격은 3단계의 정밀한 절차로 진행된다. 첫째, 공격자는 SharePoint 서버의 /_trust 경로로 접속해 위조된 로그인 응답을 보낸다. 이 데이터에는 정상 인증을 거치지 않은 가짜 토큰이 들어있다. 둘째, 가짜 토큰 안에 가젯 체인(Gadget Chain)이라는 악성 실행 코드 뭉치를 심는다. 가젯 체인은 시스템 내 정상 클래스를 조합해 공격자가 의도한 명령어가 실행되게 설계한 정교한 페이로드다. 셋째, 서버가 BinaryFormatter로 역직렬화를 수행하는 순간, 포장된 악성 코드가 풀리며 서버 프로세스 최고 권한으로 실행된다.
이 메커니즘은 2025년 파워실 사태와 매우 유사한 구조다. 당시에도 역직렬화 기반 RCE로 대규모 기업 인프라가 침해되었고, CVE-2026-50522 역시 같은 논리적 결함을 공유해 기술적 위험도가 높다. 특히 사용자 개입이 필요 없는 제로 클릭(Zero-click) 공격이 가능하다는 점이 인프라 담당자에게 가장 큰 위협이다.
취약점 심각도 및 실제 공격 영향도 분석
CVE-2026-50522는 CVSS 점수 9.8점이라는 최고 위험 등급(Critical)을 기록했다. 공격 난이도는 낮지만 파급 효과가 시스템 전체 장악으로 이어지기 때문이다. 실제 EPSS(30일 내 악용 확률)는 약 20.3%로 측정됐는데, 이는 보안 취약점 중 실제 공격으로 매우 빠르게 전환되는 수치다.
2026년 7월 20일부터 해당 취약점을 이용한 실제 공격 사례가 보고되기 시작했다. 공격자는 인터넷에 노출된 온프레미스 SharePoint 서버, 특히 2016 및 2019 버전을 대상으로 실시간 자동화 스캔을 수행 중이다. 자동화된 봇이 취약 서버를 찾아 즉각 페이로드를 투입하는 방식이라, 패치가 안 된 서버는 발견 즉시 침해되기 쉽다.
기업이나 공공기관이 운영하는 전자결재 시스템, 내부 문서관리 플랫폼 등 핵심 업무 시스템이 SharePoint 기반인 경우가 많다. 피해가 단순 서버 다운을 넘어 기밀 데이터 유출과 내부 망 침투의 교두보로 활용될 수 있기 때문이다. 다음은 주요 지표를 정리한 데이터다.
| 구분 | 상세 내용 | 비고 |
|---|---|---|
| CVE 식별자 | CVE-2026-50522 | 역직렬화 RCE |
| CVSS 스코어 | 9.8 (Critical) | 최고 위험 등급 |
| EPSS 확률 | 약 20.3% | 30일 내 악용 가능성 |
| 최초 공격 관측일 | 2026년 7월 20일 | 자동화 스캔 확인 |
| 주요 타겟 버전 | SharePoint 2016, 2019 | 온프레미스 환경 |
패치 이후에도 지속되는 위협: 머신 키 탈취 시나리오
최신 보안 업데이트만으로 모든 위협이 사라지는 건 아니다. 가장 위험한 대목은 공격자가 최초 침투에 성공하면 서버의 머신 키(Machine Key)나 마스터 키를 탈취할 수 있다는 점이다. 머신 키는 토큰을 암호화하고 서명하는 핵심 비밀키다.
공격자가 패치 적용 전에 이미 침투해 이 키를 확보했다면, 관리자가 보안 패치를 마쳐도 여전히 서버에 접근할 수 있다. 탈취한 키로 서버가 신뢰할 수밖에 없는 완벽한 가짜 토큰을 생성하기 때문이다. 패치 후에도 공격자가 정당한 사용자로 위장해 지속적으로 재침투할 수 있는 백도어 경로를 확보한 셈이다.
단순 패치 외에 이미 침해되었을 가능성을 염두에 둔 포렌식 조사와 키 교체 작업을 병행해야 한다. 시스템 로그를 분석해 /_trust 경로로의 비정상 접근 시도가 있었는지 확인하고, 자격 증명을 완전히 초기화하는 과정이 필수적이다.
보안 담당자를 위한 단계별 대응 로드맵 및 실무 가이드
인프라 및 보안 담당자는 단기, 중기, 장기적 관점의 전략적 접근이 필요하다. 특히 BinaryFormatter 같은 위험한 역직렬화 도구 사용을 근본적으로 제거하는 방향으로 보안 아키텍처를 개선해야 한다.
즉각적인 기술적 조치 사항은 다음과 같다.
- BinaryFormatter 사용 중단: .NET 환경에서 BinaryFormatter는 보안상 매우 취약하므로 사용을 즉시 중단하고, JSON이나 XML과 같은 안전한 데이터 포맷으로 전환한다.
- 외부 입력 역직렬화 금지: 외부에서 유입되는 모든 데이터에 대해 역직렬화를 수행하기 전, 반드시 디지털 서명을 검증하여 신뢰할 수 있는 출처인지 확인하는 절차를 추가한다.
- AMSI 연동 활성화: Antimalware Scan Interface(AMSI)를 활성화하여 메모리 상에서 실행되는 악성 페이로드를 런타임에 탐지하고 차단하는 체계를 구축한다.
- 최소 권한 원칙 적용: SharePoint 서비스 계정이 시스템 전체 권한(System/Administrator)을 가지지 않도록 권한을 최소화하여, RCE가 발생하더라도 피해 범위를 특정 디렉토리나 프로세스로 제한한다.
구체적인 대응 타임라인은 다음과 같이 설정한다.
- 24시간 이내 긴급 조치: MS 제공 최신 보안 패치를 즉시 적용하고, 인터넷에 노출된 SharePoint 서버의 외부 접근을 방화벽 수준에서 차단한다. 또한, 침해 가능성을 고려하여 기존 머신 키를 즉시 교체한다.
- 1주일 이내 심층 분석: 전문 보안 업체나 내부 포렌식 팀을 통해 침해 지표(IoC)를 조사하고, 탈취된 계정이 있는지 확인하여 모든 자격 증명을 초기화한다.
- 장기적 전략 수립: 온프레미스 환경의 취약점을 근본적으로 해결하기 위해 SharePoint Online으로의 마이그레이션을 검토하며, 모든 접근 제어를 엄격히 관리하는 제로트러스트(Zero Trust) 아키텍처를 도입한다.
CVE-2026-50522는 단순 소프트웨어 버그가 아니다. 인증 메커니즘의 신뢰 구조를 악용한 치명적인 공격이다. CVSS 9.8이라는 수치가 증명하듯, 신속한 패치와 머신 키 교체, 역직렬화 구조의 개선 없이는 언제든 뚫릴 수 있는 위험을 안고 있다. 지금 즉시 내부 서버 노출 여부를 점검하고, 제시된 로드맵에 따라 단계별 대응을 수행해 기업의 핵심 자산을 보호해야 한다.