Microsoft Exchange가 같은 주에 두 번 뚫린 이유

공격 방식은 비교적 단순하다. 공격자가 조작된 콘텐츠를 전달하면, 사용자가 Outlook Web Access(OWA) 같은 웹 인터페이스에서 이를 열 때 브라우저에서 악성 JavaScript가 실행될 수 있다.

영향 받는 Exchange 버전

이번 취약점은 온프레미스 Exchange 서버에 영향을 준다.

• Exchange Server 2016
• Exchange Server 2019
• Exchange Server Subscription Edition (SE)

반면 Exchange Online(Microsoft 365의 클라우드 서비스) 은 영향을 받지 않는 것으로 확인됐다.

이 취약점의 CVSS 점수는 약 8.1로 ‘High’ 등급이며, 실제 공격이 확인되면서 CISA의 Known Exploited Vulnerabilities(KEV) 목록에도 추가됐다.

Microsoft의 긴급 대응 조치

문제는 취약점이 패치가 나오기 전에 이미 악용되고 있었다는 점이다. 그래서 Microsoft는 우선 임시 완화 조치(mitigation) 를 공개했다.

핵심은 Exchange Emergency Mitigation Service(EEMS) 다. 이 서비스는 서버에 자동으로 방어 규칙을 적용하는 기능이다.

CVE‑2026‑42897 대응을 위해 Microsoft는 URL Rewrite 규칙을 이용해 취약한 요청을 차단하는 완화책을 배포했다.

관리자에게 권고된 조치는 다음과 같다.

• Exchange Emergency Mitigation Service 활성화
• 보안 업데이트가 나오면 즉시 적용
• Exchange 및 IIS 로그에서 의심스러운 활동 모니터링

CISA의 대응: KEV 목록 등록

미국 사이버보안 기관 CISA(Cybersecurity and Infrastructure Security Agency) 는 이 취약점을 KEV(Known Exploited Vulnerabilities) 카탈로그에 즉시 추가했다.

KEV에 등록된 취약점은 실제 공격이 확인된 고위험 취약점이라는 의미다.

미 연방 기관들은 BOD 22‑01 규정에 따라 반드시 다음 조치를 취해야 한다.

• 벤더 패치 또는 완화 조치 즉시 적용
• 인터넷에 노출된 시스템 확인
• 대응이 불가능한 경우 시스템 격리 또는 사용 중단

이 목록에 포함된 취약점은 민간 기업에서도 긴급 대응이 필요한 보안 위험으로 간주된다.

온프레미스 Exchange에 특히 중요한 이유

이번 사건 두 가지는 온프레미스 Exchange가 왜 계속 공격 표적이 되는지를 잘 보여준다.

1. 인터넷에 직접 노출되는 구조

많은 조직이 Outlook Web Access 같은 서비스를 외부 인터넷에 공개한다. 이 구조는 공격 표면을 크게 넓힌다.

2. 공격 성공 시 얻는 가치가 큼

Exchange 서버를 장악하면 공격자는 다음과 같은 정보를 얻을 수 있다.

• 이메일 데이터
• 인증 토큰
• 내부 네트워크 접근 권한

종종 전체 Windows 도메인 침투의 출발점이 되기도 한다.

3. 공격 방식이 매우 다양함

같은 주에 발생한 두 사건은 공격 스펙트럼의 양 끝을 보여준다.

• 연구자가 발견한 고급 다중 취약점 체인 공격
• 실제 공격에 사용되는 웹 기반 취약점

4. 패치 공백 시간 문제

제로데이 사건은 패치가 나오기 전 공격이 시작될 수 있다는 현실을 다시 보여줬다.

이 기간 동안 조직은 임시 완화 조치와 로그 모니터링에 의존해야 한다.

핵심 정리

Pwn2Own Berlin 2026의 익스플로잇 체인과 CVE‑2026‑42897 제로데이 공격은 하나의 공통 메시지를 남겼다.

온프레미스 Microsoft Exchange 서버는 여전히 기업 인프라에서 가장 위험한 공격 지점 중 하나라는 것이다.

보안 전문가들은 다음과 같은 대응을 권장한다.

• Exchange 서버의 인터넷 노출 최소화
• Emergency Mitigation Service 활성화 확인
• 보안 업데이트 즉시 적용
• OWA 및 IIS 로그 지속 모니터링

특히 아직 온프레미스 Exchange를 운영 중인 조직이라면 이번 사건을 보안 아키텍처를 재점검하는 계기로 삼는 것이 필요하다.