Microsoft SharePoint Server에서 인증된 원격 코드 실행(RCE, 원격에서 서버를 마음대로 조종할 수 있는 공격)이 가능한 취약점(CVE-2026-65660)의 상세 공격 코드가 공개됐습니다. Microsoft는 처음에 이 취약점을 심각도가 낮은 '스푸핑(spoofing, 신원 위장 공격)'으로 잘못 분류해 보안 담당자들이 실제 위험성을 과소평가했을 가능성이 있습니다. 공격자는 별도의 이미 패치된 인증 우회 취약점과 연결하면 로그인 없이도 서버를 완전히 장악할 수 있습니다. 패치는 8월 11일에 배포됐으며, SharePoint 2016·2019·Subscription Edition 사용자는 즉시 적용이 필요합니다. 지원이 종료된 SharePoint 2013도 영향을 받지만 패치가 제공되지 않으므로 별도 대책이 요구됩니다.
Viettel Cyber Security 연구원 Dinh Ho Anh Khoa가 CVE-2026-65660의 전체 기술 분석과 실제 작동하는 공격 코드를 공개했다. Microsoft는 해당 취약점을 CVSS 6.5의 스푸핑 취약점으로 분류했으나, 실제로는 CVSS 8.8의 인증된 원격 코드 실행(RCE) 취약점이다.
SharePoint Server 2016, 2019, Subscription Edition(및 지원 종료된 2013)에 영향을 미친다. 인증된 공격자는 원격에서 임의 코드를 실행할 수 있으며, 익명 페이지 접근이 허용된 서버에서는 이미 패치된 인증 우회 취약점과 연계해 인증 없이도 RCE가 가능하다.
SharePoint의 SafeControls 목록 검사 과정에서 ToolPane 컴포넌트가 Register 지시문을 재구성할 때 속성 값 내부의 따옴표를 이스케이프하지 않아, 공격자가 추가 지시문을 주입해 임의 .NET 클래스를 등록하고 XamlServices.Parse()를 통한 역직렬화(deserialization)로 코드를 실행할 수 있다.
8월 11일 패치가 배포됐으며 적용 시 취약 함수가 기본 비활성화된다. pre-authentication 공격 경로를 차단하려면 6월 9일 패치도 함께 적용돼야 한다. 현재까지 실제 악용 사례는 보고되지 않았으나 공격 코드가 공개됐으므로 즉시 패치 적용이 권고된다.
Microsoft 보안 권고문과 CVE 레코드 내용이 불일치해 스푸핑으로 잘못 분류된 이 취약점을 우선순위에서 제외했을 수 있다. 동일 연구원이 발견한 CVE-2026-55040은 CISA KEV에 등재된 실제 악용 취약점이며, 이번 CVE-2026-65660도 공격 코드가 공개된 만큼 즉각적인 패치 검토가 필요하다.
본문
Swati Khandelwal · 2026년 9월 22일 · 취약점 / 웹 보안
Microsoft가 처음에 스푸핑(spoofing, 신원 위장) 취약점으로 분류했던 SharePoint Server 취약점이 실제로는 인증된 원격 코드 실행(RCE)을 가능하게 한다는 사실이 밝혀졌다. Viettel Cyber Security 연구원 Dinh Ho Anh Khoa가 오늘 공개한 전체 기술 분석에 따른 것이다. Microsoft의 초기 평가에서는 해당 취약점에 CVSS 점수 6.5가 부여됐다.
이 취약점 CVE-2026-65660은 SharePoint Server 2016, 2019, Subscription Edition에 영향을 미친다. 8월 11일 보안 업데이트를 통해 패치가 제공됐으며, 미국 국립취약점데이터베이스(NVD)는 CVSS 8.8을 부여하고 있다.
Microsoft의 권고문은 CVE-2026-65660을 인가된 공격자가 스푸핑을 수행할 수 있는 취약점으로 설명하며, 무결성이나 가용성에 대한 영향은 없는 것으로 분류했다. 반면 Microsoft가 별도로 게시하고 9월 11일 업데이트한 CVE 레코드는 동일한 취약점을 원격 코드 실행 취약점으로 명시하며, 인가된 공격자가 코드를 실행할 수 있다고 기술하고 있다.
두 문서 모두 코드 인젝션(code injection) 약점을 나타내는 CWE-94를 부여하고 있다. 권고문만을 기준으로 CVE-2026-65660을 분류한 보안 담당자들은 이를 최대에 가까운 점수의 코드 실행 취약점이 아니라 중간 수준의 스푸핑 취약점으로 판단했을 수 있다.
Khoa는 2025년 5월 Pwn2Own Berlin 대회에서 SharePoint 대상 최초의 ToolShell 익스플로잇 체인을 시연한 연구원이다. 해당 체인은 이후 중국 국가 지원 해킹 그룹에 의해 실제로 악용됐고, Microsoft는 긴급 패치를 배포한 바 있다.
이 연구원은 그 이후에도 여러 SharePoint 취약점을 추가로 공개했다. 그 중에는 CVE-2026-55040, 즉 8월에 세부 내용이 공개된 직후 공격자들에게 실제로 악용된 인증 우회 취약점도 포함된다.
이번 CVE-2026-65660 취약점의 근본 원인은 SharePoint가 서버 측 컨트롤의 SafeControls 목록 포함 여부를 검사하는 방식에 있다. SafeControls는 위험한 클래스가 로딩되는 것을 방지하는 필터다. ToolPane 컴포넌트가 웹 파트 마크업을 처리할 때 Register 지시문을 재구성하는 과정에서, 속성 값을 큰따옴표 사이에 쓰면서 내부의 따옴표를 이스케이프(escape)하지 않는다.
공격자는 이스케이프되지 않은 따옴표를 통해 추가 지시문을 주입할 수 있으며, 타입 검사가 완료된 후 컨트롤이 로딩되기 전에 임의의 .NET 클래스를 등록할 수 있다.
임의 클래스 로딩이 가능해지면, 공격자는 XamlServices.Parse()를 사용해 역직렬화(deserialization)를 통한 코드 실행을 유발한다. Khoa에 따르면, 공개된 분석 자료에는 다른 역직렬화 기법에서 발생하는 레지스트리 권한 오류를 피하는 인메모리(in-memory) 웹셸 페이로드도 포함되어 있다.
연구원은 또한 이 취약점을 이미 패치된 별도의 인증 우회 취약점과 연계하면, 익명 페이지 접근을 허용하도록 구성된 서버에서 인증 전(pre-authentication) 원격 코드 실행이 가능함을 시연했다. Khoa는 해당 우회 취약점이 6월 9일 패치로 수정됐으며, 해당 패치를 적용한 서버는 인증 전 공격 경로에 노출되지 않는다고 밝혔다.
CVE-2026-65660의 실제 악용 사례는 아직 보고되지 않았으며, CISA의 KEV(Known Exploited Vulnerabilities, 실제 악용 확인 취약점) 목록에도 등재되어 있지 않다. Microsoft 권고문은 악용 가능성이 낮다고 평가하고 있으나, 현재 전체 익스플로잇 마크업이 공개된 상태다. Khoa는 해당 익스플로잇을 모의 침투 테스트(penetration testing) 업무에서 실제 활용했다고 밝혔다.
연구원에 따르면 8월 11일 패치가 해당 취약점을 수정하고 취약한 함수를 기본적으로 비활성화한다.
Khoa는 Microsoft 권고문에 2016, 2019, Subscription Edition만 명시되어 있지만 SharePoint 2013도 영향을 받는다고 밝혔다. SharePoint 2013은 2023년 4월 지원이 종료됐으며 보안 업데이트가 제공되지 않는다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
