SharePoint 제로데이 대응: Patch Tuesday 패치 우선순위 판단법

실제 악용된 SharePoint 취약점은 점수보다 먼저 봐야 한다

Microsoft는 2026년 4월 Patch Tuesday에서 SharePoint 스푸핑 제로데이 CVE-2026-32201(CVSS 6.5)을 포함해 163건 이상의 취약점 패치를 배포했다. 이번 업데이트에서는 권한 상승(EoP) 취약점이 57% 이상을 차지했고, CISA는 해당 취약점을 즉시 KEV 카탈로그에 올렸다.

SharePoint는 협업 인프라의 중심에 놓이는 경우가 많다. 따라서 CVSS가 Medium으로 표시되더라도 인증 없이 네트워크를 통해 접근할 수 있고 실제 악용이 확인됐다면, 패치 우선순위는 Critical 수준으로 올려 판단해야 한다.

CVE-2026-32201의 핵심 정보는 다음과 같다.

CVE ID: CVE-2026-32201
CVSS 점수: 6.5 (Medium)
취약점 유형: Spoofing — 부적절한 입력 검증(Improper Input Validation)
공격 벡터: Network / 인증 불필요(Unauthenticated)
영향 제품: Microsoft SharePoint Server (온프레미스 및 하이브리드 환경)
패치 공개일: 2026년 4월 Patch Tuesday
CISA KEV 등재일: 2026년 4월
연방 기관 패치 의무 기한: 2026년 4월 28일

신뢰 관계를 흔드는 스푸핑 공격의 경로

스푸핑은 공격자가 정상 사용자나 시스템처럼 보이게 만들어 기존 신뢰 관계를 악용하는 취약점 유형이다. SharePoint에서는 HTTP 요청 처리 중 발생하는 입력 검증 결함이 출발점이 될 수 있다.

조작된 요청은 정상 사용자의 세션 컨텍스트를 사칭하는 인증 토큰 스푸핑, 신뢰 도메인으로 위장해 CORS 정책을 우회하는 도메인 스푸핑, 신뢰된 권한으로 콘텐츠를 삽입하거나 수정하는 경로로 이어질 수 있다.

1단계: 공격자가 외부 네트워크에서 SharePoint 서버에 접근
2단계: 조작된 HTTP 요청으로 입력 검증 로직 우회
3단계: 합법적 사용자 컨텍스트 획득 (스푸핑)
4단계: 내부 리소스 접근 또는 피싱 콘텐츠 배포
5단계: 권한 상승으로 이어지는 연쇄 공격 가능

이 유형의 위험은 즉각적인 데이터 탈취에만 있지 않다. 신뢰 관계가 무너지면 피싱, 자격 증명 도용, 횡적 이동(Lateral Movement)의 초기 진입점으로 이어질 수 있다.

4월 업데이트에서 권한 상승 취약점이 차지한 비중

⤢✕

취약점 유형	비율	주요 영향
권한 상승(EoP)	57.1%	로컬 → 관리자 권한 확대
정보 유출	12.3%	민감 데이터 노출
원격 코드 실행	12.3%	임의 코드 실행
스푸핑	포함	신원 위장 및 신뢰 관계 파괴
서비스 거부(DoS)	포함	가용성 저하

권한 상승(EoP)이 대부분을 차지한 구성은 초기 침투 뒤 권한을 확대해 공격을 지속하려는 흐름을 보여준다.

KEV 등재가 패치 일정을 바꾸는 방식

CISA(Cybersecurity and Infrastructure Security Agency)의 Known Exploited Vulnerabilities(KEV) 카탈로그는 실제 공격에 이용된 취약점을 모은 공식 목록이다. 등재되려면 CVE ID가 존재하고, 적극적 악용(Active Exploitation)의 증거와 명확한 교정 조치(Clear Remediation Action)가 있어야 한다.

BOD(Binding Operational Directive) 22-01에 따라 Federal Civilian Executive Branch 기관은 KEV 등재 취약점을 정해진 기간 안에 패치해야 한다. 기한은 긴급도에 따라 3일 ~ 3주 범위이며, CVE-2026-32201의 기한은 2026년 4월 28일로 등재 후 약 2주다. 미이행 기관은 연방 보안 감사 대상이 되고 예산 지원이 제한될 수 있다.

민간 기업에 같은 법적 의무가 적용되지는 않지만, KEV 등재 상태는 패치 순서를 정하는 실질적인 신호로 사용할 수 있다.

월별 취약점 처리에서 우선순위를 세우는 기준

월 1회 배포되는 Microsoft Patch Tuesday에서는 수백 개의 취약점을 함께 검토해야 한다. 이때 CVSS만 기준으로 삼으면 실제 악용 여부나 자산의 업무상 중요도가 빠질 수 있다.

Tier 1 (즉시 패치 — 24시간 내)

CISA KEV 등재 취약점
실제 악용 확인 + 원격 코드 실행 가능
비즈니스 크리티컬 시스템에 직접 영향

Tier 2 (긴급 패치 — 7일 내)

CVSS 9.0+ 취약점
공개된 익스플로잇 코드 존재
인증 없는 원격 공격 가능

Tier 3 (계획 패치 — 30일 내)

CVSS 7.0-8.9 취약점
악용 가능성 높음(Exploitation More Likely)
프로덕션 환경 영향

Tier 4 (정기 패치 — 다음 주기)

CVSS 7.0 미만
악용 가능성 낮음
내부 네트워크 한정 영향

위험은 다음처럼 여러 변수를 함께 놓고 평가할 수 있다.

위험 점수 = CVSS × 악용 가능성 × 자산 중요도 × 노출도

CVE-2026-32201에는 CVSS 6.5 (Medium)가 부여됐지만, 실제 악용 가능성은 매우 높고 SharePoint는 협업 핵심 인프라이며 하이브리드 환경에서는 인터넷 노출도도 높다. 이 조합이라면 CVSS 점수와 별개로 종합 위험을 Critical로 보고 즉시 패치해야 한다.

EPSS와 VEX로 판단의 빈칸을 메우기

FIRST.org가 개발한 EPSS(Exploit Prediction Scoring System)는 향후 30일 내 실제 공격에 악용될 확률을 0~1 사이 점수로 제공한다. CVSS가 취약점의 심각도를 보여준다면, EPSS는 악용 가능성 판단을 보완한다.

EPSS 0.9 이상: 실질적 즉시 위협, Tier 1 분류
EPSS 0.5-0.9: 높은 악용 위험, Tier 2 분류
EPSS 0.1-0.5: 중간 위험, Tier 3 분류
EPSS 0.1 미만: 낮은 위험, Tier 4 분류

VEX(Vulnerability Exploitability eXchange)는 특정 취약점이 자사 제품에 실제 영향을 주는지 기계 판독 가능한 형식으로 정리한다. CISA와 NIST가 공동 권장하는 공급망 보안 표준이며, 패치 우선순위 판단에서 발생하는 노이즈를 80% 이상 줄인다.

SharePoint 패치는 서비스 영향이 큰 작업이므로 테스트와 운영 검증을 분리해 진행한다.

1. 테스트 환경 패치 적용 → 기능 검증
2. SharePoint 팜 서버 순차 패치 (Central Admin → 앱 서버 → WFE)
3. 패치 적용 후 IIS/SharePoint 서비스 재시작
4. 검색 인덱스 재구축 여부 확인
5. 사용자 프로파일 동기화 상태 검증

CVE-2026-32201은 CVSS 6.5라는 Medium 등급만으로 처리 순서를 정했을 때 놓치기 쉬운 사례다. KEV 상태, 실제 악용 여부, EPSS, 자산 중요도와 노출도를 함께 평가해야 월별 패치 물량 속에서도 대응 순서를 현실적으로 유지할 수 있다.