보안 · 2026년 10월 31일
다른 언어로도 게시됨 Português (Brasil)
ShinyHunters가 악용한 Oracle PeopleSoft 제로데이 취약점, 세 가지 결함의 연쇄 작용으로 밝혀져
ShinyHunters가 5월부터 악용해 온 Oracle PeopleSoft의 심각한 버그가 단일 결함이 아니라 서로 연결된 세 가지 취약점의 연쇄 작용인 것으로 밝혀졌습니다. 이번 분석 결과는 해당 결함을 Oracle에 보고한 Zero Day Initiative 연구원들에 의해 이번 주에 공개되었습니다.
Oracle은 6월에 CVE-2026-35273라는 단일 식별자 아래 이 세 가지 취약점을 모두 수정했습니다. 이 문제의 근본 원인은 서버 측 요청 위조로, PeopleSoft가 기본적으로 자체 루프백 주소를 신뢰하기 때문에 내부 관리 인터페이스에 접근할 수 있게 됩니다. 이를 통해 공격자는 로그인 없이도 원격 코드 실행이 가능해집니다.
Zero Day Initiative는 두 개의 PeopleSoft 구성 요소에서 세 가지 별개의 취약점을 발견하여 보고했으며, 각 취약점에 개별 식별자를 할당하기 위해 Oracle과 협력하고 있다고 밝혔습니다. 하지만 이번 주 현재까지는 6월에 부여된 식별자 하나만 기록에 남아 있는 상태입니다.
해당 취약점은 PeopleSoft Enterprise PeopleTools 버전 8.61 및 8.62에 영향을 미치며, CVSS 점수는 9.8점입니다. 인증되지 않은 공격자가 네트워크를 통해 서버를 장악할 수 있게 하며, CISA의 알려진 악용 취약점 목록에 포함되어 있습니다. Oracle은 6월 10일에 긴급 보안 경고를 통해 수정 패치를 배포했습니다.
공격자들은 패치 배포 전부터 이 취약점을 이용했습니다. Mandiant와 Google Threat Intelligence Group은 UNC6240으로 알려진 ShinyHunters가 5월 27일부터 6월 9일 사이에 주로 대학을 대상으로 이 결함을 악용했다고 분석했습니다. 이는 Oracle의 권고안이 나오기 전의 활동이므로 제로데이 공격에 해당합니다. 이후 9월에는 교육 분야를 넘어 기술, IT 서비스, 의료, 농업, 운송, 정부 기관 등 전 세계 수십 개의 시스템으로 공격 범위가 확대된 더 큰 규모의 공격 파동이 보고되었습니다.
기술적으로는 Integration Gateway의 서버 측 요청 위조 결함과 Environment Management Hub의 신뢰 확인 메커니즘 부재가 결합되었습니다. 공격자는 Integration Gateway를 통해 요청을 보내고, 이를 루프백 주소인 127.0.0.1로 유도하여 내부 관리 인터페이스의 신뢰 확인을 통과합니다. 이후 로그 항목 작성 명령을 남용해 웹 셸을 심거나, 악성 XML 파일을 작성하여 서비스 시작 시 코드가 실행되도록 만드는 두 가지 방식으로 코드 실행을 달성합니다.
Mandiant는 ShinyHunters가 URL 인코딩을 사용하여 웹 애플리케이션 방화벽 규칙을 우회한 사례를 발견했습니다. 공격자들은 /PSEMHUB/ 경로 대신 /%50SEMHUB/를 요청했으며, 방화벽은 이를 차단하지 못했지만 PeopleSoft 서버는 이를 디코딩하여 페이지를 제공했습니다.