Microsoft SharePoint에서 발생한 CVE-2026-65660 취약점은 인증된 공격자가 네트워크 상에서 원격으로 코드를 실행하는 코드 인젝션 취약점입니다. 이미 CISA KEV 카탈로그에 등재되어 실제 악용 사례까지 확인된 매우 위험한 상태입니다.
CVE-2026-65660 취약점 개요 및 심각도
CVE-2026-65660은 Microsoft Office SharePoint에서 발생하는 코드 인젝션(Code Injection) 취약점입니다. 인증된 공격자가 네트워크를 경유해 원격으로 코드를 실행할 수 있습니다.
해당 취약점의 CVSS 3.1 심각도 점수는 8.8점이며 ‘높음(High)’ 단계로 분류됩니다. 점수가 높은 만큼 보안 관리자의 즉각적인 대응 조치가 필요합니다.
이번 취약점은 특정 최신 버전만이 아니라 구버전까지 포함해 여러 SharePoint 서버 제품군에 영향을 미칩니다. IT 인프라 운영자라면 운영 중인 서버의 버전부터 즉시 확인해 대상 포함 여부를 가리는 게 먼저입니다.
영향 대상 제품 및 심각도 요약
| 구분 | 상세 내용 |
|---|---|
| 영향을 받는 제품 | SharePoint Server 2016, SharePoint Server 2019, SharePoint Subscription Edition |
| CVSS 3.1 심각도 | 8.8 (High) |
| 취약점 유형 | 코드 인젝션 (Code Injection) |
| CISA KEV 등재 여부 | 등재 완료 (실제 악용 확인됨) |
취약점 악용을 위한 전제 조건
공격자가 이 취약점으로 원격 코드 실행(RCE)을 성공시키려면 다음 두 가지 핵심 조건이 충족돼야 합니다.
- 인증 권한 보유: 공격자는 SharePoint 시스템에 접근 가능한 인증된 사용자 권한(Authorized attacker)을 보유해야 합니다.
- 네트워크 접근성: 인증된 상태에서 네트워크를 경유해 취약점이 존재하는 서버에 닿는 경로가 확보돼야 합니다.
외부에서 비인증 상태로 공격하는 것 자체는 불가능하지만, 내부 사용자나 계정을 탈취한 공격자가 네트워크 내에서 움직일 때 매우 치명적인 위협이 됩니다.
CISA KEV 등재 및 실전 악용 사례 분석
CVE-2026-65660의 가장 우려되는 점은 이 취약점이 미국 사이버 보안 및 인프라 보안국(CISA)의 Known Exploited Vulnerabilities(KEV) 카탈로그에 공식적으로 등재됐다는 사실입니다. CISA KEV 등재는 이론적인 취약점을 넘어 실제 야생(In-the-wild)에서 공격 사례가 확인됐다는 뜻입니다. 공격자들이 이미 구동 가능한 익스플로잇(Exploit) 코드를 갖추고 있다는 방증이기도 합니다.
실제로 Previdian의 허니팟(Honeypot) 분석 결과에 따르면 2026년 9월 24일 하루에만 CVE-2026-65660을 노리는 익스플로잇 요청이 12건 수집됐습니다. 특정 타겟을 겨냥한 정밀 공격은 물론, 취약한 서버를 찾아내는 광범위한 스캐닝과 공격 시도가 지속되고 있음을 보여줍니다.
Previdian 허니팟 기반의 2단계 공격 메커니즘
관측된 공격 패턴을 분석해 보면 단순한 단발성 요청이 아닙니다. 체계적인 2단계 구조로 공격이 진행됩니다.
-
1단계: 안전장치 무력화 시도
공격자는 첫 번째 페이로드로.NET 역직렬화(deserialization) 안전장치를 비활성화하려 합니다. 시스템이 갖춘 기본적인 보안 필터링이나 검증 절차를 걷어내 이후의 공격이 원활하게 작동하도록 환경을 조성하는 단계입니다. -
2단계: 후속 페이로드 실행
안전장치 비활성화가 성공하거나 시도된 뒤 두 번째 페이로드를 전송해 실제 목적인 코드 인젝션을 수행하고 공격을 이어갑니다.
이런 단계적 접근 방식은 보안 솔루션의 탐지를 회피하고 공격 성공률을 높이기 위한 전략으로 풀이됩니다.
권고 대응 방안 및 보안 업데이트 확인
SharePoint Server를 운영 중인 IT 보안 관리자는 아래 조치로 즉각적인 위험을 줄여야 합니다.
- 제품 버전 확인 및 패치 적용: 운영 중인 서버가 SharePoint Server 2016, 2019 또는 Subscription Edition인지 확인하고, Microsoft에서 제공하는 최신 보안 업데이트를 즉시 적용하십시오.
- 인증 권한 관리 강화: 이 취약점이 인증된 사용자를 전제로 하는 만큼, 불필요한 계정 권한을 회수하고 다중 요소 인증(MFA)을 도입해 계정 탈취로 인한 2차 피해를 차단합니다.
- 네트워크 접근 제어: 인증된 사용자라 하더라도 불필요한 네트워크 경로를 통한 서버 접근을 제한하는 세그멘테이션(Segmentation) 정책을 검토해 볼 필요가 있습니다.
- 이상 징후 모니터링:.NET 역직렬화 관련 비정상적인 요청이나 알려진 공격 패턴의 페이로드가 유입되는지 로그를 지속적으로 지켜봐야 합니다.