3줄 요약
1. SharePoint 인증 우회 취약점(CVE-2026-55040)의 PoC가 공개된 직후 실제 공격이 관측됐습니다.
2. 대상은 SharePoint Server 2016 / 2019 / Subscription Edition — 국내 그룹웨어·사내포털에 가장 많이 깔린 버전대입니다.
3. 인증 없이 우회가 가능하므로 외부 노출 여부 확인이 패치보다 먼저입니다.
1. 무슨 일이 있었나
Microsoft SharePoint에서 인증 우회(Weak Authentication) 취약점 CVE-2026-55040이 공개됐습니다.
공격자는 네트워크를 통해 인증 없이 보안 기능을 우회할 수 있습니다.
문제는 속도였습니다.
- Rapid7이 PoC(공격 실증 코드)를 공개
- 8월 12일, 보안 업체 Defused의 허니팟에서 해당 PoC를 그대로 쓴 공격 시도 탐지
- CISA는 8월 18일 KEV(실제 악용 취약점) 카탈로그에 등재
PoC 공개 → 실제 공격까지 며칠. 이게 2026년의 표준 속도입니다.
2. 왜 한국 기업에 특히 위험한가
SharePoint는 국내에서 "사내 포털·전자결재·문서고" 용도로 광범위하게 쓰입니다.
| 특징 | 보안 관점 |
|---|---|
| 온프레미스 자체 호스팅 비중이 높음 | 클라우드처럼 벤더가 대신 패치해주지 않음 |
| 재택·외근용으로 외부에 열어둔 사례 다수 | 인증 우회 = 즉시 내부 문서 접근 |
| 문서고에 인사·계약·재무 자료 집중 | 1건 침해 = 개인정보 유출 신고 사안 |
| 구축 후 방치(담당자 퇴사, SI 종료) | 2016/2019 버전이 패치 없이 수년째 가동 |
"우리 SharePoint가 아직 살아있는지"조차 모르는 조직이 실제로 가장 많이 뚫립니다.
3. 지금 순서대로 해야 할 5가지
① 외부 노출부터 확인 (패치보다 먼저)
- SharePoint 웹 인터페이스가 인터넷에서 직접 열리는지 확인
- 열려 있다면 패치 전이라도 즉시 접근 IP 화이트리스트 적용
- VPN 뒤로 넣는 것만으로 대부분의 대량 스캔 공격은 차단됩니다
② 버전·패치 상태 식별
- SharePoint Server 2016 / 2019 / Subscription Edition 전부 영향권
- 8월 정기 보안 업데이트 적용 여부를 서버별로 확인
- "한 대는 했는데 개발/백업 서버는 빠뜨린" 사례가 반복됩니다
③ 침해 흔적(IoC) 소급 점검
- PoC 공개 시점 이후 로그를 되짚어야 합니다
- 확인 대상: 비정상 인증 성공, 신규 관리자 계정, 예상 밖 파일 업로드(웹셸), 대량 문서 다운로드
- 로그 보존 기간이 짧으면 지금 즉시 백업
④ 문서고 권한 재점검
- 인증 우회가 성공해도 권한 분리가 되어 있으면 피해 범위가 줄어듭니다
- 전사 공개 폴더에 인사·계약 문서가 섞여 있지 않은지 확인
⑤ 방치 자산 회수
- 담당자 부재로 남아 있는 SharePoint는 패치 대상이 아니라 폐기 대상입니다
- 쓰지 않는다면 끄는 것이 가장 확실한 조치입니다
4. 자가 점검 5문 (1분)
"예"가 3개 미만이면 외부 보안 진단이 필요한 상태입니다.
- ☐ 사내 SharePoint 서버 대수와 버전을 정확히 알고 있다
- ☐ 그중 외부(인터넷)에서 접근 가능한 것을 식별했다
- ☐ 8월 정기 패치를 서버별로 적용 완료했다
- ☐ PoC 공개 이후 인증·파일 로그를 소급 점검했다
- ☐ 문서고 권한이 부서·직급 단위로 분리돼 있다
5. ISMS-P / 개인정보 관점
사내 포털 침해는 기술 이슈로 끝나지 않습니다.
| 점검 항목 | 누락 시 |
|---|---|
| 외부 노출 자산 인벤토리 관리 | ❌ 지적 사항 |
| 알려진 악용 취약점(KEV) 대응 절차 | ❌ 지적 사항 |
| 문서고 접근권한 최소화·주기 점검 | ❌ 지적 사항 |
| 침해 시 개인정보 유출 신고 절차 | ⚠️ 보완 권고 |
문서고에 주민번호·계약서가 있었다면 개인정보 유출 신고 대상이 됩니다.
6. 결론 — 인증 우회는 "패치 이슈"가 아니라 "노출 이슈"
패치는 반드시 해야 합니다. 다만 순서가 있습니다.
외부 노출 차단 → 패치 → 로그 소급 점검 → 권한 정리.
인증을 우회당하는 서버는, 애초에 인터넷에 보일 이유가 없는 서버인 경우가 대부분입니다.
지금 30초 안에 시작하기
자사 도메인·서브도메인 중 외부에 노출된 관리 인터페이스가 있는지 확인하려면:
👉 SENTRIX 무료 보안 스캔 (codescan.kr) — URL 입력 → 30초 내 외부 노출 위험 진단
서버 대수가 많거나 침해 흔적 점검이 필요하다면:
👉 수동 진단 문의 (sentrix.co.kr) — 자산 인벤토리 매칭 + 로그 소급 분석 동반 진행
참고 자료