Microsoft 4월 Patch Tuesday와 SharePoint 제로데이 대응

대규모 Patch Tuesday에서 먼저 처리할 대상

Microsoft는 2026년 4월 Patch Tuesday에서 SharePoint Server 스푸핑 취약점 CVE-2026-32201을 포함해 신규 보안 이슈 168건을 공개했다. 이는 2025년 이후 Microsoft 월간 패치 역사상 세 번째로 큰 릴리스다.

이번 릴리스에는 공개 제로데이 2건이 포함됐고, 그중 CVE-2026-32201은 표적 스푸핑 공격에서 실제 악용이 확인됐다. 릴리스의 구성은 다음과 같다.

구분	건수
전체 취약점	168건
Critical	19건
Important	144건
Moderate	5건
공개 제로데이	2건
실 악용 확인	1건
RCE	52건 (31%)
권한 상승	43건 (26%)
정보 유출	31건 (18%)
DoS	14건 (8%)
스푸핑	12건 (7%)
보안 기능 우회	16건 (10%)

영향 제품은 Windows, Office, SharePoint, SQL Server, Azure, .NET, Visual Studio, Exchange에 걸친다. 이 정도 규모에서는 테스트와 롤아웃에 시간이 들고 보상 통제의 공백도 커진다. 모든 패치를 한 번에 적용하기보다 치명도와 노출도를 기준으로 적용 순서를 정해야 한다.

ViewState 검증 결함이 만든 SharePoint 스푸핑 경로

CVE-2026-32201은 SharePoint Server 2019/SE의 ViewState 서명 검증 결함에서 비롯된 스푸핑 취약점이다. CVSS 스코어는 8.6 (High)이며, 스푸핑 유형이지만 인증 ID 위조 가능성 때문에 높게 평가됐다.

공격에는 사전 인증이 필요하지 않고 네트워크 접근만 요구된다. 근본 원인은 ViewState MAC 검증에서 타이밍 공격에 취약한 문자열 비교를 사용한 점이다. 패치의 핵심은 System.Web.Security 모듈에서 상수 시간 비교로 치환하는 것이다. SAML 응답의 RelayState 파라미터 검증 누락도 부가 결함으로 언급됐다.

⤢✕

이 경로가 성공하면 피해 사용자 ID로 SharePoint 전체 문서 라이브러리를 조회할 수 있다. 내부 사용자 메일함에서 보낸 것처럼 위조된 링크를 만들어 피싱을 확대할 수 있고, 스푸핑된 관리자 권한으로 사이트 컬렉션을 관리할 수도 있다. 공격 활동은 정상 사용자 로그로 남아 탐지가 지연될 수 있으며, Teams·Outlook·OneDrive 연동 경로를 통해 협업 플랫폼 전반으로 2차 감염이 이어질 수 있다.

위험 점수로 패치 순서를 정하는 방법

168건을 같은 순서로 처리하는 방식은 현실적이지 않다. KEV 등재 여부, 외부 노출, 자산의 중요도, 악용 가능성을 함께 반영하는 다차원 위험 점수가 필요하다.

우선순위	기준	목표 SLA
P0 즉시	KEV 등재 + 외부 노출 자산	72시간
P1 긴급	Critical RCE + 공개 PoC	7일
P2 높음	Critical + 내부 자산	14일
P3 보통	Important + 민감 시스템	30일
P4 낮음	Important + 격리망	60일
P5 연기	Moderate	다음 릴리스

위험 점수는 다음과 같이 계산한다.

Risk Score = (CVSS × 0.4) + (KEV_Flag × 25) + (Exposure × 0.2) + (AssetCriticality × 0.2) + (ExploitMaturity × 0.1)

Microsoft Security Update Guide의 Exploitability Index(0: Exploitation Detected, 1: Exploitation More Likely, 2: Less Likely, 3: Unlikely)와 CVSS Temporal 메트릭도 함께 반영한다.

KEV 등재 뒤 이어지는 연방 기관의 조치

CVE-2026-32201은 공개 당일 CISA KEV에 등재됐다. BOD 22-01에 따라 연방 민간 행정부(FCEB) 기관은 지정 기한 안에 패치를 의무 적용해야 한다.

⤢✕

BOD 22-01은 2021년에 제정됐으며 KEV 등재 취약점 패치 의무화의 법적 근거다. 기본 기한은 일반적으로 21일이고, 단축될 경우 3~14일이 적용된다. 각 기관의 CISO는 CISA에 상태 보고서를 제출한다. FCEB 외 기관도 KEV를 산업 표준 SLA로 준용하는 추세다.

자산 식별부터 예외 관리까지 연결하기

패치 관리는 가시성, 우선순위, 테스트, 배포, 검증, 예외 관리로 이어진다.

자산 가시성: CMDB·네트워크 스캔·EDR 인벤토리를 교차 검증해 95%+ 커버리지를 확보한다.
우선순위 엔진: CVSS, KEV, 자산 민감도, 네트워크 노출도를 결합한다.
테스트 환경: 프로덕션과 동일한 이미지의 스테이징에서 회귀를 검증한다.
점진적 배포: 파일럿(1%)에서 부분(10%)을 거쳐 전체로 롤아웃한다.
배포 검증: 레지스트리, 파일 해시, KB 번호를 교차 확인한다.
예외 관리: 패치할 수 없는 자산의 보상 통제와 재심사 주기를 문서화한다.

⤢✕

제품군별로 확인할 취약점

제품군	건수	치명적 취약점	특징
Windows OS	64	CVE-2026-32180 Kernel UAF	제로데이 포함
SharePoint	8	CVE-2026-32201 Spoofing	실 악용 중
Office/365	22	CVE-2026-32145 RCE	Preview Pane 트리거
SQL Server	11	CVE-2026-32167 RCE	사전 인증 필요
Azure	15	CVE-2026-32190 Priv Esc	클라우드 테넌트
.NET/Visual Studio	17	CVE-2026-32175 RCE	개발자 도구
Exchange	6	CVE-2026-32155 RCE	OWA 취약
기타	25	다수	Edge·Hyper-V·DNS 등

SharePoint·Exchange·Azure는 외부에 노출된 자산인 경우가 많아 P0/P1으로 배정하는 것이 권고된다.

자동화 도구를 배포 흐름에 연결하는 방법

Microsoft Intune은 클라우드 기반 MDM으로 엔드포인트 일괄 패치에 사용할 수 있다. SCCM/MECM은 온프레미스 대규모 환경 배포에, WSUS는 업데이트 승인과 스케줄 제어에 적합하다. Azure Update Manager는 하이브리드 VM의 통합 패치를 지원한다.

Tanium·Ivanti·Qualys는 서드파티 취약점과 패치를 통합하는 플랫폼이며, PowerShell DSC + GitHub Actions는 IaC 기반 패치 워크플로에 활용할 수 있다. Patch My PC는 서드파티 애플리케이션 자동 업데이트를 대상으로 한다.

도구를 선택할 때는 감사 가능성, 롤백 용이성, 대시보드 가시성, API 연동성, 멀티 테넌트 지원 여부를 평가해야 한다.

168건의 릴리스는 Microsoft 생태계의 공격 표면이 확장되고 있음을 보여준다. SharePoint 스푸핑 제로데이는 협업 플랫폼이 핵심 표적이 될 수 있다는 점도 드러낸다. 위험 기반 우선순위 엔진, 자동화된 배포 파이프라인, 실시간 준수 대시보드를 결합하고, KEV 등재 취약점에는 FCEB 기관이 아니더라도 KEV 기한을 최소 SLA로 삼아 더 엄격한 내부 SLA를 운영할 필요가 있다.