대상 독자: Microsoft SharePoint Server(Subscription Edition, 2019 또는 2016)를 자체 서버에서 운영하는 조직과, 이를 유지 관리하는 파트너. Microsoft 365의 SharePoint Online은 권고에 나와 있지 않습니다. 이 페이지는 Microsoft의 보안 업데이트 가이드, NVD, CISA의 KEV 카탈로그를 근거로 하며, 공격 절차나 익스플로잇 코드는 포함하지 않습니다.
진행 중: 추가 정보가 공개되는 대로 이 페이지를 업데이트합니다
- 대상
Microsoft SharePoint Server(Subscription Edition, 2019 또는 2016)를 자체 서버에서 운영하는 조직과, 이를 유지 관리하는 파트너. Microsoft 365의 SharePoint Online은 권고에 나와 있지 않습니다. 이 페이지는 Microsoft의 보안 업데이트 가이드, NVD, CISA의 KEV 카탈로그를 근거로 하며, 공격 절차나 익스플로잇 코드는 포함하지 않습니다.
- 확인된 영향 범위표 보기 ↓
- 영향 제품과 수정 빌드
- 로그인 필요 여부
- 실제 공격
가능성이 있다고 한 항목
- 익명 열람을 통한 로그인 없는 시도
- 아직 확인되지 않은 사항
- 공격받거나 침해된 서버의 수
- 2026년 6월에 수정된 별도 문제의 CVE 번호와, Microsoft가 둘을 연결하는지
- 공격자가 서버에서 코드를 실행한 뒤 무엇을 했는지
- 지금 할 일절차 보기 ↓
- 팜의 모든 서버에서 빌드를 확인하세요
- 사용 중인 버전의 업데이트 패키지를 모두 설치하세요
- 2026년 6월 업데이트도 설치되어 있는지 확인하세요
2개 더 보기
- 익명 접근을 검토하세요
- 업데이트가 늦었던 서버를 점검하세요
- 확인처(출처)출처 전체 ↓
- Microsoft, Security Update Guide: CVE-2026-65660, Microsoft SharePoint Server Remote Code Execution Vulnerability(2026년 8월 11일, 개정 1.2, 9월 25일)
- 마지막 확인
- 2026년 10월 31일 기준(일본 시간)
후속 발표 예정과 확인 기록
Microsoft의 권고(개정 1.2, 9월 25일)와 KEV 항목은 공개되어 있습니다. 10월 31일에 Microsoft의 보안 업데이트 가이드, NVD, CISA의 KEV 피드(버전 2026.10.30)를 확인했습니다.
오늘 할 일
팜의 모든 서버에서 빌드를 확인하세요
SharePoint 중앙 관리에서, 또는 각 서버에서 PowerShell로 설치된 빌드를 읽고 사용 중인 버전의 수정 빌드와 비교하세요. Subscription Edition 16.0.19725.20522, 2019 16.0.10417.20198, 2016 16.0.5565.1001. 검색 서버와 애플리케이션 서버를 포함해 팜의 모든 서버를 확인하세요.
사용 중인 버전의 업데이트 패키지를 모두 설치하세요
Subscription Edition: KB5002893. SharePoint Server 2019: KB5002894 및 KB5002896. SharePoint Enterprise Server 2016: KB5002905 및 KB5002906. Microsoft의 FAQ는 설치된 소프트웨어에 제공되는 모든 업데이트를 적용하라고 합니다. 설치 후 각 서버에서 SharePoint 제품 구성 마법사(또는 PSConfig)를 실행해 업데이트를 완료하세요.
2026년 6월 업데이트도 설치되어 있는지 확인하세요
한 보안 업체에 따르면 공격 시도는 이 취약점과, 한 보안 연구 팀이 2026년 6월 9일 수정되었다고 밝힌 별도의 문제를 결합했습니다. 8월 업데이트만이 아니라 2026년 6월 SharePoint 업데이트도 적용되어 있는지 확인하세요.
익명 접근을 검토하세요
보안 업체가 설명한 시도는 익명 열람을 허용하는 사이트를 전제로 합니다. 익명 접근이 켜져 있는 웹 애플리케이션과 사이트를 목록으로 만들고, 필요하지 않은 곳은 끄세요. 공개해야 하는 경우가 아니라면 SharePoint를 인터넷에서 분리하고, 가능하면 로그인을 요구하는 게이트웨이 뒤에 두세요.
업데이트가 늦었던 서버를 점검하세요
KEV는 이 CVE를 CISA의 포렌식 분류(forensic triage) 요건 대상으로 표시하고 있습니다. 일반적인 점검으로(이 사이트의 제안), 팀이 배포하지 않은 SharePoint 웹 폴더의 새 .aspx 또는 .dll 파일, IIS 작업자 프로세스가 시작한 예상치 못한 프로세스, IIS 로그에서 알 수 없는 주소의 비정상적인 POST 요청을 찾으세요. 설명할 수 없는 것을 발견하면 서버를 격리하고, 사고 대응 팀을 참여시키고, 다시 연결하기 전에 서버가 가진 인증 정보와 키를 교체하세요.
공개된 내용
- 제품
- Microsoft SharePoint Server Subscription Edition, SharePoint Server 2019, SharePoint Enterprise Server 2016(온프레미스)
- 유형
- 코드 인젝션(CWE-94)
- 인증
- 필요: 낮은 수준의 접근 권한. 사용자 상호작용 불필요(Microsoft)
- 심각도
- CVSS v3.1 8.8. Microsoft 등급 Important(중요)
- 수정 빌드
- Subscription Edition 16.0.19725.20522(KB5002893), 2019 16.0.10417.20198(KB5002894, KB5002896), 2016 16.0.5565.1001(KB5002905, KB5002906)
- 배포
- 2026년 8월 11일(월간 보안 업데이트)
- 악용
- 2026년 9월 25일 기준 「관측된 공격에 대한 신뢰할 만한 증거」(Microsoft)
- KEV
- 2026년 9월 25일 추가, 기한 9월 28일. CISA의 포렌식 분류(forensic triage) 요건 대상으로 표시됨
1. 빌드 확인
팜의 모든 서버
2. 모든 패키지 설치
8월 KB와 6월 업데이트까지
3. 검토와 점검
익명 접근, 침해 흔적
타임라인
2026년 6월 9일
한 보안 연구 팀이, 익명으로 요청을 전달할 수 있게 하는 별도의 SharePoint 문제가 이날 수정되었다고 보고(해설에서 CVE 번호는 특정되지 않음).8월 11일
Microsoft가 CVE-2026-65660과 보안 업데이트를 공개, 처음에는 스푸핑 취약점으로 설명.8월 27일
Microsoft가 제목, 영향, FAQ를 원격 코드 실행으로 변경(개정 1.1, 정보 제공용으로 설명).9월 24일
한 보안 업체가 이 취약점과 별도의 익명 전달 문제를 결합한, 허니팟에 대한 공격 시도를 보고.9월 25일
Microsoft가 관측된 공격에 대한 신뢰할 만한 증거가 있다고 추가(개정 1.2). CISA가 이 CVE를 KEV 카탈로그에 추가, 기한은 9월 28일.10월 31일
Microsoft 권고의 추가 개정 없음.
알려진 것과 알려지지 않은 것
| 항목 | 출처의 내용 | 상태 |
|---|---|---|
| 영향 제품과 수정 빌드 | 온프레미스 3개 버전, 8월 11일 업데이트 | 확인(Microsoft) |
| 로그인 필요 여부 | 낮은 수준의 접근 권한, 사용자 상호작용 불필요 | 확인(Microsoft) |
| 실제 공격 | 관측된 공격에 대한 신뢰할 만한 증거(9월 25일) | 악용 확인(Microsoft) |
| 익명 열람을 통한 로그인 없는 시도 | 허니팟에서 관측된 시도, 별도의 문제와 결합 | 가능성 |
| 6월 문제의 CVE 번호 | 확인한 출처에서 특정되지 않음 | 공개되지 않음 |
| 침해된 서버의 수 | 공개되지 않음 | 공개되지 않음 |
| SharePoint Online | Microsoft 권고에 나와 있지 않음 | 공개되지 않음 |
10월 31일 Microsoft의 권고 데이터는 요약 필드에 여전히 「Exploited: No」를 표시했지만, 9월 25일의 개정 메모는 공격이 관측되었다고 적고 있습니다. 개정 메모가 더 나중의 설명이며, CISA는 이 CVE를 악용된 것으로 등재하고 있습니다.
왜 처음의 분류가 문제였나
8월 11일 업데이트가 나왔을 때 권고는 이를 스푸핑 취약점이라고 불렀습니다. 원격 코드 실행이 된 것은 8월 27일, Microsoft가 정보 제공용으로 표시한 개정에서였습니다. Microsoft는 개정 1.1을 알림이 필요한 것으로 다루지 않았습니다. 8월 업데이트를 영향별로 정렬한 팀은 이를 다른 수정보다 뒤로 미뤘을 수 있습니다.
모든 SharePoint 팜에 대한 교훈은, 각 CVE의 분류를 보고 고르기보다 매달의 SharePoint 업데이트를 한 묶음으로 설치하라는 것입니다. 분류는 공개 후에 바뀔 수 있고, 로그인이 필요한 취약점도 그 필요를 없애는 다른 취약점과 결합될 수 있습니다.
출처
2026년 10월 31일(일본 시간)에 확인.
- Microsoft, Security Update Guide: CVE-2026-65660, Microsoft SharePoint Server Remote Code Execution Vulnerability(2026년 8월 11일, 개정 1.2, 9월 25일) — msrc.microsoft.com
- NVD, CVE-2026-65660 — nvd.nist.gov
- CISA, Known Exploited Vulnerabilities Catalog(2026년 9월 25일 추가) — cisa.gov
- 보안 업체의 공격 시도 보고(2026년 9월 24일, 9월 25일 업데이트) — blog.previdian.com
업데이트 기록
2026-10-31: Microsoft의 보안 업데이트 가이드, NVD, CISA의 KEV 카탈로그, 보안 업체의 보고를 바탕으로 한 첫 버전.
다음으로 읽을 글
- 같은 시기에 악용된 취약점: 악용된 엣지 장비 취약점, 2026년 10월 중순
- 수정 우선순위: 어떤 CVE부터 고칠까(CVSS·EPSS·KEV)
- 침해 점검: 서버가 침해되었는지 확인하는 방법
- 대응 절차: 취약점 대응 실무
- 용어: RCE(원격 코드 실행)란? / CVSS란?