CVE-2026-56164 취약점 확인 및 조치방법

CVE-2026-56164가 SharePoint Server Farm, STS/WSSLOC, 언어팩, 서비스 애플리케이션 또는 IIS/WFE 역할에 해당되는지 서버별 설치·구성 상태를 확인합니다. SharePoint 취약점은 Windows OS KB만으로 판단하지 않고 SharePoint Server build, STS/WSSLOC, 언어팩, Farm 서버별 patch status를 함께 확인합니다. 한 서버의 설치 완료 또는 Windows Update 성공만으로 Farm 전체 조치 완료 처리하지 않습니다. Product Configuration Wizard 또는 PSConfig가 필요한 업데이트는 설치 후 구성 DB·서비스 애플리케이션 DB 업그레이드 완료 여부를 확인해야 합니다.

# SharePoint Management Shell을 관리자 권한으로 실행합니다.
# Farm 전체 build와 제품 설치 상태를 확인합니다.
(Get-SPFarm).BuildVersion
Get-SPProduct -Local

# Farm 서버와 역할을 확인합니다.
Get-SPServer | Format-Table Name,Role,Status -Auto

# 중앙관리에서 확인:
# Central Administration > Upgrade and Migration > Check product and patch installation status
# Central Administration > Upgrade and Migration > Review database status

# Microsoft SharePoint updates 목록에서 CVE-2026-56164 관련 KB, STS/WSSLOC, 언어팩, build number를 확인합니다.
# 설치된 Windows KB만 보지 말고 SharePoint Farm build와 서버별 patch status를 함께 대조합니다.

예상 결과

영향 가능 예시: SharePoint 업데이트가 일부 서버 또는 구성 DB에만 반영됐을 수 있습니다. Farm 전체 조치가 필요합니다. / 버전 기준 통과 예시: Farm build와 서버별 patch status가 수정 기준을 충족하는 완료 후보입니다. DB 업그레이드와 서비스 상태를 추가 확인합니다.

판정·성공 기준

SharePoint 업데이트가 일부 서버 또는 구성 DB에만 반영됐을 수 있습니다. Farm 전체 조치가 필요합니다. Farm build와 서버별 patch status가 수정 기준을 충족하는 완료 후보입니다. DB 업그레이드와 서비스 상태를 추가 확인합니다.

기준 불충족 시

Microsoft SharePoint updates 목록에서 해당 월의 KB와 build number를 확인합니다. Farm 서버별 역할, 업데이트 설치 상태, 구성 마법사 실행 필요 여부를 기록합니다. 업데이트 전 SQL 백업, farm backup, WSP/customization, 검색 크롤, IIS 영향도를 확인합니다.

MSRC/KB에 명시된 Mitigation 또는 Workaround가 있을 때만 공식 임시완화로 표시합니다.

예상 결과

외부 노출과 취약 기능의 공격 가능성이 감소합니다.

판정·성공 기준

임시 차단·접근 제한·기능 제한 적용 여부 확인

기준 불충족 시

정식 패치 전까지 관리망·VPN·방화벽 등 상위 통제에서 노출을 추가로 제한합니다.

IIS 차단, 사이트 접근 제한, WAF/프록시 정책, 특정 서비스 중지는 위험 완화일 수 있으나 SharePoint 보안 업데이트와 구성 DB 업그레이드를 대체하지 않습니다.

예상 결과

외부 노출과 취약 기능의 공격 가능성이 감소합니다.

판정·성공 기준

임시 차단·접근 제한·기능 제한 적용 여부 확인

기준 불충족 시

정식 패치 전까지 관리망·VPN·방화벽 등 상위 통제에서 노출을 추가로 제한합니다.

Farm 환경에서는 한 서버의 Windows Update 설치만으로 완료 처리하지 말고 전체 WFE/App/Search 서버와 DB 업그레이드 상태를 확인합니다.

예상 결과

외부 노출과 취약 기능의 공격 가능성이 감소합니다.

판정·성공 기준

임시 차단·접근 제한·기능 제한 적용 여부 확인

기준 불충족 시

정식 패치 전까지 관리망·VPN·방화벽 등 상위 통제에서 노출을 추가로 제한합니다.

CISA KEV 요구조치: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

예상 결과

외부 노출과 취약 기능의 공격 가능성이 감소합니다.

판정·성공 기준

임시 차단·접근 제한·기능 제한 적용 여부 확인

기준 불충족 시

정식 패치 전까지 관리망·VPN·방화벽 등 상위 통제에서 노출을 추가로 제한합니다.

공식 수정 기준: Microsoft SharePoint Enterprise Server 2016, Microsoft SharePoint Server 2019, Microsoft SharePoint Server Subscription Edition 16.0.19725.20434

예상 결과

외부 노출과 취약 기능의 공격 가능성이 감소합니다.

판정·성공 기준

임시 차단·접근 제한·기능 제한 적용 여부 확인

기준 불충족 시

정식 패치 전까지 관리망·VPN·방화벽 등 상위 통제에서 노출을 추가로 제한합니다.

위 임시 완화는 제품 특성을 반영한 운영상 완화책이며, 공식 Workaround가 아닌 경우 시큐포커스 의견으로 구분해 적용합니다.

예상 결과

외부 노출과 취약 기능의 공격 가능성이 감소합니다.

판정·성공 기준

임시 차단·접근 제한·기능 제한 적용 여부 확인

기준 불충족 시

정식 패치 전까지 관리망·VPN·방화벽 등 상위 통제에서 노출을 추가로 제한합니다.

관리자·원격관리 인터페이스를 내부망 또는 허용 IP로 제한하고 외부 노출을 제거합니다.

예상 결과

외부 노출과 취약 기능의 공격 가능성이 감소합니다.

판정·성공 기준

임시 차단·접근 제한·기능 제한 적용 여부 확인

기준 불충족 시

정식 패치 전까지 관리망·VPN·방화벽 등 상위 통제에서 노출을 추가로 제한합니다.

성공 로그인, 실패 로그인, 세션 발급, 토큰 재발급 로그에서 비정상 IP·User-Agent·시간대·계정을 확인합니다.

예상 결과

외부 노출과 취약 기능의 공격 가능성이 감소합니다.

판정·성공 기준

임시 차단·접근 제한·기능 제한 적용 여부 확인

기준 불충족 시

정식 패치 전까지 관리망·VPN·방화벽 등 상위 통제에서 노출을 추가로 제한합니다.

인증 우회 특성상 우선 노출면을 줄이고 관련 로그를 집중 확인합니다.

예상 결과

외부 노출과 취약 기능의 공격 가능성이 감소합니다.

판정·성공 기준

임시 차단·접근 제한·기능 제한 적용 여부 확인

기준 불충족 시

정식 패치 전까지 관리망·VPN·방화벽 등 상위 통제에서 노출을 추가로 제한합니다.

Microsoft SharePoint 업데이트 목록과 MSRC/KB에서 CVE-2026-56164 수정 KB를 확인한 뒤 Farm 단위로 설치하고, 필요한 경우 SharePoint Products Configuration Wizard 또는 PSConfig를 완료합니다. SharePoint 업데이트는 설치 단계와 구성 단계가 분리될 수 있으며, 설치만으로 완료가 아닐 수 있습니다. Product Configuration Wizard/PSConfig는 구성 DB와 서비스 애플리케이션 DB 업그레이드를 수행하므로 실행 중 사이트 이용 불가가 발생할 수 있습니다. Farm 서버 간 패치 수준이 다르면 검색, Timer Service, 중앙관리, 사이트 기능에 장애가 생길 수 있습니다.

# CVE-2026-56164의 공식 수정 기준은 Microsoft SharePoint Enterprise Server 2016, Microsoft SharePoint Server 2019, Microsoft SharePoint Server Subscription Edition 16.0.19725.20434 입니다.
# 1) Microsoft SharePoint updates 목록과 MSRC/KB에서 대상 버전, KB, STS/WSSLOC, 언어팩을 확인합니다.
# 2) SQL 백업, farm backup, 검색/Timer Job/IIS 영향, 롤백 계획, 작업 공지를 확보합니다.
# 3) Farm 서버별로 Microsoft 공식 업데이트 파일을 설치합니다.

# 설치 후 필요 시 SharePoint Products Configuration Wizard 또는 PSConfig를 실행합니다.
# 예시: 실제 운영에서는 Microsoft 문서와 조직 절차에 맞춰 실행합니다.
PSConfig.exe -cmd upgrade -inplace b2b -wait -force

# 구성 후 중앙관리에서 patch installation status와 database status를 확인합니다.

예상 결과

정상 예시: 업데이트 설치와 구성 업그레이드가 완료됐습니다. Farm 상태와 서비스 동작을 검증합니다. / 중단 예시: 구성 DB 또는 서비스 DB 업그레이드가 완료되지 않았습니다. 완료 처리하지 않고 오류 로그와 복구 절차를 확인합니다.

판정·성공 기준

업데이트 설치와 구성 업그레이드가 완료됐습니다. Farm 상태와 서비스 동작을 검증합니다. 구성 DB 또는 서비스 DB 업그레이드가 완료되지 않았습니다. 완료 처리하지 않고 오류 로그와 복구 절차를 확인합니다.

기준 불충족 시

업데이트 설치 로그와 PSConfig 로그를 저장합니다. 중앙관리 Upgrade and Migration 화면에서 서버별 patch status와 database status를 확인합니다. WFE/App/Search 서버별 IIS, SPTimerV4, Search Service 상태를 검증합니다.

조치 후 Farm build, 서버별 patch status, database upgrade 상태, IIS/WFE, Timer Service, Search, 이벤트 로그를 확인합니다. Farm build가 수정 기준이어도 DB status, PSConfig, 서비스 오류, 사이트 접속 장애가 남아 있으면 완료가 아닙니다. 다중 서버 Farm은 모든 서버의 patch status와 role 상태를 확인해야 합니다. 사용자 정의 솔루션, 웹파트, 검색 크롤, Timer Job 장애 여부를 조치 후 점검합니다.

# Farm build와 서버별 상태를 다시 확인합니다.
(Get-SPFarm).BuildVersion
Get-SPProduct -Local
Get-SPServer | Format-Table Name,Role,Status -Auto

# 핵심 서비스 상태를 확인합니다.
Get-Service SPTimerV4,W3SVC,SPAdminV4 -ErrorAction SilentlyContinue | Select-Object Name,Status,StartType

# 최근 SharePoint/IIS/PSConfig 오류를 확인합니다.
Get-WinEvent -FilterHashtable @{ LogName='Application'; StartTime=(Get-Date).AddHours(-2); Level=2,3 } | Where-Object { $_.ProviderName -match 'SharePoint|IIS|ASP.NET|MsiInstaller' -or $_.Message -match 'SharePoint|PSConfig|SPTimer|login|authentication|token|session' } | Select-Object -First 50 TimeCreated, ProviderName, Id, Message

# 중앙관리에서 Database status와 Product and patch installation status를 최종 확인합니다.

예상 결과

정상 예시: Farm build, DB upgrade, 주요 서비스가 정상입니다. 대표 사이트 접속과 검색 기능까지 확인한 뒤 완료 처리합니다. / 완료 처리 금지 예시: DB 업그레이드 또는 구성 오류가 남아 있습니다. 완료 처리하지 않습니다.

판정·성공 기준

Farm build, DB upgrade, 주요 서비스가 정상입니다. 대표 사이트 접속과 검색 기능까지 확인한 뒤 완료 처리합니다. DB 업그레이드 또는 구성 오류가 남아 있습니다. 완료 처리하지 않습니다.

기준 불충족 시

대표 사이트/중앙관리/검색/문서 업로드 테스트 결과를 증적으로 저장합니다. PSConfig 로그, 이벤트 로그, 중앙관리 patch status 화면을 조치 전후로 보관합니다. 언어팩 또는 WSSLOC 누락이 있으면 별도 보완 조치로 분리합니다.

SharePoint Server Subscription Edition/2019/2016 버전, farm topology, WFE/App/Search 서버, MinRole, 중앙관리 사이트 상태를 확인합니다.

예상 결과

비정상 접근·변조·계정·프로세스·외부 통신 흔적의 존재 여부를 판단합니다.

판정·성공 기준

점검 결과와 보존 로그를 기록하고 의심 징후가 없음을 확인

기준 불충족 시

의심 징후가 있으면 단순 패치 완료로 종료하지 않고 침해사고 대응 절차로 전환합니다.

Microsoft SharePoint updates 목록에서 해당 월의 STS/WSSLOC, 언어팩, KB, build number를 확인합니다.

예상 결과

비정상 접근·변조·계정·프로세스·외부 통신 흔적의 존재 여부를 판단합니다.

판정·성공 기준

점검 결과와 보존 로그를 기록하고 의심 징후가 없음을 확인

기준 불충족 시

의심 징후가 있으면 단순 패치 완료로 종료하지 않고 침해사고 대응 절차로 전환합니다.

Get-SPFarm.BuildVersion, 중앙관리 Upgrade and Migration, Get-SPProduct -Local, psconfig 결과로 서버별 설치·구성 완료 상태를 확인합니다.

예상 결과

비정상 접근·변조·계정·프로세스·외부 통신 흔적의 존재 여부를 판단합니다.

판정·성공 기준

점검 결과와 보존 로그를 기록하고 의심 징후가 없음을 확인

기준 불충족 시

의심 징후가 있으면 단순 패치 완료로 종료하지 않고 침해사고 대응 절차로 전환합니다.

업데이트 전 farm backup, SQL backup, customization/solution(WSP), search crawl, timer job, IIS reset/reboot 영향, 유지보수 창을 확인합니다.

예상 결과

비정상 접근·변조·계정·프로세스·외부 통신 흔적의 존재 여부를 판단합니다.

판정·성공 기준

점검 결과와 보존 로그를 기록하고 의심 징후가 없음을 확인

기준 불충족 시

의심 징후가 있으면 단순 패치 완료로 종료하지 않고 침해사고 대응 절차로 전환합니다.

Product Configuration Wizard/PSConfig는 구성 DB와 서비스 애플리케이션 DB 업그레이드를 수행하므로 실행 중 사이트 이용 불가가 발생할 수 있습니다.

예상 결과

비정상 접근·변조·계정·프로세스·외부 통신 흔적의 존재 여부를 판단합니다.

판정·성공 기준

점검 결과와 보존 로그를 기록하고 의심 징후가 없음을 확인

기준 불충족 시

의심 징후가 있으면 단순 패치 완료로 종료하지 않고 침해사고 대응 절차로 전환합니다.

취약한 로그인·SSO·API 토큰·관리자 경로와 인증 전후 권한 경계를 확인합니다.

예상 결과

비정상 접근·변조·계정·프로세스·외부 통신 흔적의 존재 여부를 판단합니다.

판정·성공 기준

점검 결과와 보존 로그를 기록하고 의심 징후가 없음을 확인

기준 불충족 시

의심 징후가 있으면 단순 패치 완료로 종료하지 않고 침해사고 대응 절차로 전환합니다.

관리자 노출 경로, 비정상 로그인 점검, 세션·토큰 폐기 기록과 권한별 접근 테스트를 남깁니다.

예상 결과

비정상 접근·변조·계정·프로세스·외부 통신 흔적의 존재 여부를 판단합니다.

판정·성공 기준

점검 결과와 보존 로그를 기록하고 의심 징후가 없음을 확인

기준 불충족 시

의심 징후가 있으면 단순 패치 완료로 종료하지 않고 침해사고 대응 절차로 전환합니다.

가이드의 명령어·패키지명·화면 경로가 실제 운영 환경과 다르면 그대로 실행하지 말고 공급사 최신 공식 문서를 기준으로 다시 확인하며, 확인한 차이점을 조치 기록에 남깁니다.

예상 결과

비정상 접근·변조·계정·프로세스·외부 통신 흔적의 존재 여부를 판단합니다.

판정·성공 기준

점검 결과와 보존 로그를 기록하고 의심 징후가 없음을 확인

기준 불충족 시

의심 징후가 있으면 단순 패치 완료로 종료하지 않고 침해사고 대응 절차로 전환합니다.

인터넷 노출 시스템, 비신뢰 사용자가 접근 가능한 시스템, 민감 데이터나 빌드 산출물이 있는 시스템을 우선 조치 대상으로 분류합니다.

예상 결과

비정상 접근·변조·계정·프로세스·외부 통신 흔적의 존재 여부를 판단합니다.

판정·성공 기준

점검 결과와 보존 로그를 기록하고 의심 징후가 없음을 확인

기준 불충족 시

의심 징후가 있으면 단순 패치 완료로 종료하지 않고 침해사고 대응 절차로 전환합니다.