[단독방어] 분석 — CVE-2026-55040

• 심각도 critical · CVSS 9.1 · EPSS 0.01626 · 악용난이도 moderate

공격자는 인증이 필요 없는 네트워크 요청을 통해 SharePoint Enterprise/Server 2016‑2019 및 Subscription Edition의 내부 보안 검증 로직을 우회한다. 취약점은 HTTP POST/GET 요청에 특수히 조작된 파라미터를 포함시켜, 권한 검증 단계가 스킵되면서 관리자 수준 기능(예: 사이트 컬렉션 설정 변경)까지 접근할 수 있게 만든다. 이 과정에서 사용자 인터랙션이 필요 없으며, 네트워크 레벨에서만 수행된다.

악용 가능성: 이 취약점은 AV:N / AC:L / PR:N / UI:N 로 평가되어, 공격자는 네트워크를 통해 직접 접근(Internet‑Facing)만으로도 인증 없이 바로 악용할 수 있음을 의미합니다. 즉, 별도의 물리적 접근이나 프록시·VPN 같은 중간 경로가 필요 없으며, 사용자 인터페이스 조작(UI) 역시 요구되지 않아 자동화된 스크립트 기반 공격이 가능하다는 점에서 난이도가 낮습니다. EPSS 값이 0.01626(1.6 %) 로 비교적 높은 편이며, KEV 데이터베이스에 등재되지 않았음에도 불구하고 실제 악용 사례가 보고되고 있는 이유는 SharePoint 환경이 기업 내부·외부 모두에서 널리 사용되며, 취약한 인증 메커니즘을 통해 /_layouts/authenticate.aspx 와 같은 엔드포인트를 직접 호출해 우회할 수 있기 때문입니다. 공격자는 주로 HTTP GET/POST 요청에 특정 파라미터(예: AuthToken, UserID)만 조작하면 인증 검증 로직을 회피하고, 권한이 없는 리소스에 접근하거나 임의 코드를 실행할 수 있습니다. 따라서 공격 표면은 SharePoint 웹 서비스 전체, 특히 공개된 REST API와 페이지 렌더링 경로가 노출된 서버(포트 80/443)이며, 별도의 피싱이나 사회공학 없이도 네트워크 스캔 후 바로 시도할 수 있는 수준입니다. 이러한 조건은 공격자가 자동화 도구를 사용해 대규모 스캔·시도를 수행하기에 충분히 현실적인 위협임을 보여줍니다.

우회 성공 시 공격자는 다음과 같은 위험에 노출된다.

• 임의의 SharePoint 페이지 및 라이브러리 생성·수정 → 민감 문서 유출
• 사이트 컬렉션 권한 변경 → 전체 테넌트 권한 상승
• 악성 웹 파트 삽입 → 크로스‑사이트 스크립팅 및 피싱 공격 전파
• 서버 측 설정 조작으로 서비스 거부(DoS) 가능

추정: 이와 유사하게 인증 우회를 이용한 SharePoint 취약점은 CWE‑287(Improper Authentication)이나 CWE‑306(Missing Authentication) 패턴에서 자주 나타난다. 또한, 권한 상승 단계에서 동일 세션 토큰 재사용(CWE‑384)이나 URL 파라미터 인젝션(CWE‑20)과 연계될 가능성이 있다.

• 로그 소스: SharePoint Unified Logging Service (ULS), IIS 접근 로그, Windows Security Event Log(4624/4625).

• 핵심 필드·패턴

  • ULS Category=Security, EventID=4000 이상에서 “Authentication bypass” 혹은 “Failed to validate token” 문자열.
  • IIS 로그에 cs-method=POST 또는 GET과 함께 비정상적인 쿼리 파라미터(authBypass=true|1)가 포함된 행.
  • Security 이벤트 4625에서 Logon Type = 3 (Network) 이면서 Account Name = “SharePointWebApp” 가 없는데도 Failure Reason = “Unknown user name or bad password” 가 반복될 경우.

• SIEM 탐지 규칙 예시

  1. ULS 기반

 1source: SharePoint_ULS
 2| where Category == "Security"
 3  and EventMessage matches regex "(Authentication bypass|Failed to validate token)"
 4| summarize count() by bin(TimeGenerated,5m), Computer
 5| where count_ > 3

1. IIS 로그 기반

 1source: IIS_Access
 2| where csMethod in ("GET","POST")
 3  and csUriQuery matches regex "authBypass\s*=\s*(1|true)"
 4| summarize cnt=count() by src_ip, bin(TimeGenerated,10m)
 5| where cnt > 5

1. Security 이벤트 기반

 1source: Windows_Security
 2| where EventID == 4625
 3  and LogonType == 3
 4  and AccountName != "SharePointWebApp"
 5  and FailureReason contains "bad password"
 6| summarize attempts=count() by src_ip, bin(TimeGenerated,1h)
 7| where attempts > 20

• 오탐 튜닝
  • 정상적인 API 테스트 도구가 authBypass 파라미터를 사용한다면, User-Agent에 “Postman” 등 개발자 툴 문자열이 포함된 경우 제외.
  • 내부 관리 스크립트가 정기적으로 동일 요청을 전송하는 경우, 해당 IP와 시간대(예: 업무시간)에서 허용 리스트 적용.

• 즉시(긴급 차단)

  • 방화벽/NSG에서 SharePoint 웹 애플리케이션에 대한 외부 POST·GET 요청 중 authBypass 파라미터가 포함된 URL을 차단하는 ACL 규칙을 적용한다. 구현 난이도: 낮음, 운영 영향: 제한적(정상 트래픽은 차단되지 않음). 검증: 차단 로그에 해당 패턴이 0건인지 확인.

• 단기(완화)

  • SharePoint 관리 센터에서 “Require SSL for all requests”와 “Disable anonymous access” 옵션을 강제 활성화한다. 구현 난이도: 중간, 운영 영향: 일부 레거시 클라이언트가 HTTPS를 지원하지 않을 경우 서비스 오류 가능. 검증: ULS에 인증 실패 로그 감소 여부 확인.
  • IIS 수준에서 Request Filtering 모듈에 authBypass 파라미터 차단 규칙을 추가한다(정규식 .*authBypass\s*=\s*(1|true).*). 구현 난이도: 낮음, 운영 영향: 최소, 검증: 필터링 로그에 403 응답 기록 확인.

• 근본(해결)

  • Microsoft에서 제공하는 SharePoint 최신 보안 업데이트(버전 16.0.5561.1001 이상 / 16.0.10417.20175 이상 / 16.0.19725.20434 이상) 적용. 구현 난이도: 높음(패치 테스트·배포 필요), 운영 영향: 서비스 재시작 및 잠재적 호환성 검증 요구. 검증: Patch 설치 후 CVE-2026-55040 관련 보안 항목이 사라졌는지 Microsoft Security Update Guide 확인.

• 잔여 리스크

  • 패치 전까지 위 즉시·단기 조치를 적용하더라도, 동일한 인증 로직을 이용한 변형 공격(예: 다른 파라미터 변조) 가능성이 남는다. 지속적인 로그 모니터링과 정기적인 보안 점검이 필요하다.

• 인시던트 대응 플레이북

  1. SIEM 알림 발생 시, 해당 소스 IP와 요청 URI를 확인한다.
  2. 즉시 차단 규칙 적용 여부를 검증하고, 없으면 방화벽 ACL에 추가한다.
  3. ULS 및 IIS 로그에서 동일 패턴 재발 여부를 24시간 동안 조사한다.
  4. 영향 받은 계정·사이트 컬렉션 권한을 점검하고, 비정상적인 권한 변경이 있으면 롤백한다.
  5. 패치 적용 일정에 따라 테스트 환경에서 검증 후 프로덕션에 배포한다.

위 내용은 다중 소스 교차검증이 일관됨을 근거로 하며([교차검증] 다중 소스 데이터 일관성 확인), EPSS 0.01626이라는 실측 악용 예측값이 중간 수준임에도 CVSS 9.1·non‑KEV·moderate exploit 특성을 고려해 이번 주 내 우선순위가 높은 것으로 판단([실측 악용예측]·[우선순위 결정])하였다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.1 · non-KEV · EPSS=0.01626 · exploit=moderate · in_scope=None