[분석가] 분석 — CVE-2026-20963

• 심각도 critical · CVSS 9.8 · EPSS 0.29459 · 악용난이도 easy · KEV

• 유형: Deserialization of untrusted data (CWE).
• 경로: 네트워크를 통해 인증되지 않은 공격자가 특수하게 조작된 직렬화 데이터를 전송하여 촉발됩니다.
• 원리: 추정: BinaryFormatter 또는 LosFormatter와 같은 취약한 .NET 직렬화 메커니즘을 사용하여, 서버 측에서 역직렬화 과정 중 임의의 객체 그래프(Gadget Chain)를 생성하고 최종적으로 원격 코드 실행(RCE)으로 이어집니다.
• 단계: [공격 페이로드 구성] $\rightarrow$ [취약한 엔드포인트로 전송] $\rightarrow$ [서버 내 역직렬화 수행] $\rightarrow$ [임의 코드 실행].

악용 가능성: [공격 난이도 및 악용 가능성 분석]

본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 나타내듯, 인증되지 않은 원격 공격자가 특수하게 조작된 데이터를 네트워크를 통해 전송함으로써 권한 없이 코드 실행(RCE)을 유발할 수 있어 공격 난이도가 매우 낮습니다. 공격 표면은 Microsoft Office SharePoint의 신뢰할 수 없는 데이터 역직렬화(Deserialization of untrusted data) 지점으로, 외부로 노출된 엔드포인트 및 관련 프로토콜 파라미터가 주요 트리거 조건이 됩니다. 특히 KEV에 등재되어 실제 야생(In-the-wild) 악용 사례가 확인되었으며, EPSS 수치가 0.29459로 측정된 점은 이론적 심각도를 넘어 실질적인 공격 시도 확률이 매우 높음을 입증합니다. 이는 공격자가 복잡한 전제조건이나 사용자 상호작용 없이도 네트워크 접근만으로 시스템 제어권을 획득할 수 있음을 의미하며, 자동화된 스캐닝 도구를 통한 대규모 악용 가능성이 매우 큽니다. 따라서 본 취약점은 낮은 진입 장벽과 높은 실측 위협 수준을 동시에 보유하고 있어 즉각적인 대응이 필요한 고위험 상태입니다.

• 영향 제품 및 범위:
  • Microsoft SharePoint Enterprise Server 2016 (16.0.0 $\le x <$ 16.0.5535.1001)
  • Microsoft SharePoint Server 2019 (16.0.0 $\le x <$ 16.0.10417.20083)
  • Microsoft SharePoint Server Subscription Edition (16.0.0 $\le x <$ 16.0.19127.20442)
• 기술적 위험: CVSS 9.8의 Critical 등급으로, 공격자가 인증 없이 시스템 권한을 획득하여 완전한 시스템 장악이 가능합니다. 이는 내부망 침투 후 추가적인 횡적 이동(Lateral Movement) 및 데이터 탈취의 교두보로 활용될 수 있습니다.
• 비즈니스 리스크: 기업 내 협업 플랫폼의 가용성 상실은 물론, 민감한 내부 문서 유출로 인한 기밀성 파괴 및 컴플라이언스 위반 위험이 매우 높습니다.

• 유형 연계: .NET Framework 기반의 Deserialization 취약점 패턴을 따르며, 가용한 Gadget Chain의 존재 여부에 따라 공격 성공률이 결정됩니다. 추정: ViewState 조작이나 특정 API 엔드포인트와의 체이닝을 통해 인증 우회 및 권한 상승으로 이어질 가능성이 있습니다.

• 네트워크: _vti_bin 등 SharePoint API 경로로 유입되는 비정상적인 직렬화 데이터 패턴(예: .NET 직렬화 특유의 매직 바이트나 Base64 인코딩된 객체 그래프) 모니터링.
• 호스트: SharePoint 프로세스(w3wp.exe)가 비정상적인 자식 프로세스(예: cmd.exe, powershell.exe)를 생성하는 행위 탐지.

• 근본 해결: 영향 범위에 해당하는 모든 제품의 최신 보안 업데이트 패치를 즉시 적용하십시오.
• 즉시 조치:
  • KEV 등재 및 EPSS 0.29459(실측 악용 예측 상위 0.97995%)로 인해 위험도가 매우 높으므로, 24시간 내 패치를 권고합니다.
  • 패치 전까지는 외부에서 SharePoint 서버로의 불필요한 네트워크 접근을 차단하고 WAF를 통해 직렬화 페이로드 패턴을 필터링하십시오. (단, 정교한 페이로드는 우회 가능하므로 보조 수단으로만 활용)

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.29459 · exploit=easy · in_scope=None