Exchange Server CVE-2026-42897 대응: OWA XSS·스푸핑 제로데이 패치

조작된 이메일이 OWA 세션까지 도달하는 경로

CVE-2026-42897은 Microsoft Exchange Server OWA(Outlook Web Access)에서 발견된 CVSS 8.1 고위험 제로데이다. 정교하게 조작된 이메일을 열었을 때 피해자 브라우저에서 임의 JavaScript가 실행될 수 있다. 취약점 공개 뒤 48시간 만에 실제 야생 익스플로잇이 확인됐고, CISA는 5월 15일 이를 KEV 카탈로그에 올리면서 연방기관에 5월 29일까지 패치를 의무화했다.

Exchange Server Subscription Edition·2016·2019 전 버전이 영향권에 있어, 개별 서버가 아닌 조직 전체의 메일 인프라 관점에서 우선순위를 잡아야 한다.

항목	상세
CVE 번호	CVE-2026-42897
CVSS 점수	8.1 (High)
취약점 유형	XSS + Spoofing
영향 제품	Exchange Server SE / 2016 / 2019
공격 벡터	이메일 기반, 사용자 상호작용 필요
패치 상태	EM Service 자동 완화 적용
KEV 등재	2026-05-15
연방기관 패치 기한	2026-05-29

MIME 처리와 OWA 렌더링 사이의 우회

문제의 출발점은 OWA 입력 새니타이제이션 결함이다. 공격자는 특수 제작한 이메일을 보내고, 사용자가 OWA에서 해당 메시지를 열면 조작된 HTML·JavaScript가 브라우저 컨텍스트에서 실행된다. 일반적인 저장형 XSS와 달리, 이메일 파서 단계에서 필터링을 우회하는 구조다.

공격자는 <script> 또는 이벤트 핸들러를 포함한 멀티파트 MIME 이메일을 조작한다. Exchange 백엔드의 HTML 렌더링 엔진이 특정 태그 조합을 처리하는 과정에서 새니타이저가 우회되고, OWA 프런트엔드가 이를 인라인으로 렌더링한다. 그 결과 세션 쿠키 탈취, DOM 조작, 피싱 페이지 삽입으로 이어질 수 있다.

OWA에는 Content Security Policy(CSP)가 적용돼 있지만, 이 취약점은 CSP 디렉티브가 적용되기 전의 이메일 렌더링 컨텍스트에 스크립트를 주입하는 경로를 이용한다. 따라서 unsafe-inline 허용 여부와 관계없이 이메일 파서 레벨의 문제라면 기존 CSP 정책만으로 완전한 방어를 기대하기 어렵다.

⤢✕

메일 수신부터 세션 감시까지의 방어선

이메일 수신 구간과 OWA 렌더링 구간을 분리해 보더라도, 방어는 전 구간에 걸쳐 연결돼야 한다.

이메일 게이트웨이(SEG)에서는 MIME 구조 분석, 악성 헤더 패턴 차단, DMARC·DKIM·SPF 검증을 수행한다. Exchange 백엔드에서는 HTML 허용 태그 화이트리스트 기반 파싱, 이벤트 핸들러 제거, Base64 인코딩 우회 패턴 감지를 적용한다.

OWA 쪽에서는 CSP 헤더를 default-src 'self'; script-src 'nonce-{random}' 수준으로 강화하고 frame-ancestors 설정으로 클릭재킹을 차단한다. AJAX 요청에는 Origin / Referer 헤더 검증을 추가하고, 쿠키에는 SameSite=Strict 정책을 적용한다.

마지막으로 SIEM에서 OWA 세션의 이상 행동을 관찰한다. 단시간 내 대량 메일 발송이나 비정상 지역 로그인은 계정 탈취와 후속 스푸핑을 추적하는 신호가 될 수 있다.

KEV 등재 이후의 패치 운영 흐름

CVE 공개부터 패치 검증까지는 각 단계를 분리하지 말고 하나의 긴급 변경 흐름으로 관리해야 한다.

단계	활동	목표 시간
CVE 공개 (T+0)	위험 평가·영향 시스템 인벤토리 수집	4시간 이내
익스플로잇 확인 (T+48h)	임시 완화책 즉시 적용	즉시
KEV 등재 (T+72h)	연방기관 패치 계획 수립	24시간 이내
공식 패치 배포	테스트 환경 검증 후 프로덕션 적용	2주 이내
패치 완료 검증	취약점 스캔 재실행·결과 보고	패치 후 48h

영향 시스템을 빨리 식별하는 일이 대응의 출발점이다. CMDB와 연동된 자산 관리 시스템에서 Exchange Server 버전 정보를 실시간으로 조회하고, 미패치 시스템은 자동 티켓 생성과 담당자 에스컬레이션으로 연결하는 워크플로우가 필요하다.

공식 패치가 배포되기 전에는 Microsoft Exchange EM(Emergency Mitigation) Service가 자동 완화 룰을 적용한다. 다만 EM 적용 시 OWA 달력 인쇄, 인라인 이미지 표시, OWA Light 기능이 제한될 수 있으므로 비즈니스 영향도를 먼저 평가해야 한다.

추가 임시 조치로는 다음을 검토한다.

OWA의 HTML 이메일 렌더링을 비활성화하고 일반 텍스트 모드를 강제 적용한다.
외부 발신자 이메일에 경고 배너를 삽입한다.
Exchange 관리 센터에서 외부 이메일 자동 전달 규칙을 차단한다.

Exchange 보안 설정에서 확인할 항목

CISA KEV(Known Exploited Vulnerabilities) 등재는 단순한 취약점 공지가 아니라 실제 공격에 활용됐음이 공식 확인됐다는 뜻이다. 연방기관(FCEB)에는 BOD 22-01에 따른 법적 패치 의무가 발동되며, 민간 조직에도 즉각 대응이 권고된다.

운영 환경에서는 Exchange Emergency Mitigation Service 활성화 여부를 확인하고, Exchange Health Checker 스크립트로 보안 설정을 점검한다. OWA 외부 접근은 VPN·MFA 조건부 접근 정책으로 제한하며, EWS(Exchange Web Services)의 불필요한 외부 노출도 차단한다. 이메일 인증은 DMARC p=reject, DKIM, SPF까지 완전하게 구현하고, WSUS/MECM 기반 보안 업데이트 자동 배포 채널도 함께 확인한다.

CVE-2026-42897은 기업 메일이라는 보편적인 통신 수단을 공격 벡터로 삼는다. 48시간 내 익스플로잇 확인과 CISA KEV 긴급 등재는 Exchange EM Service 활성화, OWA 접근 통제, 공식 패치 적용을 지연 없이 이어가야 하는 이유다.