CVE-2026-55040: 랜섬웨어까지 연계된 치명적 SharePoint 인증 우회, 지금 패치하세요

공격자들이 보안 업체 Rapid7이 PoC(개념 증명) 익스플로잇을 공개한 지 불과 며칠 만에 온프레미스 마이크로소프트 SharePoint 서버의 치명적인 인증 우회 취약점을 적극적으로 악용하고 있습니다.

CVE-2026-55040로 추적되며 CVSS 점수 9.1을 받은 이 결함은 인증되지 않은 원격 공격자가 JSON 웹 토큰(JWT)을 위조하고 비밀번호나 유효한 세션 없이 모든 SharePoint 사용자(사이트 관리자 포함)를 사칭할 수 있게 합니다 .

마이크로소프트는 2026년 7월 14일 패치 화요일 업데이트에서 이 취약점을 패치했으며, SharePoint Server Subscription Edition, 2019 및 2016 Enterprise에 영향을 미칩니다 . 그러나 인터넷 전체 스캔에 따르면 8,500대 이상의 SharePoint 서버가 여전히 온라인에 노출되어 있어 공격자에게 넓은 공격 표면을 제공하고 있습니다 .

CVE-2026-55040 작동 방식: JWT 검증 실패

근본 원인은 SharePoint의 JWT 검증 파이프라인에 있는 취약한 인증 결함(CWE-1390)입니다. 이 버그를 발견한 Rapid7에 따르면, 취약점은 SharePoint의 SPJsonWebSecurityTokenHandlerV2 및 SPJsonWebSecurityBaseTokenHandlerV2 클래스가 Bearer 서비스 간 토큰을 구문 분석하는 방식의 여러 가지 뚜렷한 약점에서 비롯됩니다 . 공격자는 적절한 암호화 검증 없이 서버가 신뢰하는 조작된 JWT를 보낼 수 있으며, 결과적으로 모든 SharePoint 사이트 사용자 또는 팜 관리자의 신원을 효과적으로 가정할 수 있습니다 .

마이크로소프트는 이 결함을 간단히 설명했습니다. "이 취약점은 가장(impersonation)을 허용하므로 인증 기능이 우회될 수 있습니다" . 악용될 경우 공격자는 파일을 공개하고 데이터를 수정할 수 있지만, 시스템 가용성에는 영향을 미치지 않는다고 마이크로소프트는 밝혔습니다 .

공개 및 무기화 타임라인

• 2026년 7월 14일: 마이크로소프트와 Rapid7이 CVE-2026-55040을 공개하고 패치를 배포했습니다 .
• 2026년 8월 10일: Rapid7이 취약점에 대한 상세 기술 분석을 게시했습니다 .
• 2026년 8월 12일: Rapid7이 파이썬 스크립트 형태의 공개 PoC 익스플로잇을 공개했습니다 .
• 8월 12일 이후 며칠 내: 공격자들이 실제 환경에서 익스플로잇을 적극적으로 무기화하기 시작했습니다 .

Rapid7 연구원 Stephen Fewer가 이 결함을 발견했으며, 이것이 두 가지 취약점 체인 중 첫 번째이며, 두 번째(아직 공개되지 않은) 결함과 결합할 경우 취약한 SharePoint 서버에 대해 인증되지 않은 원격 코드 실행(RCE) 을 달성할 수 있다고 밝혔습니다 .

CISA 완화 지침

CISA는 2026년 7월 14일~15일에 긴급 강화 지침을 발표했으며, 악용이 확대됨에 따라 이를 업데이트했습니다 . 온프레미스 SharePoint를 운영하는 조직은 즉시 다음 조치를 취해야 합니다:

• 2026년 7월 누적 업데이트를 팜의 모든 SharePoint 서버에 적용하십시오. SharePoint 제품 구성 마법사 또는 PowerShell을 통해 성공적인 설치를 확인하십시오. Windows 업데이트만으로는 완전한 서비스가 보장되지 않습니다 . 특정 업데이트에는 SharePoint 2016용 KB 5002891/KB 5002892 및 SharePoint 2019용 KB 5002883이 포함됩니다 .
• SharePoint 서버를 인터넷에 직접 노출하지 마십시오. 인터넷 액세스가 필요한 경우 서버를 Layer 7 리버스 프록시 또는 인증을 적용하고 요청을 검사하는 동등한 애플리케이션 계층 보안 어플라이언스 뒤에 배치하십시오 .
• SharePoint 중앙 관리(SharePoint Central Administration)에 대한 외부 액세스를 차단하십시오. 이 관리 인터페이스는 인터넷에서 절대 연결 가능해서는 안 됩니다 .
• 모든 SharePoint 웹 애플리케이션에 AMSI(맬웨어 방지 검사 인터페이스) 통합을 활성화하고 확인하십시오 .
• 침해 징후가 발견되면 IIS 머신 키를 교체하고, 도난된 자격 증명을 교체하기 전에 침투 아티팩트를 감사하십시오 .
• 변칙적인 인증 패턴을 탐지하기 위해 맞춤형 로깅 및 모니터링을 구축하고, 패치 배포 이전 기간의 인증 및 권한 로그를 검토하십시오 .

더 넓은 악용 맥락: 활발히 공격받는 세 가지 추가 CVE

CVE-2026-55040은 고립된 사건이 아닙니다. 패치가 배포된 같은 날, CISA는 세 가지 추가 SharePoint CVE의 활발한 악용을 확인했습니다 :

• CVE-2026-32201 (CVSS 6.5) — 부적절한 입력 검증으로 인한 스푸핑 취약점으로, 적어도 2026년 4월부터 악용되었습니다 .
• CVE-2026-45659 (CVSS 8.8) — 신뢰할 수 없는 데이터의 역직렬화를 통한 원격 코드 실행 취약점입니다. 2026년 8월 11일 기준, CISA는 랜섬웨어 갱단이 이 결함을 남용하기 시작했다고 확인했습니다 .
• CVE-2026-56164 (CVSS 5.3, 그러나 인증 없이 원격으로 악용 가능) — IIS 머신 키를 탈취하고 지속적인 액세스를 달성하기 위해 공격에 적극적으로 연결되는 권한 상승 결함입니다 .

공격자들은 이러한 취약점을 함께 연결하고 있습니다: 초기 액세스를 위해 CVE-2026-32201을, 코드 실행을 위해 CVE-2026-45659 또는 CVE-2026-56164를, 인증 우회를 위한 힘 배율기(force multiplier)로 CVE-2026-55040을 사용하는 것입니다 . 일부 연구원들은 이 조직적인 악용 캠페인을 "SharePoint 체인"이라고 명명했습니다 .