[Security News] CISA, SharePoint RCE 0-day KEV 등재 (7.17)

7월 17일 보안 이슈는 Microsoft SharePoint Server의 원격 코드 실행(RCE) 0-day가 CISA KEV에 오른 사안이 중심이다. 같은 날 ACR Stealer의 ClickFix 악용, 북한 연계 가짜 코딩 테스트 악성코드, Kaspersky가 공개한…

목차

1. 개요
2. 세부내용
3. 오늘 아침 추가 속보
4. 한눈에 보기
5. FAQ
6. 출처

CISA, SharePoint RCE 0-day KEV 등재 (7.17)

개요

• CISA는 Microsoft SharePoint Server의 CVSS 9.8 원격 코드 실행(RCE) 결함 CVE-2026-58644를 KEV에 올리고 FCEB 기관에 7월 19일까지 수정 적용을 요구했다.
• ACR Stealer는 ClickFix 방식으로 사용자가 직접 명령을 실행하게 만든 뒤 브라우저 비밀번호, 세션 토큰, PDF, Microsoft 365 문서를 빼내는 흐름으로 보고됐다.
• 북한 연계 Contagious Interview 캠페인은 가짜 채용·코딩 테스트 프로젝트와 SVG 스테가노그래피를 결합해 OTTERCOOKIE 계열 악성 페이로드를 전달했다.
• Kaspersky가 공개한 GoSerpent는 2025년 말부터 동남아시아 정부·외교 기관을 겨냥해 장기 접근과 정보 수집을 수행한 미공개 악성코드로 정리됐다.

세부내용

CISA, SharePoint Server RCE 0-day CVE-2026-58644를 KEV에 등재

feeds.feedburner.com은 CISA(미 사이버보안·인프라보안청)가 Microsoft SharePoint Server에 영향을 주는 새 보안 결함을 KEV(악용 알려진 취약점 카탈로그)에 추가했다고 전했다. 대상 취약점은 CVE-2026-58644이며 CVSS 9.8의 Critical 등급으로 제시됐다. 유형은 역직렬화 결함이다. 역직렬화 취약점은 외부에서 들어온 데이터를 애플리케이션 객체로 되살리는 과정이 충분히 검증되지 않을 때 원격 코드 실행(RCE)으로 이어질 수 있다.

이번 사안의 우선순위가 높은 이유는 단순히 점수가 높아서가 아니다. CISA가 KEV에 올렸다는 사실은 이미 실제 악용이 확인됐거나 그에 준하는 운용상 위험이 있다고 판단했다는 뜻이다. feeds.feedburner.com에 따르면 미국 연방 민간 행정기관(FCEB)은 2026년 7월 19일까지 수정 조치를 적용해야 한다. 보도 시점이 7월 17일이라는 점을 감안하면 적용 창구는 이틀 남짓에 그친다.

Microsoft가 운영하는 Microsoft Security Response Center는 취약점 대응과 보안 업데이트 정보를 제공하는 공식 경로다. CISA 권고와 Microsoft 업데이트 가이드가 함께 언급된 사안에서는 먼저 영향을 받는 SharePoint Server 버전과 배포 방식, 보안 업데이트 적용 가능 여부를 확인해야 한다. 인터넷에 직접 노출된 온프레미스 SharePoint 인스턴스, 외부 협업 포털, 레거시 플러그인 또는 커스텀 웹 파트를 붙인 서버가 우선 점검 대상이다.

운영팀의 대응은 세 갈래로 나뉜다. 첫째, Microsoft가 제공한 보안 업데이트를 적용한다. 둘째, 패치 전까지 외부 접근 경로를 줄이고 SharePoint 관련 비정상 프로세스 실행, 웹셸 흔적, 의심스러운 업로드 파일을 확인한다. 셋째, 인증 로그와 IIS 로그에서 알려지지 않은 IP의 반복 요청, 관리자 권한 변경, 새 계정 생성 같은 사후 침해 지표를 분리해 본다. PoC(개념증명)나 공격 절차가 공개됐는지보다 중요한 것은 이미 KEV에 들어간 취약점을 사내 노출 자산에서 얼마나 빨리 제거하느냐다.

▸ SharePoint RCE 자세히 확인하기

CVE-2026-58644의 핵심은 SharePoint Server가 신뢰할 수 없는 입력을 처리하는 과정에서 공격자가 서버 측 코드 실행까지 도달할 수 있다는 점이다. CVSS 9.8은 네트워크를 통해 공격 가능하고 권한 요구 수준이 낮거나 없는 결함에서 흔히 나온다. 세부 공격 절차는 공개하지 않는 편이 맞지만, 방어 관점에서는 인터넷 노출, 인증 우회 가능성, 서버 권한으로 실행되는 후속 행위 가능성을 함께 봐야 한다.

KEV 등재는 민간 기업에도 실무 신호로 작동한다. CISA의 법적 구속력은 FCEB 기관에 직접 적용되지만, KEV는 랜섬웨어 대응팀과 취약점 관리팀이 패치 순서를 정할 때 사실상 우선순위 목록으로 쓰인다. 같은 CVSS 9점대라도 KEV에 들어간 결함과 아직 악용 정황이 없는 결함은 운영상의 급이 다르다. 이번처럼 SharePoint Server가 대상이면 문서 저장소, 인증 연동, 내부 협업 자료가 같은 서버에 모여 있을 가능성이 커 피해 범위가 애플리케이션 하나에서 끝나지 않는다.

NIST의 National Vulnerability Database는 CVE 기록과 심각도 메타데이터를 확인하는 기준점이다. 다만 NVD의 점수와 설명은 패치 운용에 필요한 전체 답이 아니다. 실제 환경에서는 해당 서버가 인터넷에 노출돼 있는지, 프록시나 WAF 뒤에 있는지, 커스텀 솔루션이 붙어 있는지, 백업과 스냅샷이 공격 이전 시점으로 남아 있는지를 따져야 한다. SharePoint는 파일 저장과 워크플로 자동화가 얽힌 경우가 많아 단순 재부팅이나 서비스 중단이 곧 업무 중단으로 이어진다.

이번 결함을 처리할 때 공격 코드 검색부터 시작하면 대응 순서가 흔들린다. 먼저 자산 목록에서 SharePoint Server 인스턴스를 확정하고, Microsoft 업데이트 적용 상태를 확인한 뒤, 외부 접근이 가능한 서버부터 패치해야 한다. 패치 직후에는 서버 무결성 확인이 필요하다. 이미 침해된 서버에 업데이트만 적용하면 공격자가 남겨 둔 계정, 예약 작업, 웹셸, 토큰이 그대로 남을 수 있기 때문이다. 보안팀은 업데이트 성공 여부와 침해 흔적 조사를 별개의 체크 항목으로 두는 편이 낫다.

핵심 요약: CVE-2026-58644는 CVSS 9.8의 SharePoint Server RCE 결함이며 KEV 등재로 패치 우선순위가 최상단에 올랐다. 인터넷 노출 인스턴스는 업데이트와 침해 흔적 점검을 같은 작업 묶음으로 처리해야 한다.

ACR Stealer, ClickFix 미끼로 브라우저 토큰과 Microsoft 365 파일 탈취

feeds.feedburner.com은 ACR Stealer가 2024년부터 유통된 정보 탈취형 악성코드이며 최근 기업 네트워크에서 저장된 브라우저 비밀번호, 활성 세션 토큰, PDF, Microsoft 365 문서, 동기화된 OneDrive와 SharePoint 폴더의 파일을 빼내는 방식으로 보고됐다고 전했다. 단순한 비밀번호 탈취보다 범위가 넓다. 세션 토큰을 확보하면 공격자는 비밀번호를 다시 입력하지 않고도 일부 클라우드 서비스에 접근할 수 있다.

침투 방식은 ClickFix 유형으로 설명됐다. ClickFix는 사용자가 보안 경고나 오류 해결 안내처럼 보이는 화면을 보고 명령을 복사해 Windows 실행 창이나 터미널에 붙여넣도록 유도하는 사회공학 기법이다. 악성 첨부파일을 여는 방식보다 사용자의 능동적 행동을 끌어내는 점이 다르다. feeds.feedburner.com은 Microsoft가 목요일에 두 가지 전달 체인을 설명했다고 전했다.

기업 환경에서 이 방식이 까다로운 이유는 정상 사용자의 행위처럼 보이는 순간이 끼어들기 때문이다. 사용자가 직접 실행 창에 명령을 붙여넣으면 초기 이벤트는 운영체제의 정상 기능 호출로 남을 수 있다. 이후 악성코드가 브라우저 저장소, 세션 쿠키, 동기화 폴더를 탐색하면 계정 탈취와 문서 유출이 동시에 진행된다. 엔드포인트 탐지 도구는 PowerShell, mshta, rundll32, 스크립트 호스트, 의심스러운 다운로드 경로 같은 실행 흐름을 함께 봐야 한다.

대응은 사용자 교육만으로 끝나지 않는다. 실행 창을 이용한 임의 명령 실행 안내를 내부 보안 공지에서 명확히 금지하고, 브라우저에 저장된 비밀번호와 장기 세션 토큰의 노출 가치를 낮춰야 한다. Microsoft 365 환경에서는 조건부 액세스, 세션 재인증 정책, 비정상 위치 로그인 탐지, OneDrive와 SharePoint 대량 다운로드 경보를 확인하는 것이 실질적이다. 감염이 의심되면 비밀번호 변경보다 먼저 세션 무효화와 토큰 폐기를 진행해야 한다.

▸ ACR Stealer 자세히 확인하기

정보 탈취형 악성코드의 목적은 기기 장악 자체보다 인증 자료와 업무 파일 수집에 가깝다. ACR Stealer 보도에서 브라우저 비밀번호와 활성 세션 토큰이 함께 언급된 점은 방어팀에 중요한 신호다. 비밀번호는 변경하면 효과가 있지만, 이미 발급된 세션 토큰은 별도 폐기 절차가 없으면 일정 시간 살아 있을 수 있다. 공격자는 그 시간 동안 클라우드 문서, 메일, 협업 도구에 접근해 추가 자료를 확보할 수 있다.

ClickFix는 취약점 공격과 다르게 패치만으로 사라지지 않는다. 화면에는 오류 해결, CAPTCHA 검증, 문서 열람 문제, 브라우저 업데이트 같은 명분이 붙을 수 있다. 사용자는 문제를 직접 고치는 절차로 받아들이기 쉽고, 보안 담당자는 결과 로그에서 사용자가 명령을 직접 실행했다는 사실을 뒤늦게 본다. 이 지점 때문에 보안 인식 교육의 문구도 바뀌어야 한다. “의심스러운 파일을 열지 말라”보다 “웹페이지가 명령어 복사와 실행을 요구하면 업무 채널로 신고하라”는 지침이 더 정확하다.

Microsoft 365 파일 유출 위험은 동기화 구조에서 커진다. OneDrive와 SharePoint 폴더는 사용자가 로컬 파일처럼 다루지만 실제로는 조직 문서 저장소와 연결돼 있다. 악성코드가 로컬 동기화 폴더를 훑으면 클라우드 협업 문서가 단말 유출 사건처럼 빠져나갈 수 있다. 특히 PDF, 계약서, 인사 문서, 고객 자료처럼 검색 가능한 파일 형식은 탈취 후 분류와 재판매가 쉽다.

탐지 관점에서는 실행 전후의 짧은 타임라인을 묶어야 한다. 사용자가 브라우저에서 특정 페이지를 열고, 곧이어 실행 창 또는 스크립트 실행이 발생하고, 이후 브라우저 프로필과 클라우드 동기화 폴더 접근이 이어지는 순서가 나오면 ClickFix 계열 감염 가능성이 커진다. 사후 조치에는 기기 격리, 악성 실행 파일 제거, 브라우저 저장 자격증명 폐기, Microsoft 365 세션 무효화, 조건부 액세스 정책 재검토가 들어간다. 단일 백신 탐지명만으로 사건을 종결하면 클라우드 쪽 잔여 세션을 놓칠 수 있다.

핵심 요약: ACR Stealer는 사용자의 직접 명령 실행을 끌어내 인증 자료와 클라우드 문서를 함께 노린다. 감염 대응은 비밀번호 변경뿐 아니라 세션 토큰 폐기와 Microsoft 365 접근 로그 점검까지 포함해야 한다.

북한 연계 캠페인, 가짜 코딩 테스트와 SVG 은닉으로 OTTERCOOKIE 계열 악성코드 전달

feeds.feedburner.com은 북한 연계 위협 행위자가 Contagious Interview 캠페인에서 가짜 채용 공고와 코딩 과제를 이용하고, SVG 이미지 파일 안에 악성 페이로드를 숨기는 스테가노그래피 기법을 사용했다고 전했다. 스테가노그래피는 정상 파일처럼 보이는 이미지나 문서 안에 별도 데이터를 감추는 방식이다. 이번 경우에는 개발자가 과제 프로젝트를 실행하는 순간 악성 흐름이 시작되는 구조로 설명됐다.

보도는 해당 페이로드가 OTTERCOOKIE와 맞닿은 4단계 구조였고, 브라우저 자격 증명과 암호화폐 지갑, 파일 탈취 기능을 포함했다고 전했다. 개발자를 겨냥한 캠페인이 계속 이어지는 이유는 분명하다. 개발자 단말에는 소스코드 저장소 접근 권한, 패키지 배포 토큰, 클라우드 키, 사내 문서가 함께 존재하는 경우가 많다. 개인 면접 과제처럼 보이는 프로젝트 하나가 조직 공급망으로 들어가는 입구가 될 수 있다.

이번 사례에서 SVG가 쓰인 점도 가볍지 않다. SVG는 단순 그림 파일로 여겨지지만 텍스트 기반 형식이고 스크립트나 외부 참조, 인코딩된 데이터가 섞일 여지가 있다. 이미지 확장자라는 이유만으로 보안 검사를 느슨하게 적용하면 악성 데이터의 포장지로 쓰일 수 있다. 특히 채용 과제 저장소에는 이미지, 설정 파일, 테스트 데이터가 자연스럽게 포함되기 때문에 리뷰어가 모든 리소스 파일을 세밀히 열어보지 않을 가능성이 크다.

개발 조직의 완화책은 실행 환경 분리에서 출발한다. 외부 채용 과제, 오픈소스 샘플, 낯선 저장소 프로젝트는 업무용 계정이 로그인된 주 단말에서 바로 실행하지 않아야 한다. 임시 가상머신이나 컨테이너, 네트워크 제한 환경에서 먼저 확인하고, 프로젝트 실행 전 설치 스크립트, postinstall 훅, 빌드 스크립트, 이미지·설정 파일의 비정상 문자열을 검사해야 한다. GitHub 토큰, npm 토큰, 클라우드 자격증명은 로컬 평문 파일이나 셸 환경 변수에 장기간 남겨두지 않는 편이 안전하다.

▸ 가짜 코딩 테스트 자세히 확인하기

Contagious Interview 유형의 캠페인은 기술 면접이라는 신뢰 상황을 악용한다. 지원자는 과제를 빨리 실행해 결과를 보여줘야 하고, 채용 담당자처럼 보이는 상대는 문제 해결을 재촉할 수 있다. 이 압박은 개발자가 평소라면 확인했을 스크립트나 의존성을 지나치게 만든다. 공격자는 이 틈을 이용해 정상적인 개발 워크플로 안에 악성 실행 지점을 심는다.

OTTERCOOKIE 계열 페이로드가 언급된 점은 공격 목표가 단순 장난성 감염이 아니라 자격증명 수집과 파일 탈취라는 사실을 보여준다. 브라우저 자격 증명은 개인 계정뿐 아니라 사내 SSO 포털 접근으로 이어질 수 있고, 암호화폐 지갑 탈취는 개인 피해를 만든다. 파일 탈취 기능은 개발자 로컬에 남아 있는 설계 문서, 환경 파일, 고객 샘플 데이터까지 가져갈 수 있다. 공격자가 처음부터 조직 내부망을 뚫지 않아도 개발자 단말 하나로 필요한 자료를 얻는 셈이다.

SVG 은닉은 방어 절차의 사각지대를 찌른다. 보안팀은 실행 파일, 스크립트, 압축 파일에는 민감하지만 이미지 리소스는 상대적으로 낮은 위험으로 분류하는 경우가 많다. 그러나 텍스트 기반 이미지 형식은 난독화된 문자열, 비정상적으로 긴 속성값, 외부 호출 흔적을 담을 수 있다. 저장소 보안 검사는 확장자보다 내용과 실행 경로를 기준으로 해야 한다. 빌드 과정에서 어떤 파일이 읽히고 어떤 명령으로 변환되는지 보는 방식이 필요하다.

실무 대응은 채용과 개발 프로세스 모두에 걸친다. 채용팀은 외부 과제 파일을 받는 절차를 표준화하고, 개발팀은 후보자 또는 외부인이 보낸 프로젝트를 사내 단말에서 곧바로 실행하지 않는 규칙을 세워야 한다. 보안팀은 개발자용 샌드박스와 일회용 계정, 제한된 네트워크 권한을 제공해야 한다. 토큰 회전 주기를 짧게 잡고, 저장소 접근 키가 사용된 위치와 시간을 로깅하면 감염 이후 피해 범위를 줄일 수 있다.

핵심 요약: 가짜 코딩 테스트 캠페인은 개발자의 신뢰 워크플로를 공격 표면으로 바꾼다. 외부 프로젝트 실행 격리와 개발자 자격증명 관리가 이 유형의 핵심 방어선이다.

Kaspersky, 동남아 정부·외교 기관 겨냥 GoSerpent 악성코드 공개

feeds.feedburner.com은 Kaspersky가 GoSerpent라는 이전에 문서화되지 않은 악성코드를 발견했다고 전했다. 보도에 따르면 이 악성코드는 2025년 말부터 동남아시아의 기관을 겨냥한 사이버 공격에 쓰였고, 장기 접근과 정보 수집에 초점을 맞췄다. Kaspersky는 2026년 2월 해당 활동을 포착했으며, 표적은 정부와 외교 관련 기관으로 설명됐다.

GoSerpent 사안은 대량 감염형 악성코드보다 표적형 첩보 활동에 가깝다. 정부·외교 기관을 노리는 캠페인은 단기간의 금전 탈취보다 메일, 문서, 연락망, 협상 자료 같은 민감 정보를 오래 수집하는 방식으로 진행되는 경우가 많다. 따라서 감염 지표 하나를 찾고 제거하는 수준으로는 부족하다. 초기 침투 지점, 지속성 확보 수단, 계정 이동, 자료 압축과 외부 전송 경로를 순서대로 봐야 한다.

이번 보도에서 구체적인 CVE 번호나 CVSS 점수는 제시되지 않았다. 취약점 공지가 아니라 악성코드·캠페인 분석에 가까운 사안이기 때문이다. 그렇더라도 방어팀의 작업은 명확하다. 외교·공공기관, 국제 협력 프로젝트를 맡은 업체, 현지 지사와 협력사는 피싱 메일, 원격 접근 계정, 문서 공유 채널, VPN 로그인 기록을 함께 살펴야 한다. 표적형 캠페인은 직접 대상 기관뿐 아니라 신뢰 관계에 있는 제3자 계정을 경유할 수 있다.

Kaspersky 같은 보안 연구 기관 보고서는 공식 패치 권고와 역할이 다르다. 패치할 단일 CVE가 없더라도 침해 지표, 전술·기술·절차(TTP), 표적 업종 정보는 탐지 규칙과 헌팅 쿼리로 바뀐다. 동남아시아 정부·외교 관련 업무를 다루는 조직이라면 GoSerpent라는 이름 자체보다 2025년 말 이후의 장기 접근 흔적을 찾는 데 초점을 둬야 한다. 정상 계정으로 보이는 반복 접속, 업무 시간 밖 문서 접근, 압축 파일 생성 후 외부 통신이 이어지는 패턴이 조사 대상이다.

▸ GoSerpent 캠페인 자세히 확인하기

GoSerpent 보도에서 중요한 시간축은 세 단계다. 공격 활동은 2025년 말부터 이어진 것으로 설명됐고, Kaspersky는 2026년 2월 활동을 발견했으며, 7월 17일 공개 보도로 외부에 알려졌다. 이 간격은 표적형 첩보 캠페인의 일반적인 어려움을 보여준다. 침해가 시작된 시점과 공개된 시점 사이에 몇 달의 공백이 생길 수 있고, 그동안 공격자는 내부 문서와 계정 구조를 파악했을 가능성이 있다.

정부와 외교 기관을 겨냥한 공격은 피해 산정 방식도 다르다. 랜섬웨어처럼 화면에 바로 드러나지 않고, 시스템이 정상적으로 작동하는 동안 정보가 빠져나갈 수 있다. 공격자는 장기 접근을 유지하려고 과도한 파괴 행위를 피한다. 방어팀은 장애가 없었다는 사실을 안전의 근거로 삼기 어렵다. 로그 보존 기간이 짧으면 최초 침투와 내부 이동을 되짚는 데 한계가 생긴다.

이번 사안은 지역적으로 동남아시아가 언급됐지만, 업무 연결망은 국경을 넘는다. 외교 프로젝트, 개발 원조, 국방·공공 조달, 국제회의 운영에 참여한 민간 업체도 간접 위험에 들어갈 수 있다. 공격자는 직접 방어가 강한 기관보다 협력사 메일 계정이나 공유 문서 채널을 통해 접근할 수 있다. 보안팀은 기관명만 기준으로 필터를 좁히기보다 프로젝트와 신뢰 관계를 기준으로 조사 범위를 정해야 한다.

완화책은 기본 통제의 정밀한 적용이다. 원격 접근에는 다중 인증을 요구하고, 관리자 계정과 일반 계정을 분리하며, 장기 미사용 계정은 닫아야 한다. 엔드포인트에서는 새로 생성된 서비스, 예약 작업, 비정상 실행 경로를 확인한다. 네트워크에서는 낮은 빈도의 주기적 외부 통신과 업무 시간 밖 데이터 전송을 따로 본다. 표적형 캠페인 대응에서는 빠른 삭제보다 증거 보존이 우선이다. 흔적을 지우기 전에 메모리, 디스크, 인증 로그를 확보해야 침투 경로와 유출 범위를 판단할 수 있다.

핵심 요약: GoSerpent는 패치 하나로 끝나는 취약점 이슈가 아니라 장기 접근형 첩보 캠페인으로 다뤄야 한다. 관련 조직은 2025년 말 이후 인증·문서 접근·외부 전송 로그를 묶어 재점검할 필요가 있다.

오늘 아침 추가 속보

• feeds.feedburner.com: New wp2shell WordPress Core Flaw Lets Unauthenticated Attackers Run Code - An anonymous HTTP request can run code on a WordPress site. The bug is in core, so a bare install with zero plugins is exploitable. Every 6.9 and 7.0 site was i
• feeds.feedburner.com: OpenSSL HollowByte Flaw Could Freeze Server Memory with 11-Byte TLS Requests - Eleven bytes will make an unpatched OpenSSL server set aside up to 131 KB of memory for a message that never arrives. On the glibc systems Okta tested, that mem
• feeds.feedburner.com: Seven Malicious Vite npm Packages Use Blockchain C2 to Deliver a RAT - Cybersecurity researchers have discovered a cluster of seven malicious npm packages targeting the Vite frontend tooling ecosystem as part of a software supply c
• feeds.feedburner.com: New NadMesh Botnet Hunts Exposed AI Services for Cloud Keys and Kubernetes Tokens - A Go botnet called NadMesh turned up in early July hunting exposed AI services, and the operator's own dashboard claims 3,811 unique AWS keys. A Shodan harveste
• feeds.feedburner.com: GoldenEyeDog Subgroup Linked to DigiCert Breach and Code-Signing Certificate Theft - Cybersecurity researchers have attributed the April 2026 DigiCert security incident to a threat activity cluster dubbed CylindricalCanine. Expel, which shared t

한눈에 보기

사실	발행처	출처
CISA가 Microsoft SharePoint Server 결함 CVE-2026-58644를 KEV에 추가했다.	feeds.feedburner.com	thehackernews.com
CVE-2026-58644는 CVSS 9.8의 Critical 역직렬화 취약점으로 제시됐다.	feeds.feedburner.com	thehackernews.com
FCEB 기관은 SharePoint Server 수정 조치를 2026년 7월 19일까지 적용해야 한다.	feeds.feedburner.com	thehackernews.com
ACR Stealer는 브라우저 비밀번호, 세션 토큰, Microsoft 365 파일을 노린다.	feeds.feedburner.com	thehackernews.com
북한 연계 Contagious Interview 캠페인은 SVG 이미지에 악성 페이로드를 숨겼다.	feeds.feedburner.com	thehackernews.com
Kaspersky는 GoSerpent가 2025년 말부터 동남아 정부·외교 기관을 겨냥했다고 밝혔다.	feeds.feedburner.com	thehackernews.com
NIST NVD는 CVE 기록과 심각도 메타데이터의 공식 기준점으로 쓰인다.	NIST	nvd.nist.gov

FAQ

Q1. CVE-2026-58644의 핵심 취약점 유형은 무엇인가?

A. feeds.feedburner.com은 CVE-2026-58644를 Microsoft SharePoint Server의 Critical 역직렬화 결함으로 설명했고 CVSS 점수는 9.8로 제시했다. 원격 코드 실행(RCE) 위험이 핵심이다.

Q2. SharePoint 관리자는 어느 시스템부터 확인해야 하나?

A. CISA KEV에 오른 취약점이므로 인터넷에 노출된 SharePoint Server, 외부 협업 포털, 커스텀 웹 파트가 붙은 온프레미스 인스턴스를 먼저 확인해야 한다. FCEB 기한은 2026년 7월 19일이다.

Q3. ACR Stealer 대응에서 비밀번호 변경만으로 충분하지 않은 이유는?

A. feeds.feedburner.com은 ACR Stealer가 저장 비밀번호뿐 아니라 활성 세션 토큰과 Microsoft 365 파일도 노린다고 전했다. 이미 발급된 토큰은 별도 무효화가 필요하다.

Q4. 가짜 코딩 테스트 캠페인은 일반 피싱과 무엇이 다른가?

A. feeds.feedburner.com 보도에 따르면 이 캠페인은 채용 과제 실행 과정과 SVG 이미지 은닉을 결합했다. 개발자가 프로젝트를 직접 실행하는 흐름을 악용한다는 점에서 첨부파일 피싱보다 공급망 위험이 크다.

Q5. GoSerpent 관련 후속 관찰 지점은 무엇인가?

A. Kaspersky가 2026년 2월 포착한 활동은 2025년 말부터 이어진 것으로 전해졌다. 정부·외교 관련 조직은 새 침해 지표뿐 아니라 과거 인증 로그와 문서 접근 기록을 함께 봐야 한다.

출처

1. Fake Coding Tests Deliver OtterCookie-Aligned Malware Hidden in SVG Flag Images - feeds.feedburner.com
2. E.U. Orders Google to Open Android Mic, Camera and Screen to Rival AI Assistants - feeds.feedburner.com
3. The Race to Field Military Autonomy Is On, Can Trusted Information Infrastructure Keep Pace? - feeds.feedburner.com
4. Armenia Detains Russian Tourist on U.S. Warrant for REvil Hacker, Lawyers Say Wrong Man - feeds.feedburner.com
5. ACR Stealer Uses ClickFix Lures to Steal Browser Tokens and Microsoft 365 Files - feeds.feedburner.com
6. New GoSerpent Malware Targets Southeast Asian Governments and Diplomats for Espionage - feeds.feedburner.com
7. CISA Adds Exploited SharePoint RCE Zero-Day CVE-2026-58644 to KEV - feeds.feedburner.com
8. CISA Cybersecurity Advisories - CISA
9. National Vulnerability Database - NIST
10. Microsoft Security Response Center - Microsoft
11. Google Online Security Blog - Google
12. New wp2shell WordPress Core Flaw Lets Unauthenticated Attackers Run Code - feeds.feedburner.com
13. OpenSSL HollowByte Flaw Could Freeze Server Memory with 11-Byte TLS Requests - feeds.feedburner.com
14. Seven Malicious Vite npm Packages Use Blockchain C2 to Deliver a RAT - feeds.feedburner.com
15. New NadMesh Botnet Hunts Exposed AI Services for Cloud Keys and Kubernetes Tokens - feeds.feedburner.com
16. GoldenEyeDog Subgroup Linked to DigiCert Breach and Code-Signing Certificate Theft - feeds.feedburner.com

마지막 업데이트: 2026-07-17T23:13:43.114Z