Exchange·FortiClient 취약점이 겹칠 때의 엔터프라이즈 공격 표면

2026년 5월 Microsoft는 Exchange Server Subscription Edition·2016·2019에서 스푸핑과 XSS를 결합한 CVE-2026-42897이 실제 공격에 쓰이고 있다고 공시했다. 같은 시기 Fortinet 엔드포인트 관리 솔루션 FortiClient에서도 인증 전 원격 코드 실행이 가능한 CVE-2026-35616이 보고됐다. 두 시스템이 함께 노출된 조직에서는 메일과 엔드포인트 관리 경로가 동시에 공격 표면이 된다.

Exchange의 헤더 위조와 XSS 경로

CVE-2026-42897은 Exchange Server 이메일 처리 파이프라인의 두 공격 벡터를 묶는다. 하나는 From, Reply-To, Sender 헤더 검증이 충분하지 않은 조건에서 발생하는 발신자 스푸핑이다. 다른 하나는 조작된 이메일 본문 또는 첨부 메일 헤더가 ECP, OWA 렌더링 과정에서 악성 JavaScript를 실행하는 크로스사이트 스크립팅이다.

이 취약점은 CVSS 8.8(High)로 분류된다. 네트워크 접근이 가능한 공격자는 피싱 메일의 신뢰도를 높이거나, XSS로 관리자 세션 쿠키를 탈취해 Exchange 서버 전체를 장악할 수 있다. CISA는 2026년 5월 이 CVE를 KEV(Known Exploited Vulnerabilities) 카탈로그에 등재하고 즉각적인 패치를 권고했다.

공격 흐름은 이메일 위장과 세션 탈취로 이어진다. 공격자는 CEO, CFO 또는 IT 부서를 사칭하는 피싱 메일을 보내고, 헤더 검증 우회를 통해 이를 내부 발신 메일처럼 보이게 한다. 이어 OWA(Outlook Web App)에서 XSS 페이로드가 실행되면 세션 토큰이 공격자 서버로 전송되며, 탈취된 세션으로 피해자의 Exchange 계정 전체에 접근할 수 있다.

Subscription Edition을 포함한 세 버전 모두에 영향이 있다는 점에서, Exchange를 온프레미스로 운영하는 대형 기업과 공공기관은 직접적인 노출 범위에 들어간다.

메일 수신 단계에 헤더 검증을 추가하는 방법

⤢✕

DMARC·DKIM·SPF는 이메일 인프라 보안의 기본 계층이다. 다만 CVE-2026-42897 환경에서는 조직 내부에서 보낸 것처럼 꾸미는 도메인 스푸핑까지 다뤄야 한다. 이런 경우 기존 SPF만으로는 탐지가 어려우므로, From 헤더와 Envelope-From(Mail From)의 불일치를 실시간으로 검사하는 커스텀 전송 규칙을 Exchange Transport Rule로 구성한다.

다음 PowerShell 명령은 내부 도메인 스푸핑 방지 규칙을 적용한다.

New-TransportRule -Name "Block Internal Domain Spoofing" `
  -HeaderContainsMessageHeader "From" `
  -HeaderContainsWords "@contoso.com" `
  -SenderDomainIs "contoso.com" `
  -ExceptIfFromScope InOrganization `
  -RejectMessageReasonText "Spoofing Detected: Internal domain used from external sender" `
  -RejectMessageEnhancedStatusCode "5.7.1"

OWA와 ECP에서 세션 탈취를 줄이는 방어선

OWA·ECP의 XSS 방어에는 Exchange 프런트엔드에 Content Security Policy(CSP) 헤더를 적용하는 작업이 포함된다. IIS 레벨의 web.config에 CSP를 삽입할 때는 OWA가 사용하는 인라인 스크립트 nonce를 정확히 허용 목록에 넣어야 기능 손상 없이 보호할 수 있다. 이메일 본문은 Anti-XSS 라이브러리를 사용해 서버 측 화이트리스트 기반 새니타이즈 파이프라인으로 처리한다.

세션 쿠키에는 HttpOnly, Secure 플래그를 활성화하고 SameSite=Strict 정책을 적용해 크로스사이트 요청 위조를 차단한다. EAC(Exchange Admin Center) 관리자 세션에는 MFA를 강제해 XSS로 쿠키가 탈취되더라도 재사용할 수 없도록 한다.

FortiClient EMS의 인증 전 RCE 위험

CVE-2026-35616은 FortiClient EMS(Endpoint Management Server)의 FCTEMS 프로세스에서 발생하며 CVSS 9.8(Critical)로 분류된다. 엔드포인트 관리 포트인 기본값 TCP 8013, 8014에 인증 없이 접근할 수 있는 상태에서 특수하게 구성된 요청을 보내면, 서버 프로세스 권한인 SYSTEM 또는 root로 임의 코드를 실행할 수 있다.

원인은 클라이언트 등록 요청을 처리하는 핸들러의 입력값 역직렬화(deserialization) 검증 부재다. 공격자는 악성 직렬화 객체를 등록 요청에 넣어 RCE를 달성할 수 있으며, 유효한 FortiClient 라이선스나 자격증명은 전혀 필요하지 않다.

EMS는 수천 대의 엔드포인트에 보안 정책을 배포하고 FortiGate와 연동하는 중앙 관리 서버다. 침해 시 공격자는 관리 대상 전체에 악성 정책이나 에이전트를 배포할 수 있고, FortiGate VPN 세션 정보, 엔드포인트 인벤토리, 사용자 자격증명에 접근할 수 있다.

EMS 관리 포트를 격리하는 네트워크 경계

⤢✕

EMS 관리 포트 8013, 8014는 우선 방화벽에서 외부 접근을 완전히 차단해야 한다. 접근을 열어야 한다면 관리자 전용 IP 대역으로 ACL을 제한하고, 해당 트래픽은 VPN 터널을 통해서만 허용한다. EMS 서버는 전용 관리 VLAN에 격리하고 엔드포인트망과 직접 통신할 수 없도록 방화벽 정책을 재구성한다.

CVE-2026-35616은 CVSS 9.8이므로 즉시 패치가 원칙이다. Fortinet 보안 권고 FG-IR-2026-35616에 따라 FortiClient EMS 7.2.x는 7.2.5 이상, 7.0.x는 7.0.13 이상으로 업그레이드해야 한다. 패치 전에는 EMS 서비스를 중단하거나 네트워크 레벨에서 해당 포트를 완전히 차단하는 임시 완화 조치를 적용한다.

EMS 침해 흔적을 탐지하는 기준

우선 확인할 IoC는 FCTEMS.exe의 비정상 자식 프로세스다. cmd.exe, powershell.exe, wscript.exe가 FCTEMS.exe의 자식으로 실행되면 즉시 경보를 발생시킨다. EMS 관리 포트로 들어오는 비정상 크기의 패킷, 특히 8KB 이상의 등록 요청은 IDS/IPS 규칙으로 탐지하고, EMS 서버에서 외부 IP로 향하는 비정상 아웃바운드 연결은 SIEM에서 감시한다.

EDR은 관리 대상 엔드포인트뿐 아니라 EMS 서버 자체에도 배포해 프로세스 행동 기반 탐지를 활성화한다. EMS 침해가 의심되면 서버를 즉시 네트워크에서 격리하고, 관리 대상 엔드포인트의 EMS 통신을 일시 중단해 악성 정책 배포를 막는다.

이메일에서 엔드포인트 관리 서버까지 이어지는 공격 체인

두 취약점이 한 환경에 함께 존재할 때 APT(고급 지속 위협) 그룹은 Exchange를 초기 접근 지점으로, EMS를 권한 확장 지점으로 사용할 수 있다.

먼저 CVE-2026-42897의 스푸핑 기능으로 IT 관리자를 사칭한 피싱 메일을 보안팀에 보내고, XSS 페이로드가 삽입된 이메일이 OWA에서 열리면 세션 쿠키를 탈취한다. 탈취한 Exchange 세션으로 IT 관리자의 이메일을 읽어 FortiClient EMS 서버의 내부 IP와 관리 포트 정보를 얻고, FortiClient 배포 정책과 VPN 설정 문서를 열람한다.

이후 확보한 내부 네트워크 정보를 바탕으로 CVE-2026-35616을 이용해 EMS 서버에 인증 없이 RCE를 실행한다. EMS의 SYSTEM 권한을 얻은 공격자는 전체 엔드포인트에 RAT(원격 접근 트로이목마)를 배포하고, 각 엔드포인트의 악성 에이전트가 지속성을 확보하도록 한 뒤 C2(Command and Control) 서버와의 통신 채널을 개설한다.

CISA 경보와 패치 우선순위

CISA의 2026년 5월 공동 경보 AA26-150A는 두 취약점에 대해 즉각적인 대응을 요구했다. Exchange Server에는 72시간 이내 2026년 5월 보안 업데이트를 적용하고, FortiClient EMS에는 48시간 이내 포트 차단 또는 서비스 중단 같은 임시 완화 조치를 시행해야 한다. Exchange 관리자와 OWA 접근 계정의 MFA도 즉시 활성화 대상이다.

이 두 CVE의 동시 발생은 이메일 인프라와 엔드포인트 관리 플랫폼이 함께 공격받는 흐름을 보여준다. 두 채널은 기업의 직원과 시스템 전반에 닿아 있어 APT 그룹의 우선 표적이 된다. FortiOS, Ivanti, Palo Alto PAN-OS 등 주요 네트워크 보안 장비와 관리 플랫폼에서 인증 전 RCE가 반복적으로 발견되는 점도 같은 맥락이다. 외부 노출이 불가피한 네트워크 경계 장비에서 복잡한 프로토콜 처리 코드가 취약점의 원인이 될 수 있다.

CVE-2026-42897은 공시 당일부터 실제 공격에 활용됐다. 이는 공격자 그룹이 Microsoft·Fortinet 보안 패치를 분석하고 취약점을 역공학적으로 도출할 능력을 보유하고 있음을 시사한다. 엔터프라이즈 조직은 패치 주기를 월 단위에서 일 단위로 단축해야 하는 압력에 직면해 있다.

CVSS만으로 패치 순서를 정하기보다 SSVC(Stakeholder-Specific Vulnerability Categorization) 프레임워크로 KEV 등재 여부, 내부 자산 노출 범위, 비즈니스 영향을 함께 평가해야 한다. CVE-2026-42897과 CVE-2026-35616은 KEV 등재, 인증 전 또는 최소 권한 공격, 핵심 인프라 대상이라는 세 가지 최고 위험 요소를 충족하므로 즉시 패치(Patch Now) 등급으로 분류된다. 패치할 수 없는 자산에는 IPS/WAF 정책으로 가상 패치(Virtual Patching)를 구현하고, 모든 접근 시도는 SIEM에서 24시간 모니터링한다.

두 시스템을 동시에 운영하는 조직은 Exchange의 5월 보안 업데이트, DMARC·DKIM 정책 강화, OWA MFA 활성화와 함께 FortiClient EMS의 외부 노출 포트 차단 및 패치를 병행해야 한다. 탐지 규칙과 격리 절차도 단일 취약점이 아니라 이메일에서 엔드포인트 관리 플랫폼까지 이어지는 공격 체인을 기준으로 점검할 필요가 있다.

Sources

Microsoft Security Response Center, "CVE-2026-42897 Microsoft Exchange Server Spoofing Vulnerability", May 2026
Fortinet PSIRT, "FG-IR-2026-35616 FortiClientEMS Pre-Authentication RCE", May 2026
CISA, "Known Exploited Vulnerabilities Catalog: CVE-2026-42897", May 2026
CISA Joint Advisory AA26-150A, "Active Exploitation of Exchange and FortiClient Vulnerabilities", May 2026
Microsoft, "Exchange Server May 2026 Security Update", Microsoft Security Update Guide
Fortinet, "FortiClient EMS 7.2.5 Release Notes and Security Fixes", Fortinet Support Portal
NIST NVD, "CVE-2026-42897 Detail", nvd.nist.gov
NIST NVD, "CVE-2026-35616 Detail", nvd.nist.gov
CISA, "SSVC Decision Tree for Vulnerability Prioritization", cisa.gov
Verizon, "2026 Data Breach Investigations Report: Enterprise Attack Trends"