마이크로소프트 Exchange 서버에서 심각한 인증 우회(로그인 절차를 건너뛰어 시스템에 침입하는 공격) 취약점인 CVE-2026-62911이 발견됐으며, 전 세계 약 2만 2,000대의 서버가 아직 패치를 적용하지 않은 상태입니다. 이 취약점을 악용하면 공격자가 네트워크를 통해 권한을 높여 시스템을 장악할 수 있으며, 현재 인터넷상에 실제로 작동하는 익스플로잇(취약점 공격 도구)이 이미 유포되고 있습니다. 마이크로소프트는 2026년 8월 11일 패치를 배포했으므로, 아직 업데이트하지 않은 조직은 즉시 적용해야 합니다. Exchange Server 2016·2019는 이미 공식 지원이 종료된 버전으로, ESU(연장 보안 업데이트) 프로그램에 가입한 경우에만 패치를 받을 수 있습니다.
Microsoft Exchange Server에서 CVSS 8.0의 심각 등급 인증 우회 취약점(CVE-2026-62911)이 발견됐으며, 전 세계 약 2만 2,000대의 서버가 패치 미적용 상태로 노출되어 있다. 미국(6,200대)과 독일(5,100대)이 피해 규모 상위권을 차지하고 있으며, 독일의 경우 온프레미스 Exchange 서버의 약 85%가 취약한 것으로 파악됐다.
인증된 공격자가 네트워크를 통해 권한 상승을 이룰 수 있어 기업 이메일 인프라 전체가 위협받을 수 있다. 현재 실제 작동하는 익스플로잇이 온라인에서 유통되고 있어 실제 공격 가능성이 매우 높다.
Microsoft Exchange Server의 캡처-재생(capture-replay) 방식의 인증 우회 결함으로, DEVCORE Research Team의 Orange Tsai가 Trend Micro Zero Day Initiative를 통해 발견했다.
마이크로소프트는 2026년 8월 11일 보안 패치를 배포했다. 네덜란드 NCSC-NL과 독일 BSI는 즉각적인 업데이트 적용을 권고했으며, Exchange Server 2016·2019 사용 조직은 서버를 내부망으로만 접근 가능하도록 제한하고 가능하면 대체를 권고했다.
Exchange Server를 운영 중인 조직은 2026년 8월 11일자 보안 업데이트 적용 여부를 즉시 확인해야 한다. Exchange 2016·2019 사용 중이라면 ESU 프로그램 가입 여부를 점검하고, 인터넷 노출을 최소화하거나 최신 버전으로 전환을 검토해야 한다.
본문
Shadowserver Foundation의 일별 스캔에 따르면, 약 2만 2,000대의 Microsoft Exchange 서버가 심각한 인증 우회 취약점인 CVE-2026-62911에 대한 패치를 적용하지 않은 채 운영되고 있습니다.
미국과 독일이 각각 6,200대, 5,100대로 미패치 서버 수 상위권을 차지하고 있습니다.
CVE-2026-62911은 심각(critical) 등급의 취약점으로, Microsoft는 이를 "Microsoft Exchange Server의 캡처-재생(capture-replay) 방식을 이용한 인증 우회"로 설명합니다. 이 취약점을 통해 인증된 공격자가 네트워크를 경유해 권한을 상승시킬 수 있습니다.
Microsoft는 2026년 8월 11일 패치를 배포했으며, Trend Micro의 Zero Day Initiative와 협력한 DEVCORE Research Team의 Orange Tsai가 해당 취약점을 발견한 것으로 공식 인정했습니다.
Microsoft가 자사 보안 권고문에서 아직 공식 확인하지는 않았지만, 네덜란드 국가사이버보안센터(NCSC-NL)는 지난주 이 취약점에 대한 실제 작동하는 익스플로잇이 이미 온라인에서 유포되고 있다고 경고했습니다.
NCSC-NL은 "Microsoft Exchange Server에서 여러 심각한 취약점이 발견됐습니다. 그 중 하나가 CVSS 점수 8.0의 CVE-2026-62911입니다"라고 경고했습니다.
또한 "Microsoft가 해당 취약점을 해결하는 업데이트를 배포했습니다. 가능한 한 빨리 업데이트를 설치하시기 바랍니다"라고 안내하면서, "Exchange Server 2016 및 2019는 ESU(연장 보안 업데이트) 프로그램을 통해서만 보안 업데이트를 받을 수 있습니다. 해당 버전을 사용 중이라면 서버를 내부망에서만 접근 가능하도록 하고, 가능한 경우 교체를 검토하시기 바랍니다"라고 덧붙였습니다.
"자신의 조직이 어떤 버전의 Exchange Server를 사용하는지 모른다면 IT 관리자나 IT 서비스 제공업체에 문의하시기 바랍니다"라고도 안내했습니다.
독일 연방정보보안청(BSI)은 2026년 8월 28일 Mastodon 계정을 통해, 독일 내 온프레미스 Exchange 서버의 약 85%가 CVE-2026-62911에 취약한 상태임을 밝혔습니다.
2026년 6월에는 Microsoft가 실제 악용이 확인된 Microsoft Exchange Server 취약점인 CVE-2026-42897을 패치한 바 있습니다.
Microsoft는 자사 블로그를 통해 "Exchange Server 2016과 2019는 지원이 종료된 상태입니다. ESU(연장 보안 업데이트) Period 2 프로그램에 등록한 고객만이 2026년 5월부터 10월 사이에 배포되는 Exchange Server 2016 및 2019 보안 업데이트를 수신할 자격이 있습니다"라고 밝혔습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
