길리랩blog

Exchange Server 제로데이 악용 시 온프레미스 메일 긴급 완화 설계

CVE-2026-42897 OWA XSS 악용에 대응하기 위한 Exchange Server 온프레미스 메일 보안 완화, IoC 헌팅, 격리 전략을 정리한다.

2026-08-14 · 최초 발행 2026-08-02

실제 악용이 확인된 OWA 취약점

Microsoft는 2026년 5월 온프레미스 Exchange Server 환경에서 CVE-2026-42897이 실제 악용되고 있다고 공식 경고했다. 이 취약점은 ProxyLogon(2021), ProxyShell(2021), ProxyNotShell(2022)로 이어진 Exchange 제로데이 흐름에 놓여 있으며, 패치 없이 5년간 19개의 Exchange 제로데이가 발표됐다.

완화 조치가 지연되면 인증되지 않은 공격자가 OWA를 경유해 임의 JavaScript를 실행하고, 내부망 측면 이동을 시도할 수 있다. Exchange Online(Microsoft 365)은 영향을 받지 않지만, 온프레미스 Exchange를 직접 운영하는 조직에는 즉시 대응해야 할 문제다.

2026년 5월 14일 Microsoft Patch Tuesday 발표 후 48시간 만에 CVE-2026-42897이 공개됐다. CISA는 이를 KEV(Known Exploited Vulnerabilities) 목록에 올리고 미국 연방 기관에 2주 이내 패치 완료를 명령했다. SecurityWeek, BleepingComputer, Dark Reading 등은 실제 공격 캠페인이 존재한다고 확인했으며, Microsoft가 2026년 6월 9일 June 2026 Exchange Security Updates로 최종 패치를 배포하기 전까지 약 4주간 제로데이 상태가 지속됐다.

영향 대상은 Exchange Server 2016, Exchange Server 2019, Exchange Server Subscription Edition(SE)의 모든 업데이트 레벨이다. F5 Labs는 2026년 4월부터 Exchange 대상 스캐닝이 두 배 이상 늘었다고 보고했고, ProxyLogon·ProxyShell을 겨냥한 기존 캠페인과 CVE-2026-42897을 겨냥한 신규 캠페인이 함께 활동 중이라고 밝혔다.

Microsoft의 CVSS 평가는 8.1(높음), NIST NVD의 평가는 6.1(보통)이다. 다만 공격자에게 인증이 요구되지 않고 인터넷에 노출된 Exchange 서버가 전 세계 수만 대에 이르는 환경에서는, 점수만으로 실효 위험을 판단하기 어렵다.

이메일 열람이 공격의 시작점이 되는 방식

CVE-2026-42897은 Outlook Web Access(OWA)의 XSS(Cross-Site Scripting) 취약점이다. 웹 페이지를 생성하는 과정에서 사용자 입력이 적절히 무해화(neutralize)되지 않을 때 발생한다.

공격자는 조작된 이메일을 보내고, 사용자가 OWA에서 그 메시지를 열도록 유도한다. 이후 수신자의 브라우저 컨텍스트에서 임의 JavaScript가 실행된다. 공격자에게 별도 권한은 필요하지 않으며(unauthenticated), 이메일 열람이 공격 완성에 필요한 사용자 상호작용이다.

Kiteworks 분석은 이 취약점을 Exchange 서버에서 5년간 발견된 19번째 제로데이로 설명한다. 단순한 반사형(reflected) XSS가 아니라 세션 탈취, 자격증명 피싱, 내부 API 접근으로 확장되는 연쇄 공격의 초기 거점(beachhead)이 될 수 있다는 점이 핵심이다.

취약점 유형: CWE-79 (Improper Neutralization of Input During Web Page Generation)
영향 구성요소: Outlook Web Access (OWA) / IIS 10.0
권한 요구사항: 없음 (Unauthenticated)
사용자 상호작용: 필요 (이메일 열람)
범위 변경: 있음 (다른 사용자 세션에 영향)
기밀성/무결성 영향: 높음

인터넷 경계에 놓인 Exchange의 공격 표면

Exchange Server는 인터넷과 내부망의 경계에서 동작한다. OWA뿐 아니라 여러 관리·연동 엔드포인트가 함께 노출되므로, 초기 침해 이후의 확장 경로도 넓다.

  • OWA(Outlook Web Access): 포트 443, HTTPS 기반의 브라우저 이메일 인터페이스이며 CVE-2026-42897의 직접 공격 대상이다.
  • EAC(Exchange Admin Center): 권한 상승 뒤 관리자가 노리는 인터페이스가 될 수 있다.
  • ActiveSync 엔드포인트: 모바일 디바이스 동기화용이며 인증 우회가 발생하면 직접 접근할 수 있다.
  • Autodiscover 서비스: 클라이언트 자동 설정에 쓰이며 SSRF 경유 지점으로 반복 악용됐다.
  • EWS(Exchange Web Services): 프로그래밍 방식의 메일 접근을 제공하며 백도어 지속성 확보에 활용될 수 있다.
  • PowerShell Remoting: 관리 채널이며 원격 코드 실행의 최종 단계가 될 수 있다.

CVE-2026-42897을 초기 침투 벡터로 삼는 공격은 세션 탈취 또는 피싱을 거쳐 서버 관리 기능과 내부망으로 연결될 수 있다.

⤢✕예아니오(1) 공격자: 조작된 이메일 전송(2) 피해자: OWA에서 이메일열람(3) XSS 페이로드 실행브라우저 컨텍스트(4) 세션 쿠키탈취 가능?(5a) 세션 하이재킹관리자 권한 획득(5b) 자격증명 피싱가짜 OWA 로그인 페이지(6) EAC 접근메일박스 설정 조작(7) EWS API 호출지속성 확보 규칙 생성(8) PowerShell Remoting웹셸 업로드(9) 내부망 측면 이동AD·파일서버·DB 접근

웹셸과 계정 변경으로 남는 흔적

ProxyLogon·ProxyShell 이후 Exchange 공격에서 웹셸 설치는 사실상 정형화된 TTPs(Tactics, Techniques, Procedures)가 됐다. 공격자는 Exchange 서버 IIS 웹 루트에 .aspx 웹셸을 두고, 정상 IIS 프로세스인 w3wp.exe를 이용해 원격 명령 실행 기반을 유지할 수 있다.

점검 대상이 되는 경로는 다음과 같다.

  • %ExchangeInstallPath%\FrontEnd\HttpProxy\owa\auth\
  • C:\inetpub\wwwroot\aspnet_client\
  • C:\Program Files\Microsoft\Exchange Server\V15\ClientAccess\OWA\

웹셸만 제거해서는 충분하지 않을 수 있다. 공격자는 OWA 포워딩 규칙을 삽입해 수신 이메일 사본을 외부로 유출하거나, Exchange 수신 커넥터를 조작하고, 예약 작업(Scheduled Task)·서비스를 등록하거나, 관리자 계정을 새로 만들 수 있다.

Exchange는 도메인 조인(Domain-joined) 서버로 Active Directory와 밀접하게 연결된다. 따라서 초기 침해가 도메인과 다른 인프라로 번질 경로를 함께 확인해야 한다.

⤢✕Kerberos 티켓 탈취DCSync 공격SMB 측면 이동Pass-the-Hash도메인 관리자 권한황금 티켓 발행GPO 조작전체 도메인 장악하이브리드 ID 체인클라우드 확산Exchange Server(초기 침해)Active DirectoryDomain Controller내부 파일 서버SMB/CIFS데이터베이스 서버SQL/Oracle백업 서버Veeam/Commvault클라우드 연동Azure AD Connect

특히 MSEXCHANGE$ 서비스 계정은 높은 AD 권한을 보유하는 경우가 많다. 이 계정을 경유하면 Kerberoasting, DCSync 같은 공격이 가능하며, Azure AD Connect가 있는 하이브리드 환경에서는 온프레미스 침해가 클라우드 테넌트로 확산될 위험도 있다.

EEMS 적용 여부부터 확인하기

Microsoft는 2026년 5월 Exchange Emergency Mitigation Service(EEMS)를 통해 CVE-2026-42897의 임시 완화 조치를 자동 배포했다. Exchange Health Checker 스크립트로 서비스 상태와 적용된 완화 조치를 확인할 수 있다.

# Exchange Health Checker 다운로드 및 실행
# https://aka.ms/ExchangeHealthChecker
.\HealthChecker.ps1 -Server $env:COMPUTERNAME

# EEMS 서비스 상태 확인
Get-Service -Name MSExchangeMitigationService | Select-Object Name, Status, StartType

# 적용된 완화 조치 목록 조회
Get-ExchangeDiagnosticInfo -Server $env:COMPUTERNAME -Process EdgeTransport -Component MitigationService

HTML 보고서를 생성하면 EEMS 적용 여부와 현재 완화 조치 상태를 확인할 수 있다. EEMS가 비활성화된 환경에서는 즉시 활성화해야 한다.

인터넷이 차단된 에어갭(air-gapped) 환경은 EEMS 자동 적용 대상이 아니므로, Exchange On-premises Mitigation Tool(EOMT)을 수동으로 실행해야 한다.

# EOMT 다운로드 후 Exchange Management Shell(관리자 권한)에서 실행

# 단일 서버 적용
.\EOMT.ps1 -CVE "CVE-2026-42897"

# 전체 플릿 일괄 적용 (Edge 서버 제외)
Get-ExchangeServer | Where-Object { $_.ServerRole -ne "Edge" } | ForEach-Object {
    .\EOMT.ps1 -CVE "CVE-2026-42897" -Server $_.Name
}

EOMT 완화 조치에는 운영상 확인할 부작용도 있다. OWA의 캘린더 인쇄(Print Calendar) 기능이 일시 비활성화될 수 있으므로 스크린샷 또는 Outlook 데스크톱 클라이언트로 대체해야 한다. 수신 이메일의 인라인 이미지가 OWA 읽기 창에 표시되지 않을 수도 있으며, 이 경우 첨부 파일 방식이나 Outlook 데스크톱 클라이언트를 사용할 수 있다.

OWA 노출을 줄이고 로그를 확인하는 운영 조치

EEMS·EOMT와 병행해 OWA 외부 노출과 의심스러운 요청을 줄여야 한다. 방화벽에서 443 포트를 사내 IP와 VPN으로 제한하고, IIS URL 필터링으로 특정 IP 범위 외부의 OWA 접근을 차단하는 방안을 적용할 수 있다.

# 특정 IP 범위 외부에서 OWA 접근 차단 (IIS URL 필터링)
# 방화벽에서 443 포트를 사내 IP 및 VPN으로만 제한

# OWA 가상 디렉토리 설정 강화
Set-OwaVirtualDirectory -Identity "OWA (Default Web Site)" `
    -FormsAuthentication $true `
    -WindowsAuthentication $false

IIS 액세스 로그에서는 /owa/auth/ 경로로 향하는 POST 요청을 집중적으로 살피고, 애플리케이션 로그에서 OWA·XSS·injection 관련 오류와 경고를 확인한다.

# IIS 액세스 로그에서 OWA 관련 비정상 요청 패턴 탐지
# /owa/auth/ 경로로의 POST 요청 집중 모니터링
Get-EventLog -LogName Application -Source *MSExchange* -EntryType Error,Warning `
    -Newest 1000 | Where-Object { $_.Message -match "OWA|XSS|injection" }

네트워크 측면에서는 Exchange Server를 별도 DMZ 세그먼트에 두고, 내부 네트워크와의 통신을 필요한 포트인 25, 443, 80, 135, 445 등으로만 허용하는 마이크로세그멘테이션을 적용한다. Exchange 앞단의 WAF(Web Application Firewall)는 XSS 페이로드를 사전에 필터링하는 통제가 될 수 있다.

완화와 동시에 IoC를 추적해야 하는 이유

완화 적용은 이미 발생했을 수 있는 침해를 되돌리지 않는다. IIS, Windows Event, Exchange 로그를 수집한 뒤 웹셸 파일, w3wp.exe의 비정상 자식 프로세스, 비인가 외부 통신, 최근 생성된 관리자 계정을 차례로 확인해야 한다.

⤢✕예아니오(1) 로그 수집 시작IIS / Windows Event /Exchange(2) 웹셸 파일 존재 확인.aspx 파일 무결성 검사(3) 비정상 프로세스 탐지w3wp.exe 자식 프로세스(4) 네트워크 연결 분석비인가 외부 통신(5) AD 계정 이상 탐지최근 생성된 관리자 계정(6) 침해 징후발견?(7a) 격리 조치Exchange 서버 네트워크 분리(7b) 일반 보안 강화패치 적용 후 계속 모니터링(8) 포렌식 이미지 수집증거 보존(9) KISA/CERT 신고침해 신고 의무 대상 시

다음 스크립트는 Exchange IIS 경로에서 최근 변경된 .aspx 파일을 찾는 예시다.

# Exchange IIS 경로에서 최근 변경된 .aspx 파일 탐지
$exchangePaths = @(
    "C:\Program Files\Microsoft\Exchange Server\V15\ClientAccess\OWA",
    "C:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy",
    "C:\inetpub\wwwroot"
)

foreach ($path in $exchangePaths) {
    Get-ChildItem -Path $path -Recurse -Filter "*.aspx" |
        Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-30) } |
        Select-Object FullName, LastWriteTime, Length
}

침해 징후가 확인되면 Exchange 서버를 네트워크에서 분리하고 포렌식 이미지를 수집해 증거를 보존한다. 침해 신고 의무 대상이라면 KISA/CERT 신고도 검토해야 한다. 징후가 없더라도 패치를 적용한 뒤 로그 모니터링을 계속 강화해야 한다.

ProxyLogon부터 이어진 취약점의 차이

2021년 이후 Exchange Server는 반복적으로 심각한 제로데이 공격의 표적이 됐다. CVE-2026-42897은 과거의 서버 측 SSRF·RCE 체인과 달리, 클라이언트 측 XSS에서 세션 탈취를 거쳐 서버 측 공격으로 전환될 수 있다는 차이가 있다.

취약점 CVE 발표 연도 CVSS 공격 유형 인증 요구 영향
ProxyLogon CVE-2021-26855 2021.03 9.8 SSRF + RCE 불필요 전 세계 30만+ 서버
ProxyShell CVE-2021-34473/34523/31207 2021.08 9.8 인증 우회 + RCE 불필요 30,000+ 서버
ProxyNotShell CVE-2022-41040/41082 2022.10 8.8 SSRF + RCE 인증 필요 대규모 침해
CVE-2026-42897 CVE-2026-42897 2026.05 8.1 XSS + 세션 탈취 불필요 진행 중

ProxyLogon은 Exchange CAS(Client Access Server) 프록시 로직의 SSRF(Server-Side Request Forgery)를 이용해 내부 백엔드 서비스에 SYSTEM 계정으로 인증하는 방식이었다. ProxyShell은 세 개의 CVE를 연결해 인증 없이 원격 코드를 실행했다.

Botconf 2026에서 발표된 "ProxyChaos: a year-in-review of Microsoft Exchange exploitation" 연구는 Exchange 공격 그룹이 기존 취약점과 신규 취약점을 동시에 사용하는 복합 캠페인으로 이동하는 추세를 언급한다. F5 Labs가 2026년 4월을 기점으로 보고한 두 배 이상의 Exchange 스캐닝 증가는 CVE-2026-42897 공개 전 선제적 정찰 활동이었을 가능성이 높다.

클라우드 이전은 긴급 대응과 다른 판단이다

이번 사태에서 Exchange Online(Microsoft 365)이 영향을 받지 않은 사실은 클라우드와 온프레미스 메일 보안 모델의 차이를 드러낸다.

온프레미스 Exchange는 조직이 패치 관리 책임을 직접 지며, 패치가 지연될수록 노출 기간이 길어진다. 인터넷 직접 노출 가능성이 높고, Active Directory 통합으로 도메인 전체 침해 위험도 존재한다. 하드웨어, OS, 애플리케이션 스택 전반을 직접 운영해야 하는 구조다.

Exchange Online은 Microsoft가 패치를 즉시·자동으로 적용하고, 인프라 레이어 취약점에 대한 테넌트 격리와 Microsoft Defender for Office 365의 네이티브 통합, 글로벌 위협 인텔리전스 기반 실시간 보호를 제공한다. 그렇다고 클라우드 이관만으로 BEC(Business Email Compromise), 피싱, 계정 탈취가 사라지는 것은 아니다. 플랫폼별 보안 통제를 체계적으로 적용하는 일이 여전히 남는다.

요소 온프레미스 유지 Exchange Online 전환
패치 주기 조직 책임 (리스크 높음) Microsoft 자동 적용
규정 준수 (공공기관) 국내 서버 의무 요건 충족 별도 검토 필요
데이터 주권 완전 통제 클라우드 위치 의존
총 소유 비용 인프라·인력 포함 높음 라이선스 비용 예측 가능
하이브리드 복잡성 해당 없음 병행 운영 기간 복잡
맞춤 통합 요구 높은 유연성 API 제약 존재

Exchange Online 마이그레이션은 CVE-2026-42897의 긴급 완화와 혼동하면 안 되는 전략적 의사결정이다. 공공기관·금융·의료 분야 조직은 국내 데이터 상주 요건, 전자금융감독규정, 개인정보보호법 등의 규정 준수 여부를 이관 전에 법무·컴플라이언스팀과 검토해야 한다.

침해 대응 체계와 연결해 운영하기

CVE-2026-42897은 취약점 관리(Vulnerability Management)와 침해 사고 대응(Incident Response)이 실제 운영에서 만나는 사례다. CVE·CVSS 체계를 적용하되 위험 수용(risk acceptance)보다 즉각적 완화(immediate mitigation)을 우선하고, EEMS 같은 자동화 완화 메커니즘을 운영 절차에 포함해야 한다.

정보관리기술사 정보보안 파트의 침해 사고 대응은 ISO/IEC 27035, NIST SP 800-61, 국내 KISA 가이드와 연계된다. PICERL 단계로 보면 EEMS 활성화, 모니터링 체계, 대응 계획은 준비(Preparation)에 속한다. IoC 헌팅과 웹셸·비정상 행위 탐지는 식별(Identification), Exchange 네트워크 분리와 OWA 외부 접근 차단은 봉쇄(Containment)다.

웹셸 제거, 백도어 계정 삭제, 패치 적용은 근절(Eradication), 정상 운영 재개와 로그 모니터링 강화는 복구(Recovery) 단계에 해당한다. 포렌식 보고서를 작성하고 대응 프로세스를 개선하는 일은 교훈(Lessons Learned)으로 남겨야 한다.

이번 공격처럼 Exchange Server의 신뢰 경계를 넘어 내부망으로 확산되는 패턴은 NIST SP 800-207의 ZTA 원칙—"절대 신뢰하지 말고, 항상 검증하라(Never Trust, Always Verify)"—과도 맞닿아 있다. 메일 서버를 포함한 내부 자원 접근을 마이크로세그멘테이션, MFA, 지속적 검증으로 통제하는 방향이 필요하다.

2026년 정보보안 방향으로는 AI 기반 위협 탐지와 자동 대응(SOAR)의 보편화, 온프레미스·클라우드 하이브리드 환경의 통합 보안 관제, 공급망 보안(Software Supply Chain Security) 강화, 취약점 공개 후 72시간 이내 완화 조치 적용이 제시된다.

온프레미스 Exchange 운영 조직은 EEMS 활성화 또는 EOMT 수동 적용과 June 2026 Security Updates 패치를 적용하고, 웹셸·비정상 계정·IIS 로그를 조사해야 한다. 그 다음에는 Exchange Online 마이그레이션 타당성, 네트워크 마이크로세그멘테이션, ZTA 원칙 기반의 메일 보안 아키텍처를 검토할 수 있다. 5년간 19개의 Exchange 제로데이가 발표된 현실에서, 패치 적용만으로 끝나지 않는 지속적 보안 운영이 요구된다.

Sources

Exchange Server제로데이OWA침해 대응온프레미스 보안