셰어포인트 원격코드실행 취약점 악용 확인…머신 키 탈취로 패치 후에도 접근 유지

CVE-2026-50522는 마이크로소프트 셰어포인트의 신뢰할 수 없는 데이터 역직렬화 취약점으로, 네트워크를 통한 원격 코드 실행을 허용한다. 역직렬화 취약점은 프로그램이 외부에서 받은 데이터를 다시 객체로 복원하는 과정에서 발생하는 결함이다. 이 취약점의 CVSS 점수는 9.8이라고

공개 직후 관측된 악용 시도

마이크로소프트는 2026년 7월 보안 업데이트에서 이 취약점을 패치하고 악용 가능성이 높은 취약점으로 분류했다. 보안업체 watchTowr는 2026년 7월 20일 공개된 PoC 코드를 확인한 뒤 수 시간 내 자사 허니팟 네트워크에서 이 PoC를 이용한 악용 시도를 포착했다. 다만 실제 관측된 공격이 공개된 PoC를 사용했는지는 확인되지 않았다.

보안업체 Defused는 2026년 7월 17일부터 문서화되지 않은 셰어포인트 역직렬화 경로를 이용한 공격을 탐지했으며, 이후 CVE-2026-50522 악용일 가능성이 크다고 판단했다. 같은 매체에 따르면 보안 연구자 Janggggg는 위조한 SecurityContextToken과 악성 .NET BinaryFormatter 페이로드를 셰어포인트의 /_trust/default.aspx 엔드포인트에 전달하는 파워셸 PoC를 깃허브에 공개했다. The Hacker News는 마이크로소프트가 DEVCORE 연구자 ‘splitline’을 이 취약점의 발견·보고자로 명시했다고 보도했다.

패치로도 남는 접근

공격자는 침해한 시스템에서 머신 키를 탈취해 취약점 패치 이후에도 장기적인 접근을 유지할 수 있다. 머신 키를 확보한 공격자는 유효한 인증 토큰을 만들어 사용자를 사칭하고, 위조한 신원의 권한으로 셰어포인트 사이트와 문서에 접근할 수 있다. 이 때문에 watchTowr는 최신 보안 업데이트 적용과 함께 노출됐을 가능성이 있는 자산의 자격증명을 교체하라고 권고했다.

The Hacker News는 CVE-2026-50522가 CVE-2026-56164와 CVE-2026-58644에 이어 실제 악용 시도가 확인된 세 번째 셰어포인트 서버 취약점이라고 보도했다. 같은 매체는 CISA가 CVE-2026-32201, CVE-2026-45659, CVE-2026-56164, CVE-2026-58644 등 여러 셰어포인트 서버 취약점이 온프레미스 환경에 대한 무단 접근에 악용되고 있다고 경고했다고 전했다. The Hacker News는 CISA가 언급한 여러 취약점이 지원되는 온프레미스 셰어포인트 서버 버전인 Subscription Edition, 2019, 2016에 영향을 준다고 덧붙였다.