[단독분석] 분석 — CVE-2026-20963

• 심각도 critical · CVSS 9.8 · EPSS 0.29459 · 악용난이도 easy · KEV

• 원리: 신뢰할 수 없는 데이터의 Deserialization 과정에서 발생하는 취약점입니다.
• 경로: 공격자가 네트워크를 통해 특수하게 조작된 직렬화 데이터를 전송합니다.
• 단계: 인증되지 않은 원격 공격자가 대상 서버의 엔드포인트에 접근 $\rightarrow$ 조작된 페이로드 주입 $\rightarrow$ 역직렬화 과정에서 임의 코드 실행(RCE)으로 이어집니다.

악용 가능성: [공격 난이도 및 악용 가능성 분석]

본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 나타내듯, 인증되지 않은 외부 공격자가 네트워크를 통해 특수하게 조작된 데이터를 전송하는 것만으로 트리거할 수 있어 공격 난이도가 매우 낮습니다. 특히 SharePoint의 신뢰하지 않는 데이터 역직렬화(Deserialization of untrusted data) 지점이 주요 공격 표면이 되며, 특정 엔드포인트로 전달되는 직렬화된 객체 파라미터를 통해 원격 코드 실행(RCE)을 유도합니다. 이론적 심각도를 넘어 EPSS 수치가 0.29459로 높게 측정되고 CISA KEV에 등재되었다는 점은, 이미 실제 환경에서 공격 도구가 보급되어 야생(In-the-wild) 악용이 활발히 이루어지고 있음을 증명합니다. 따라서 방어자는 내부망에 위치한 서버라 할지라도 외부 노출 접점이 있다면 즉각적인 위협으로 간주해야 합니다. 결과적으로 낮은 진입 장벽과 검증된 악용 가능성으로 인해 공격자의 최우선 타겟이 될 확률이 매우 높습니다.

• 영향 제품 및 규모:
  • Microsoft SharePoint Enterprise Server 2016 (16.0.0 $\le$ x < 16.0.5535.1001)
  • Microsoft SharePoint Server 2019 (16.0.0 $\le$ x < 16.0.10417.20083)
  • Microsoft SharePoint Server Subscription Edition (16.0.0 $\le$ x < 16.0.19127.20442)
• 기술적 위험: CVSS 9.8(Critical) 및 AV:N/PR:N 벡터에 따라, 외부망에 노출된 SharePoint 서버는 인증 없이 즉각적인 시스템 권한 탈취가 가능합니다. 이는 데이터 유출, 악성코드 배포, 내부 네트워크로의 횡적 이동(Lateral Movement)의 교두보로 활용될 수 있습니다.
• 비즈니스 리스크: 기업 내 핵심 문서 및 협업 데이터가 저장되는 플랫폼 특성상 기밀 정보 유출 가능성이 매우 높으며, 시스템 장악 시 서비스 가용성 상실 및 컴플라이언스 위반으로 인한 법적/신뢰도 리스크가 발생합니다.

• 유형 연계: Deserialization 취약점 특성상, 내부의 다른 Gadget Chain과 결합하여 샌드박스를 우회하거나 권한 상승을 시도하는 체이닝 가능성이 존재합니다.

• 네트워크 레벨: HTTP 요청 바디 내에서 SharePoint 직렬화 객체 특유의 매직 바이트나 비정상적으로 긴 직렬화 데이터 패턴을 모니터링합니다.
• 호스트 레벨: w3wp.exe 등 SharePoint 관련 프로세스가 비정상적인 자식 프로세스(예: cmd.exe, powershell.exe)를 생성하는 행위를 탐지합니다.

• 우선순위 결정 근거: 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 특히 KEV 등재 및 EPSS 0.29459(실측 악용 예측치가 매우 높음) 수치를 기반으로 immediate(24시간 내) 대응이 결정되었습니다.
• 근본 해결: 영향 범위에 해당하는 각 제품 버전별 최신 보안 업데이트를 즉시 적용하십시오.
• 즉시 조치: 패치 적용 전까지 외부에서 SharePoint 관리 페이지 및 취약 엔드포인트로의 접근을 네트워크 ACL 또는 WAF를 통해 제한하십시오.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.29459 · exploit=easy · in_scope=None