📌 핵심 요약

🚨 주요 시사점

CVE-2026-50522은 일상적인 패치 대상이 아닙니다. 공개 악용 보고, KEV 등재, 머신 키 탈취 관찰 사례를 동반한 Critical RCE입니다.

• 공격자가 이 결함을 악용하여 SharePoint 머신 키를 획득한 것으로 보고되었습니다.
• 탈취된 머신 키는 위조된 인증 토큰과 패치 후에도 유지될 수 있는 액세스를 허용할 수 있습니다.
• 패치는 취약점을 해소하지만, 노출된 서버는 여전히 헌팅과 키 교체가 필요합니다.
• 인터넷에 노출된 온프레미스 SharePoint 서버는 비상 위험으로 처리해야 합니다.

🧭 공격 경로

flowchart TD
    A[Remote attacker] --> B[Reachable on-prem SharePoint]
    B --> C[Crafted request to sign-in/auth surface]
    C --> D[Unsafe deserialization]
    D --> E[Remote code execution]
    E --> F[Machine-key theft]
    F --> G[Forge auth tokens/cookies]
    G --> H[Impersonate users]
    H --> I[Access SharePoint sites and documents]
    F --> J[Persistence after patch if keys not rotated]

🧩 영향받는 버전 및 수정 사항

🧠 근본 원인 요약

ZDI는 영향받는 영역을 SessionSecurityTokenHandler 클래스로 식별했습니다. 이 결함은 사용자 제공 데이터에 대한 검증 부족으로 발생하며, 영향받는 SharePoint 설치 환경에서 안전하지 않은 역직렬화와 원격 코드 실행을 가능하게 합니다.

공개 보고서는 SharePoint 로그인 처리와 /_trust/default.aspx를 포함한 PoC 경로를 설명합니다. SharePoint 소스 코드와 패치 diff가 공개되지 않았으므로 정확한 구현 세부 사항은 제한적입니다.

🔥 위협 인텔리전스 요약

🕒 조사 타임라인

timeline
    title CVE-2026-50522 Timeline
    2026-05-21 : Reported to vendor via ZDI/Pwn2Own path
    2026-07-14 : Microsoft advisory and patches released
    2026-07-15 : ZDI advisory published
    2026-07-17 : Exposure advisory and early exploitation reporting window
    2026-07-20 : Public PoC reportedly appears; exploitation observed within hours
    2026-07-22 : CISA adds CVE-2026-50522 to KEV
    2026-07-25 : CISA remediation due date
    2026-07-27 : Report finalized

🛠️ 방어자 행동 계획

즉시 — 첫 24시간

• 모든 온프레미스 SharePoint 서버를 인벤토리화합니다.
• 인터넷 노출 및 파트너 접근 가능 팜을 우선순위로 지정합니다.
• Microsoft 2026년 7월 SharePoint 업데이트를 적용합니다.
• 모든 팜 구성원의 수정 빌드를 확인합니다.
• IIS, ULS, WAF, Defender, Windows 및 EDR 로그를 보존합니다.
• 의심스러운 POST /_trust/default.aspx 활동을 헌팅합니다.
• w3wp.exe가 명령줄 도구를 실행하는지 헌팅합니다.
• 새로 생성되거나 변경된 .aspx, .ashx, .asmx, .dll 및 web.config 파일을 헌팅합니다.
• Microsoft Defender/AMSI 탐지를 검토합니다.

강화 — 이후 7일

• 모든 SharePoint 웹 애플리케이션에 AMSI 통합을 활성화/확인합니다.
• 가능한 경우 요청 본문 검사 전체 모드(Request Body Scan Full Mode)를 사용합니다.
• 직접적인 인터넷 노출을 제거합니다.
• SharePoint를 인증된 레이어 7 리버스 프록시/WAF 뒤에 배치합니다.
• 외부 중앙 관리(Central Administration) 액세스를 차단합니다.
• 팜/데이터베이스 통신을 제한합니다.
• 서비스 계정, 팜 관리자, 타이머 작업, 예약된 작업 및 팜 솔루션을 검토합니다.
• 해당되는 경우 지원이 종료된 SharePoint 2016/2019에서 마이그레이션을 계획합니다.

🔎 고가치 탐지 아이디어

웹 / IIS / WAF

POST /_trust/default.aspx
AND request contains any of:
  SecurityContextToken
  BinaryFormatter
  AAEAAAD

엔드포인트 / EDR

Parent process: w3wp.exe
Child process: cmd.exe, powershell.exe, pwsh.exe, certutil.exe, bitsadmin.exe,
               mshta.exe, rundll32.exe, regsvr32.exe, cscript.exe, wscript.exe

파일 무결성

Monitor:
C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\TEMPLATE\LAYOUTS\
C:\inetpub\wwwroot\wss\VirtualDirectories\

Alert on new or modified:
*.aspx, *.ashx, *.asmx, *.dll, web.config

CISA 지침 기반 Microsoft Defender / AMSI 탐지

Exploit:Script/SuspSignoutReqBody.A
Exploit:Script/ToolPaneAuthBypass.A
Exploit:Script/ToolPaneAuthBypass.C
Backdoor:MSIL/LeakFang.A!dha

📊 위험 매트릭스

✅ 확인된 지표 및 정보 공백

📚 전체 보고서

상세 분석가 보고서는 이 저장소에서 확인할 수 있습니다:

➡️ CVE-2026-50522_CTI_Report.md

다음을 포함합니다:

• 공식 CVE 세부 정보
• CPE 검증
• 근본 원인 분석
• 악용 성숙도 평가
• 위협 인텔리전스 조사 결과
• IOC 표
• MITRE ATT&CK 매핑
• Sigma 아이디어
• Wazuh 지침
• Splunk SPL
• Microsoft Sentinel KQL
• Snort/Suricata 시그니처
• 위험 평가
• 완화 플레이북
• 증거 출처 표
• 가정 및 제한 사항

🔗 주요 참고 자료

• Microsoft 보안 업데이트 가이드: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50522
• CVE.org: https://www.cve.org/CVERecord?id=CVE-2026-50522
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-50522
• CISA KEV: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-50522
• ZDI-26-412: https://www.zerodayinitiative.com/advisories/ZDI-26-412/
• NHS England 경보: https://digital.nhs.uk/cyber-alerts/2026/cc-4818
• BleepingComputer: https://www.bleepingcomputer.com/news/security/critical-sharepoint-rce-flaw-exploited-to-steal-machine-keys/
• Censys 권고: https://censys.com/advisory/cve-2026-50522-cve-2026-58644/