사내 셰어포인트 직접 굴린다면 지금 확인하세요 — 인증 우회 'CVE-2026-55040' 총정리

🤖 AI 생성 콘텐츠 — 이 글은 AI가 자료를 수집하고 초안을 작성했으며, 발행 전 누슘 운영자가 검수했습니다.

셰어포인트 서버를 직접 운영한다면 2026년 7월 패치를 확인하세요. Rapid7의 인증 우회·RCE 체인과 CISA가 경고한 별도 실제 악용 사례를 구분해 정리합니다.

결론부터 말하면 이렇습니다. 아이디도 비밀번호도 없이, 남이 우리 회사 셰어포인트 서버의 사용자나 관리자 행세를 할 수 있는 구멍이 확인됐습니다. CVE-2026-55040 자체는 인증 우회입니다. Rapid7은 여기에 별도 취약점을 연결해 원격 코드 실행(RCE) 체인을 만들었습니다. 미국 사이버보안기관 CISA가 실제 악용을 경고한 취약점들은 또 다른 CVE들입니다. 클라우드(Microsoft 365)가 아니라 회사가 직접 서버에 깔아 쓰는 온프레미스 셰어포인트 이야기입니다.

CVE-2026-55040이 정확히 뭔가?

먼저 용어부터 풀어보죠.

RCE(원격 코드 실행) — 남이 인터넷 너머에서 내 서버에 아무 명령이나 실행할 수 있게 되는 상태입니다. 현관 비밀번호가 통째로 털려서, 도둑이 안방까지 들어와 마음대로 하는 셈이죠.
인증 우회(Authentication Bypass) — 로그인 절차 자체를 건너뛰는 겁니다. 문지기한테 신분증을 안 보여줘도 그냥 통과되는 거예요.

CVE-2026-55040은 바로 이 인증 우회 취약점입니다. 셰어포인트가 로그인 토큰(JWT)을 검증하는 과정에 여러 결함이 있어서, 원격의 공격자가 로그인 없이 아무 사용자로나 위장할 수 있습니다. 위험도 점수(CVSS)는 9.1점, ‘심각(Critical)’ 등급입니다.

단, 조건이 하나 있습니다. 공격자가 위장하려는 대상의 AD 보안 ID(SID)나 사용자 계정 이름(UPN)을 미리 알아야 합니다. UPN은 이메일 주소처럼 생긴 로그인 이름(예: [email protected])이라, 사실 알아내기 그렇게 어렵지도 않습니다. Rapid7은 실제로 SID를 하나씩 대입해 사용자 목록을 찾아낸 뒤, 결국 관리자 계정으로 위장하는 데 성공하는 개념증명(PoC)까지 만들었습니다.

AI가 취약점을 찾아냈다 — Rapid7의 실험

여기서 흥미로운 반전이 있습니다. 이 취약점을 찾아낸 방식입니다.

Rapid7 연구팀(수석 연구원 스티븐 퓨어)은 이걸 AI 에이전트를 대거 투입한 실험으로 발굴했습니다. 숫자가 놀랍습니다.

항목	규모
활성 작업 일수	24일
에이전트 세션	96회
투입 프롬프트	256개
에이전트 도구 호출	약 80,000회

재밌는 건 1월 1차 시도는 실패했다는 점입니다. 성과가 없었죠. 그런데 3월 2차 시도에서는 성공했습니다. 불과 두 달 사이에 공개 AI 모델의 성능과 연구팀의 활용법이 눈에 띄게 좋아졌고, 그 결과 취약점 2개를 엮어 무인증 RCE 체인을 완성했다는 겁니다. 이 체인은 원래 해킹 대회 ‘Pwn2Own 베를린’ 출품작으로 개발됐습니다.

핵심 교훈은 이겁니다. 공격자도 이제 AI로 취약점을 훨씬 빨리 찾는 시대가 됐다는 것. 방어하는 쪽도 그만큼 빨라져야 한다는 신호죠.

지금 실제로 공격당하는 건 따로 있다 (CISA 경고)

여기서 아주 중요한 구분이 필요합니다. 헷갈리면 안 되는 부분이에요.

CVE-2026-55040(Rapid7이 공개한 인증 우회) — 7월 14일 패치됐습니다. CISA는 이걸 “공격자들이 노릴 만한 매력적인 표적”으로 지목했지만, 아직 실제 공격에 쓰인 사례는 확인되지 않았습니다. 참고로 이 체인의 RCE 부분은 8월 패치 예정입니다. 인증 우회만 막아도 체인이 끊깁니다.
실제로 지금 공격당하는 건 다른 취약점들 — CISA는 2026년 7월 14일, CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 세 건이 인터넷에 노출된 온프레미스 셰어포인트 서버에서 실제로 악용되고 있다고 경고했습니다. 공격자들은 이걸로 인증을 우회하고, 원격 코드를 실행하고, IIS 머신 키를 훔치거나 악성코드를 심어 지속성을 확보한다고 합니다.

즉, “CVE-2026-55040은 아직 실제 공격은 없지만 위험하니 미리 막아라“이고, “56164 등은 이미 공격이 진행 중이니 당장 막아라“입니다. 둘 다 결국 결론은 하나 — 패치하세요.

규모 감이 안 오신다면 숫자를 하나 볼까요? 보안 감시단체 섀도서버 기준으로 인터넷에 노출된 셰어포인트 서버가 약 1만 대, 그중 일부 취약점에 대해 800대 이상이 패치되지 않은 상태로 집계됐습니다. 미국 연방기관은 CVE-2026-56164에 대해 7월 17일까지 조치하라는 명령(BOD 26-04)까지 받았습니다. 참고로 CISA가 2021년 11월 이후 실제 악용을 확인한 셰어포인트 취약점만 11건, 그중 7건은 랜섬웨어에도 쓰였습니다. 셰어포인트는 공격자들이 꾸준히 노리는 단골 표적이라는 뜻입니다.

그래서 뭘 해야 하나

관리자라면 데모나 뉴스보다 행동이 먼저입니다. CISA가 권고한 조치를 정리하면 이렇습니다.

마이크로소프트 최신 보안 패치를 적용하고, 설치가 실제로 완료됐는지 검증한다.
패치 주기를 짧게 가져간다.
셰어포인트 웹 애플리케이션에 AMSI 연동과 Microsoft Defender 백신(MDAV) 탐지를 켠다.
침해 흔적을 먼저 조사·제거한 뒤 IIS 머신 키를 교체한다. (순서 중요 — 흔적을 안 지우고 키만 바꾸면 소용없을 수 있습니다.)
꼭 필요한 경우가 아니면 셰어포인트를 인터넷에 직접 노출하지 말고, 노출이 필요하면 L7 리버스 프록시 뒤에 둔다.

한 줄 요약: 회사 안에서 셰어포인트를 직접 운영한다면, 이 글을 다 읽자마자 패치 상태부터 확인하세요. 클라우드(Microsoft 365) 이용자라면 이번 온프레미스 이슈에서는 한숨 돌려도 됩니다.

자주 묻는 질문 (FAQ)

Q. CVE-2026-55040은 지금 실제로 공격당하고 있나요? A. 2026년 7월 기준, 실제 악용 사례는 아직 확인되지 않았습니다. 다만 CISA가 “매력적인 표적”으로 지목한 심각(9.1점) 취약점이라 선제 패치가 강력히 권고됩니다.

Q. Microsoft 365(클라우드) 셰어포인트도 위험한가요? A. 이번 이슈는 회사가 직접 서버에 설치해 운영하는 온프레미스 셰어포인트 서버가 대상입니다. 영향받는 버전은 Subscription Edition, 2019, 2016입니다.

Q. 지금 당장 실제로 악용되는 취약점은 어떤 건가요? A. CISA는 CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 세 건이 실제 악용 중이라고 경고했습니다. 이들은 CISA의 ‘악용된 취약점 목록(KEV)’에 등재됐습니다.

Q. AI가 이 취약점을 찾았다는 게 무슨 뜻인가요? A. Rapid7이 AI 에이전트를 24일간 투입해 약 8만 건의 도구 호출로 코드를 분석한 끝에 발굴했다는 뜻입니다. 공격·방어 양쪽 모두 AI 기반 취약점 탐색이 빨라지고 있음을 보여줍니다.

마치며

이번 사건의 진짜 메시지는 “셰어포인트가 또 뚫렸다”가 아닙니다. 인증을 건너뛰는 한 방이 곧 서버 전체 장악으로 이어질 수 있다는 것, 그리고 그 취약점을 이제 AI가 빠르게 찾아낸다는 것입니다. 방어의 기본은 여전히 단순합니다 — 노출을 줄이고, 빨리 패치하고, 흔적을 감시하는 것.

여러분 조직은 온프레미스 서버 패치 주기를 어떻게 관리하고 계신가요? 누슘 댓글에서 운영 노하우를 공유해 주세요.

참고자료

태그: #SharePoint #CVE202655040 #인증우회 #RCE #제로데이 #CISA #보안패치 #JWT

AI 생성사내 셰어포인트 직접 굴린다면 지금 확인하세요 — 인증 우회 ‘CVE-2026-55040’ 총정리

목차