우리 회사 SharePoint 서버의 CVE-2026-58644 취약점 노출 여부를 확인하려면 IIS 및 SharePoint 로그에서 /_layouts/15/toolpane.aspx 경로로의 POST 요청과 Referer=layouts/signout.aspx 조합을 검색해야 한다. 서비스 중단 없이 패치를 적용하려면 테스트 환경 검증 후 인터넷 노출 서버부터 순차적으로 적용하는 롤링 배포 및 블루-그린 전략을 사용하며, ASP.NET Machine Key 교체와 IIS 재시작을 반드시 병행해야 한다.
CVE-2026-58644 및 ToolShell 캠페인의 기술적 분석과 영향 범위
최근 보고된 ToolShell 캠페인은 SharePoint의 심각한 취약점을 악용해 기업 및 공공기관의 핵심 서버를 탈취하는 고도화된 공격 양상을 보인다. 2025년 기준으로 최소 54개 기관에서 85대의 서버가 탈취되었으며, 여기에는 연방 및 주 정부 기관을 비롯해 대학, 에너지, 금융, 의료 분야의 핵심 인프라가 포함됐다. 실제 피해 사례를 보면 캘리포니아 대학에서는 학생 기록과 지식재산이 유출되었고, 뉴욕의 핀테크 기업은 금융 데이터 유출로 규제 리스크와 신뢰도 하락이라는 타격을 입었다. 플로리다 주정부 역시 시민 데이터와 핵심 운영 시스템이 침해되는 사고가 발생했다.
공격의 핵심은 CVE-2025-53770(CVSS 9.8)과 CVE-2025-53771(CVSS 6.3) 조합을 통한 인증 우회 및 원격 코드 실행(RCE)이다. 공격자는 /_layouts/15/toolpane.aspx 경로의 displaymode 쿼리 파라미터를 타겟으로 POST 요청을 보내고, Referer 헤더를 layouts/signout.aspx로 위조해 보안 검증을 우회한다. 이후 spinstall.aspx 같은 악의적인 파일을 업로드해 웹쉘을 설치하며, 이 과정에서 ASP.NET Machine Keys인 ValidationKey와 DecryptionKey를 탈취한다. 탈취한 키로 위조된 ViewState 페이로드를 생성해 지속적인 접근 권한을 유지하고 Teams, OneDrive, Outlook 등 내부 서비스로 횡적 이동(Lateral Movement)하며 내부 설정 노출과 데이터 탈취를 이어간다.
패치 우회 이력도 주목해야 한다. 2025년 7월 Patch Tuesday로 CVE-2025-49704 및 CVE-2025-49706 패치가 배포되었으나, 공격자들은 이를 우회하는 CVE-2025-53770/53771 변형 공격을 수행했다. 해당 POC는 이미 2025년 5월 POC Berlin에서 공개되었다. 이후 2026년에는 중요 기능의 인증이 누락된 CWE-306 기반의 CVE-2026-56164 등 추가 보안 이슈가 제기되었으며, CISA KEV 리스트 등재 및 0.92라는 높은 EPSS 점수를 기록하며 최우선 패치 대상으로 분류됐다.
시스템 관리자는 서버 노출 여부를 판단하기 위해 단순한 버전 확인을 넘어 다각적인 진단 프로세스를 수행해야 한다. 먼저 조직 내 모든 SharePoint Server 인스턴스를 전수 조사해 프로덕션, 스테이징, DR 및 레거시 서버를 모두 식별하는 인벤토리 작업이 필요하다. 이후 Microsoft 보안 공지와 어드바이저리를 대조해 현재 설치된 빌드 버전이 CVE-2026-58644 및 관련 우회 체인 취약점에 영향받는 버전인지 정확히 확인한다. 기억이나 일반적인 가정 대신 공식 빌드 번호를 직접 비교하는 것이 필수적이다.
다음으로 서버의 네트워크 노출 경로를 매핑한다. 인터넷에 직접 노출되었는지, 혹은 VPN, 파트너사 연결망, 클라우드 커넥터로 접근 가능한 경로가 있는지 식별하고 내부 네트워크 세그먼트의 접근 범위를 분석한다. 로그 기반 탐지는 가장 확실한 증거가 된다. IIS 및 SharePoint 로그에서 /_layouts/15/toolpane.aspx 경로의 POST 요청과 특정 Referer 헤더 조합을 검색하고, w3wp.exe 프로세스가 cmd.exe나 PowerShell.exe를 실행하는 체인을 모니터링한다. 특히 인코딩된 명령어가 포함되어 있는지 세밀하게 살펴야 한다.
마지막으로 파일 시스템 및 네트워크 레벨의 침해 지표(IOC)를 확인한다. M365 Defender 등의 도구로 C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\TEMPLATE\LAYOUTS\spinstall.aspx 파일 생성 여부를 확인한다. 또한 공격에 사용된 IP 주소인 107.191.58.76, 104.238.159.149, 96.9.125.147의 접속 기록을 전수 조사하고, 이를 WAF 및 IPS 룰에 반영해 차단 조치를 취해야 한다.
| 진단 단계 | 점검 항목 | 세부 확인 사항 | 판단 기준 |
|---|---|---|---|
| 1. 인벤토리 식별 | 전체 서버 리스트 | 프로덕션, 스테이징, DR, 레거시 인스턴스 | 누락된 서버가 없는가? |
| 2. 버전 검증 | 빌드 번호 대조 | Microsoft 공식 어드바이저리 기반 취약 버전 확인 | 취약 버전 범위에 포함되는가? |
| 3. 경로 분석 | 네트워크 노출도 | 인터넷 직접 노출, VPN, 커넥터 경로 확인 | 외부 접근 가능 경로가 존재하는가? |
| 4. 로그 분석 | HTTP 요청 패턴 | /toolpane.aspx POST 요청 및 Referer 위조 확인 | 공격 패턴 로그가 존재하는가? |
| 5. IOC 탐지 | 악성 파일 및 IP | spinstall.aspx 파일 존재 여부 및 특정 IP 접속 | 침해 지표가 발견되었는가? |
서비스 중단 없는 패치 적용 절차와 가동 시간 최적화 전략
보안 패치를 적용할 때 가장 큰 부담은 서비스 다운타임이다. 이를 최소화하려면 롤링 업데이트(Rolling Update) 또는 블루-그린(Blue-Green) 배포 전략을 채택한다. 모든 패치는 운영 환경 적용 전, 동일한 구성의 테스트 환경에서 기능 영향도 평가를 완료해야 한다. 패치 우선순위는 인터넷 노출 서버를 1순위, 내부망 서버를 2순위로 설정해 공격 표면을 빠르게 줄인다.
패치 적용 후에는 반드시 ASP.NET Machine Key 교체 작업을 진행한다. 패치만으로는 이미 탈취된 Machine Keys를 이용한 지속적인 접근을 막을 수 없기 때문이다. PowerShell을 사용해 다음과 같은 절차로 키를 교체한다.
- 관리자 권한으로 PowerShell을 실행하고 Add-PSSnapin Microsoft.SharePoint.PowerShell 명령어로 스냅인을 로드한다.
- Update-SPMachineKey 또는 환경에 맞는 키 교체 명령을 실행해 기존 ValidationKey와 DecryptionKey를 무효화하고 새 키를 생성한다.
- 모든 SharePoint 서버의 IIS를 재시작해 변경된 키를 반영하고, 기존의 위조된 세션이나 뷰스테이트 페이로드가 작동하지 않도록 조치한다.
메모리 내 스크립트 실행 및 악성 행위를 차단하기 위해 AMSI(Anti-Malware Scan Interface) 활성화 상태도 점검해야 한다. SharePoint 2016, 2019 및 Subscription Edition 23H2 버전은 2023년 9월 이후 기본적으로 AMSI가 활성화되어 있다. 다만 이전 버전이거나 설정이 변경된 경우 반드시 활성화하고 Microsoft Defender 또는 신뢰할 수 있는 타사 AV 솔루션과 통합되어 있는지 확인한다. 즉각적인 패치가 불가능한 긴급 상황이라면 일시적으로 인터넷 노출 서버를 네트워크에서 분리하거나 WAF/IPS에서 toolpane 패턴과 악성 IP를 차단하는 임시 완화 조치를 적용한다. 이 과정에서 발생하는 서비스 영향도는 유관 부서와 사전에 협의해 계획적으로 수행한다.
패치 후 사후 검증 및 지속적 모니터링 체계 구축
패치 적용과 키 교체가 완료되었어도 상황이 끝난 것은 아니다. 공격자가 이미 백도어를 설치했을 가능성이 크므로 철저한 사후 검증이 필요하다. 우선 업데이트 상태를 문서화하고, 모든 서버에서 패치된 빌드 번호가 정상 반영되었는지 재확인한다. 이후 SIEM(Security Information and Event Management)이나 EDR(Endpoint Detection and Response) 솔루션으로 비정상적인 인증 없는 요청, 권한의 갑작스러운 변경, 알 수 없는 관리자 계정 활동이 있는지 집중 모니터링한다.
특히 Rapid7 MDR나 Cortex XDR 같은 행위 분석 도구를 활용해 w3wp.exe 프로세스에서 파생되는 불분명한 PowerShell 실행이나 예상치 못한 파일 생성 징후를 탐지하는 것이 중요하다. IIS 로그, SharePoint 감사 로그, 네트워크 트래픽 로그를 통합 분석해 공격자가 사용했던 패턴이 다시 나타나는지 감시한다. 정기적인 스캔으로 C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\TEMPLATE\LAYOUTS\ 경로에 spinstall.aspx 같은 의심스러운 파일이 다시 생성되는지 체크하는 자동화 프로세스를 구축하는 것이 좋다.
SharePoint CVE-2026-58644 대응의 핵심은 정확한 버전 진단, 전략적인 롤링 패치, 그리고 필수적인 Machine Key 교체에 있다. 단순히 보안 업데이트 설치에 그치지 않고, 침해 지표 기반의 로그 분석과 AMSI 활성화, 지속적인 EDR 모니터링이 병행되어야 고도화된 ToolShell 캠페인 같은 공격으로부터 기업의 핵심 자산을 안전하게 보호할 수 있다. 지금 즉시 조직 내 SharePoint 인벤토리를 점검하고, 5단계 체크리스트를 통해 보안 상태를 검증하시기 바란다.