SharePoint 제로데이와 Microsoft 월간 패치 운영

패치 규모가 바꾼 운영의 우선순위

2026년 4월 Microsoft Patch Tuesday는 164개 CVE를 수정했다. 이 릴리스에는 Critical 8개와 액티브 제로데이가 포함됐으며, CVSS 9.0 이상 취약점도 19개였다. 단일 월간 업데이트의 범위가 넓어질수록 패치를 받는 일보다 무엇을 먼저 검증하고 배포할지 결정하는 일이 더 중요해진다.

취약점 유형은 다음과 같이 분포한다.

원격 코드 실행(RCE): 41개
권한 상승(EoP): 58개
정보 유출: 29개
스푸핑: 14개
서비스 거부(DoS): 13개
보안 기능 우회: 9개

심각도는 Critical 8개, Important 152개, Low 4개다. 액티브 제로데이는 CVE-2026-32201과 CVE-2026-33825의 2개이며, 공개 PoC가 존재하는 CVE는 3개다. 영향 범위는 Windows 11/10, Server 2022/2025, Office, SharePoint, Exchange, Azure, SQL Server, .NET, Edge에 걸친다.

SharePoint 신뢰 경계를 무너뜨리는 CVE-2026-32201

CVE-2026-32201은 SharePoint Server의 Spoofing 취약점이다. 사전 인증 없이 원격 익스플로잇이 가능하고, 야생에서 악용 중인 것으로 알려졌다.

스푸핑은 공격자가 신뢰받는 주체로 가장해 시스템이나 사용자를 속이는 취약점 유형이다. RCE보다 CVSS 점수가 낮게 평가되는 경우가 많지만, SharePoint처럼 조직 협업 인프라의 중심에 놓인 서버에서는 신뢰 체계 자체가 공격 표면이 된다. 이 취약점은 인증된 사용자인 것처럼 권한 경계를 넘는 접근, 정상 세션 권한 탈취, 정상 인증 흐름으로 보이는 로그를 통한 SIEM 탐지 회피, Teams·OneDrive·Exchange로의 수평 확산과 이어질 수 있다.

SharePoint의 요청 인증 로직은 서명 검증 결과를 처리하는 과정에 결함을 갖고 있다. 인증 컨텍스트를 검증하는 단계에서 조작된 토큰의 일부 필드가 서버 측 검증 로직을 우회하도록 허용한다.

유효한 계정 자격 없이 공격을 시작할 수 있다.
SharePoint 웹 인터페이스에 대한 네트워크 접근이 필요하다.
단일 HTTP 요청으로 익스플로잇할 수 있을 정도로 복잡도가 낮다.
CVSS 9.3으로, Spoofing 유형에서는 이례적으로 높은 점수다.

⤢✕

SharePoint Farm 관리자 권한을 확보하면 중앙 저장소의 기밀 문서 유출, 랜섬웨어 배포, 내부 피싱 문서의 대량 유포 같은 후속 공격이 가능해진다. SharePoint가 Active Directory와 깊게 통합된 환경에서는 해당 서버 장악이 도메인 컨트롤러 침투의 전초 단계가 될 수 있다.

Defender가 권한 상승 경로가 되는 CVE-2026-33825

CVE-2026-33825는 Microsoft Defender for Endpoint에 영향을 주는 권한 상승 취약점이다. CVSS v3 점수는 7.8(Important)이며, Windows 10/11과 Server 2019 이상이 영향 대상이다. 이미 기본 사용자 권한을 확보한 공격자가 로컬에서 이용할 수 있고, 패치 배포 이전에 보안 연구 커뮤니티에서 PoC가 유출됐다.

원인은 Defender 서비스의 IOCTL 핸들러가 사용자 공간 버퍼를 부적절하게 검증하는 데 있다. 초기 침투나 피싱으로 일반 사용자 권한을 얻은 공격자에게 SYSTEM 권한으로 올라가는 경로가 될 수 있다. 보안 제품 프로세스가 기본적으로 프로세스 화이트리스트에 등재돼 있다는 점도 EDR 탐지 회피 측면에서 위험을 키운다.

제품별 영향 범위부터 테스트 대상을 좁힌다

제품군	CVE 수	Critical	주요 유형
Windows OS 구성요소	48	2	EoP, RCE
Office / 365 Apps	19	1	RCE (문서 파싱)
SharePoint	7	2	Spoofing, RCE
Exchange Server	4	1	RCE
Azure 서비스	18	1	EoP, 정보 유출
SQL Server / ODBC	11	0	RCE, EoP
.NET / ASP.NET	9	1	RCE
Edge (Chromium)	6	0	스푸핑, DoS
Defender	3	0	EoP
기타	39	0	다양

Windows OS 구성요소와 Office 제품군은 전체의 약 40%를 차지한다. 엔터프라이즈 환경에서는 이 두 영역이 가장 넓은 패치 테스트 범위를 만든다.

위험도에 따라 배포 순서를 분리한다

164개 CVE를 같은 우선순위로 처리할 수는 없다. 위협 인텔리전스를 기준으로 한 우선순위 매트릭스가 필요하다.

Tier 0 (24~72시간 내): 액티브 제로데이, CISA KEV 등재 항목
Tier 1 (7일 내): CVSS 9.0 이상, 공개 PoC 존재, 외부 노출 자산
Tier 2 (30일 내): CVSS 7.0~8.9의 Critical/Important 항목
Tier 3 (분기 내): 내부 전용 시스템의 일반 패치

배포는 테스트 환경에서 끝나지 않는다. 호환성 검증 결과와 운영 영향 분석을 거쳐 전사 배포 여부를 판단하고, 실패 시 보완 통제나 롤백으로 되돌아갈 수 있어야 한다.

⤢✕

주요 업무 애플리케이션이 포함된 VM 골든 이미지로 사전 검증하고, 전체의 1~5% 파일럿 그룹에 Canary Deployment를 먼저 적용해 운영 영향을 관찰한다. 패치 전에는 System Restore Point를 자동 생성하고, WSUS/SCCM에서 문제가 생겼을 때 사용할 자동화된 제거 스크립트도 준비해 둔다. 적용 뒤에는 구성 변경 드리프트를 감시한다.

제로데이는 별도 시간표로 대응한다

액티브 제로데이에는 일반 패치 프로세스와 다른 대응 체계가 필요하다.

T+0 (공개 시점): 영향 자산 목록을 즉시 생성하고, CISO 보고와 비상 대응팀 소집을 진행한다.
T+6시간: 외부 노출 자산에 WAF/IPS 시그니처를 배포하고 취약 서비스 접근을 제한한다.
T+24시간: 모든 Tier 0 자산에 긴급 패치 또는 보완 통제를 적용한다.
T+72시간: 조직 전체 자산의 패치를 완료하고 IoC 기반 포렌식 분석을 수행한다.
T+7일: 사후 분석 리포트를 작성하고 패치 관리 프로세스의 개선점을 도출한다.

CVE-2026-32201과 관련해서는 외부에 노출된 OWA/SharePoint 웹 인터페이스에 IP 화이트리스트, 네트워크 분리, Reverse Proxy 기반 인증 추가 같은 네트워크 수준 보완 통제를 즉시 적용해야 한다.

월간 대응을 지속 가능한 운영 체계로 만든다

대규모 월간 패치를 반복해서 다루려면 일회성 대응보다 조직의 운영 역량이 필요하다. CMDB와 연결한 자산 인벤토리 자동화로 실시간 자산 가시성을 확보하고, CVE 공개 시 영향 자산을 자동 식별하는 취약점-자산 매핑 체계를 갖춰야 한다.

Ansible, Intune, SCCM 기반 패치 오케스트레이션은 배포 자동화에 활용할 수 있다. 패치가 불가능한 시스템에는 보완 통제와 만료 기한을 함께 관리하고, MSRC·CISA KEV·상용 TI 피드를 통합해 우선순위 판단 근거를 유지한다. MTTP(Mean Time To Patch), 패치 커버리지, 재취약 비율은 이 체계가 실제로 작동하는지 확인하는 KPI가 된다.

2026년 4월의 164개 CVE는 패치 관리가 단순한 업데이트 작업이 아니라 반복되는 보안 운영 프로세스임을 보여준다. SharePoint 스푸핑과 Defender 권한 상승처럼 공격 표면의 성격이 다른 취약점을 같은 흐름으로 처리하지 않고, 위험도 분류와 배포 자동화, 검증과 롤백, 제로데이 골든타임 대응을 함께 운영해야 한다.