2026년, Oracle PeopleSoft PeopleTools에 영향을 미치는 치명적인 제로데이 취약점 CVE-2026-35273이 공개되었으며, 실제 공격에 악용되고 있는 것으로 확인되었다. Oracle PeopleSoft는 인사, 재무, 학생 정보 시스템, 공급망 관리 등을 지원하는 엔터프라이즈 애플리케이션 제품군으로, 대기업과 정부기관, 교육기관의 핵심 인프라로 폭넓게 사용된다.
이번 취약점은 단순한 설정 오류나 취약한 비밀번호 정책에서 비롯된 문제가 아니다. 핵심 원인은 영향을 받는 PeopleSoft PeopleTools 버전에 인증되지 않은 원격 공격자가 별도의 자격 증명 없이 호스트 시스템에서 임의 코드를 실행할 수 있는 결함이 존재한다는 점이다. PeopleSoft 인터페이스가 인터넷에 노출된 경우, 공격자는 외부에서 접근 가능한 관리 및 통합 엔드포인트를 통해 취약점을 직접 악용할 수 있다.
본 글에서는 CVE-2026-35273의 기술적 원인과 공격 흐름을 살펴보고, Criminal IP Asset Search를 통해 외부에 노출된 PeopleSoft 자산이 어떠한 공격 대상 영역을 형성하는지 분석한다.
CVE-2026-35273: Oracle PeopleSoft 취약점 개요
| 항목 | 내용 |
|---|---|
| 취약점 ID | CVE-2026-35273 |
| 영향 제품 | Apache Solr |
| 영향 버전 | PeopleTools 8.61, 8.62 |
| 취약점 유형 | 하드코딩된 인증 정보 / 안전하지 않은 기본 초기화 |
| CVSS 점수 | 9.8 (Critical) |
| 악용 현황 | 실제 공격에서 활발하게 악용 중 |
| 알려진 위협 행위자 | ShinyHunters 갈취 그룹 |
CVE-2026-35273은 Oracle PeopleSoft Enterprise PeopleTools에서 발생하는 치명적인 제로데이 취약점으로, 인증되지 않은 원격 코드 실행을 가능하게 한다. 유효한 자격 증명이나 높은 권한을 요구하는 취약점과 달리, 이 취약점은 외부에 노출된 PeopleSoft 엔드포인트에 접근할 수 있는 네트워크 공격자라면 누구나 악용할 수 있으며 어떠한 인증도 필요하지 않다.
Oracle은 정식 패치를 준비하는 동안 긴급 완화 조치를 공개했다. 이 취약점은 전 세계 기업과 고등교육기관에서 폭넓게 사용되는 PeopleTools 8.61 및 8.62 버전에 영향을 미친다. ShinyHunters 갈취 그룹은 CVE-2026-35273을 중심으로 기존 취약점과 제로데이 취약점을 결합한 가젯 체인을 사용해 100개 이상의 조직에서 300개 인스턴스를 침해했다고 주장하며, 해당 취약점의 실제 악용 사실을 확인했다.
기술적 원인: PeopleSoft 엔드포인트를 통한 인증되지 않은 원격 코드 실행
Oracle PeopleSoft PeopleTools는 내부 애플리케이션 통신, 데이터 교환, 시스템 관리를 지원하는 다양한 통합 및 관리 엔드포인트를 제공한다. 취약한 버전에서는 이러한 엔드포인트가 수신 요청을 처리하기 전에 인증을 강제하지 않아, 원격 공격자가 악성 페이로드를 직접 전송할 수 있다.
실제 공격 활동을 분석한 보안 연구진은 다음 두 개의 엔드포인트가 주요 공격 대상으로 사용된 사실을 확인했다.
- /PSEMHUB/ — PeopleSoft Enterprise Management Hub
- /PSIGW/HttpListeningConnector — PeopleSoft Integration Gateway HTTP Listening Connector
공격 위험은 다음과 같은 흐름으로 전개된다.
- 공격자가 인터넷 전체 스캔을 통해 외부에서 접근 가능한 PeopleSoft 인스턴스를 식별한다.
- 공격자가 인증 없이 취약한 엔드포인트에 조작된 요청을 전송한다.
- 요청이 기반 호스트 시스템에서 원격 코드 실행을 유발한다.
- 공격자가 웹셸과 내부 이동 도구를 배포해 지속성을 확보한다.
- 데이터를 유출한 후 침해 조직에 금전을 요구한다.
PeopleSoft 환경에는 임직원 기록, 재무 데이터, 학생 정보, 급여 시스템 등 조직이 보유한 가장 민감한 정보가 저장되는 경우가 많다. 따라서 단 한 번의 취약점 악용만으로도 조직의 전사적 자원 관리 환경 전체가 노출될 수 있다는 점에서 위험성이 크다.
공격 흐름: 외부에 노출된 PeopleSoft에서 전체 시스템 침해까지
CVE-2026-35273을 악용한 공격은 다음과 같이 진행될 수 있다.
먼저 공격자는 인터넷 전체 스캔을 통해 외부에서 접근 가능한 PeopleSoft 인터페이스를 식별한다. 페이지 제목, HTTP 응답, 서비스 배너는 모두 PeopleSoft 자산을 식별하는 지표로 활용될 수 있다. 특히 “Oracle PeopleSoft” 제목과 “PeopleSoft Sign-in”과 같은 로그인 페이지 제목은 외부에 노출된 관리 인터페이스를 찾는 데 유용하다.
노출된 PeopleSoft 인스턴스를 발견하면 공격자는 별도의 인증 없이 /PSEMHUB/ 및 /PSIGW/HttpListeningConnector 엔드포인트에 조작된 요청을 직접 전송한다. 취약점 악용에 성공하면 호스트 서버에서 원격 코드가 실행된다.
초기 접근 이후 보안 연구진은 위협 행위자가 침해된 인스턴스에서 정찰 활동을 수행하고, PeopleSoft 및 WebLogic 구성을 파악하며, 탈취하거나 하드코딩된 자격 증명을 이용하는 스크립트를 통해 내부 시스템으로 이동한 정황을 확인했다. 또한 정상적인 클라우드 서비스로 위장한 공격자 제어 인프라와 통신하기 위해 맞춤형 원격 관리 에이전트가 배포되었다.
마지막으로 공격자는 데이터를 압축해 외부 스테이징 서버로 유출한 후 금전을 요구한다. ShinyHunters 그룹은 해당 캠페인의 배후를 자처하며, 이 공격 체인을 통해 100개 이상의 조직에서 300개 인스턴스를 침해했다고 주장했다.
Criminal IP IT Asset Search로 확인한 인터넷 노출 PeopleSoft 자산
Oracle PeopleSoft는 일반적으로 VPN이나 기업 네트워크 접근 제어를 통해서만 접근할 수 있는 내부 또는 제한된 엔터프라이즈 네트워크에서 운영되는 것을 전제로 한다. 그러나 실제 환경에서는 잘못 구성된 리버스 프록시, 클라우드 배포 설정 누락, 네트워크 수준의 접근 제어 부재로 인해 PeopleSoft 인터페이스가 외부에 노출되기도 한다.
Criminal IP IT Asset Search에서는 다음 쿼리를 사용해 외부에서 접근 가능한 PeopleSoft 자산을 식별했다.
title: Oracle PeopleSoft 검색 결과
Criminal IP 검색 쿼리: title: Oracle PeopleSoft
2026년 6월 기준, 해당 쿼리를 통해 외부에서 접근 가능한 자산 총 468건이 확인되었다. 이는 상당수의 Oracle PeopleSoft 인터페이스가 여전히 인터넷에서 검색 가능한 상태로 남아 있음을 보여준다. title: Oracle PeopleSoft 쿼리는 모듈이나 구성에 관계없이 외부에 노출된 PeopleSoft 환경을 식별하는 데 활용할 수 있다.
다만 검색된 모든 자산이 CVE-2026-35273에 취약하다는 의미는 아니다. 실제 취약 여부는 운영 중인 PeopleTools 버전과 긴급 완화 조치 적용 여부 등에 따라 달라진다.
그럼에도 외부에서 접근할 수 있는 PeopleSoft 인터페이스가 존재한다는 사실 자체가 공격자에게 버전 식별, 엔드포인트 구성 분석, CVE-2026-35273 악용 시도의 기회를 제공한다. 따라서 이 검색 결과는 확인된 취약 시스템의 수가 아니라, 공격자가 외부에서 식별하고 접근할 수 있는 PeopleSoft 관리 인터페이스의 규모를 나타내는 지표로 해석해야 한다.
title: PeopleSoft Sign-in 검색 결과
Criminal IP 검색 쿼리: title: PeopleSoft Sign-in
외부에 노출된 PeopleSoft 인증 페이지만을 대상으로 검색하면 전체 결과 중 직접적인 공격 가능성이 높은 자산군을 식별할 수 있다. 이는 로그인 인터페이스와 그 뒤에 위치한 취약한 엔드포인트가 별도의 네트워크 보호 없이 인터넷에서 직접 접근 가능한 인스턴스에 해당한다.
해당 쿼리를 기준으로 2026년 6월 현재 외부에서 접근 가능한 PeopleSoft 인증 인터페이스 84건이 확인되었다. CVE-2026-35273의 관점에서 이러한 자산은 가장 명확하고 직접적인 공격 대상 영역을 형성한다. 인증되지 않은 공격자는 별도의 네트워크 접근 단계를 거치지 않고, 노출된 인터페이스를 통해 취약한 /PSEMHUB/ 및 /PSIGW/HttpListeningConnector 엔드포인트에 직접 접근할 수 있다.
미국에서 확인된 잠재적 노출 자산
Criminal IP 검색 쿼리: title: PeopleSoft country: US
노출 자산의 국가별 분포는 이번 캠페인에서 특히 중요한 의미를 가진다. 보안 연구진은 침해된 조직의 대부분이 미국에 위치했으며, 이 중 68%가 고등교육기관인 것으로 확인했다. 대학과 전문대학에서 운영하는 PeopleSoft는 기관별로 수만 명에 달하는 학생의 학적 정보, 재정 지원 데이터, 교직원 개인정보를 관리한다.
미국에 위치한 인스턴스로 검색 범위를 제한한 결과, 미국 내에서 외부에 노출된 PeopleSoft 자산 99건이 확인되었다. 이 중 10건은 인증 로그인 페이지를 인터넷에 직접 노출하고 있었다. ShinyHunters가 미국 교육기관을 실제 공격 대상으로 삼았다는 점을 고려하면, 해당 자산은 검색 결과 중 즉각적인 악용 가능성이 가장 높은 대상에 해당한다.
외부에 노출된 PeopleSoft 인터페이스의 보안 위험
외부에 노출된 PeopleSoft 인터페이스는 단순히 인터넷에서 보이는 로그인 페이지에 그치지 않는다. PeopleSoft는 인사, 재무, 학사 관리 등 조직의 핵심 운영 영역과 긴밀하게 연결되어 있기 때문에, 침해에 성공할 경우 일반적인 웹 애플리케이션 침해보다 훨씬 큰 피해로 이어질 수 있다.
공격자가 CVE-2026-35273을 통해 접근 권한을 확보할 경우 다음과 같은 주요 위험이 발생할 수 있다.
민감한 조직 데이터 접근: PeopleSoft 환경에는 임직원 기록, 급여 데이터, 금융 거래 정보, 학생 정보, 의료 데이터가 저장될 수 있다. 관리 권한이 탈취되면 대규모 개인정보 및 조직 기밀 데이터가 유출되거나 금전 요구에 악용될 수 있다.
내부 시스템으로의 이동: 공격자는 침해된 PeopleSoft 인스턴스를 이용해 WebLogic 구성을 파악하고, 탈취하거나 하드코딩된 자격 증명으로 내부 시스템을 이동할 수 있다. 이로 인해 침해 범위가 최초 진입 지점을 넘어 조직 내부 전반으로 확대될 수 있다.
웹셸 배포를 통한 지속성 확보: 위협 행위자는 WebLogic 애플리케이션 디렉터리에 JSP 웹셸 파일을 배포하고 XML 구성 파일을 변경해 지속적인 접근 권한을 유지하며, 시스템 재시작 이후에도 원격 코드 실행이 가능하도록 구성한 것으로 확인되었다. 따라서 최초 취약점을 패치하더라도 이미 침해된 환경에는 공격자의 지속성 수단이 남아 있을 수 있다.
핵심 업무 중단: PeopleSoft 시스템은 급여 처리, 재무 보고, 학생 등록, 인사 업무를 지원한다. 랜섬웨어 배포나 데이터 파괴로 시스템이 중단될 경우 심각한 운영 장애와 평판 피해가 발생할 수 있다.
내부 인프라 정보 노출: PeopleSoft 구성에는 내부 호스트명, 통합 엔드포인트, 저장 경로, 인증 설정 등이 포함될 수 있다. 공격자는 이를 이용해 내부 환경을 파악하고 연결된 시스템을 대상으로 후속 공격 경로를 식별할 수 있다.
패치 현황 및 대응 방안
Oracle은 CVE-2026-35273의 정식 패치를 준비하는 동안 긴급 완화 조치를 공개했다. 조직은 정식 패치가 제공될 때까지 기다리지 말고 즉시 대응해야 한다.
다음 항목을 우선적으로 점검할 필요가 있다.
- 운영, 개발, 테스트, 클라우드 환경을 포함한 모든 환경에서 PeopleTools 8.61 또는 8.62가 사용되고 있는지 확인한다.
- 방화벽, VPN, 접근 제어 정책을 통해 PeopleSoft 엔드포인트, 특히
/PSEMHUB/및/PSIGW/HttpListeningConnector에 대한 외부 접근을 즉시 제한한다. - 취약한 엔드포인트를 대상으로 한 의심스러운 요청이 존재하는지 서버 로그를 검토한다.
- WebLogic 애플리케이션 디렉터리에 예상하지 못한 JSP 웹셸 파일이 존재하는지 확인한다.
- PSEMHUB 트랜잭션 폴더에 승인되지 않은 파일이나 바이너리가 저장되어 있는지 점검한다.
- 의심스러운 디렉터리와 최근 변경된 XML 파일을 확인한다.
- Oracle의 긴급 완화 조치를 즉시 적용하고, 정식 패치 공개 여부를 지속적으로 모니터링한다.
- 침해가 확인되었거나 의심되는 경우 Oracle 지원팀 또는 전문 침해사고 대응팀에 지원을 요청한다. 이미 침해된 시스템에 패치만 적용하는 것으로는 공격자의 지속성 수단을 제거할 수 없다.
FAQ
Q1. PeopleSoft 인터페이스가 인터넷에서 보인다면 CVE-2026-35273에 취약하다는 의미인가요?
반드시 그렇지는 않습니다. 실제 취약 여부는 사용 중인 PeopleTools 버전과 긴급 완화 조치 적용 여부에 따라 달라집니다. 그러나 인터넷에서 접근 가능한 PeopleSoft 인터페이스는 공격자가 시스템을 식별하고 공격 대상으로 선정하기 쉽게 만듭니다. 따라서 패치 상태와 관계없이 외부 노출은 중요한 위험 요인으로 평가해야 합니다.
Q2. PeopleSoft 시스템에서 로그인을 요구한다면 안전한가요?
반드시 그렇지는 않습니다. CVE-2026-35273은 인증되지 않은 원격 코드 실행을 가능하게 하므로, 공격자는 로그인 페이지와 상호작용하지 않고도 백엔드 통합 엔드포인트를 통해 취약점을 악용할 수 있습니다. 로그인 화면이 존재한다는 사실만으로 취약점 악용을 방지할 수는 없습니다.
Q3. 교육기관이라면 이번 취약점을 우선적으로 대응해야 하나요?
즉시 우선 대응해야 합니다. 보안 연구진은 침해된 조직의 68%가 고등교육기관인 것으로 확인했으며, 대학과 전문대학은 실제 공격에서 주요 표적이 되고 있습니다. PeopleTools 8.61 또는 8.62를 운영하는 교육기관은 이번 취약점을 긴급한 보안 사안으로 다뤄야 합니다.
Q4. 조직이 가장 먼저 해야 할 조치는 무엇인가요?
먼저 인터넷에서 접근 가능한 PeopleSoft 인터페이스가 존재하는지 확인해야 합니다. 이후 취약한 엔드포인트에 대한 외부 접근을 즉시 제한하고, Oracle의 긴급 완화 조치를 적용해야 합니다. 동시에 로그와 서버를 점검해 침해 지표가 존재하는지 확인해야 합니다.
결론
CVE-2026-35273은 기업 로그인 페이지 뒤에 위치한 엔터프라이즈 애플리케이션 플랫폼이라도 적절한 네트워크 수준의 통제 없이 인터넷에 노출될 경우 치명적인 공격 대상 영역으로 전환될 수 있음을 보여준다.
Criminal IP IT Asset Search를 통해 외부에서 접근 가능한 Oracle PeopleSoft 자산 468건이 확인되었으며, 이 중 93건은 인증 인터페이스를 직접 노출하고 있고 99건은 미국에 위치한 것으로 나타났다. 이는 상당수의 PeopleSoft 환경이 인터넷에서 여전히 식별 가능하며 공격자의 접근 대상이 될 수 있음을 보여준다.
ShinyHunters는 CVE-2026-35273을 이용해 100개 이상의 조직에서 300개 인스턴스를 이미 침해했다고 주장했다. 이는 이번 사안의 긴급성을 보여준다. 다만 본 글에서 확인한 모든 노출 자산이 침해되었다는 의미는 아니다.
그러나 외부에 노출된 PeopleSoft 인터페이스는 공격자에게 취약점 악용을 위한 직접적인 출발점을 제공한다. 특히 CVE-2026-35273은 별도의 인증 없이 악용할 수 있어 공격 진입 장벽이 매우 낮다.
조직은 알려진 운영 PeopleSoft 서버만을 점검 대상으로 제한해서는 안 된다. 클라우드 배포 환경, 개발 시스템, 테스트 시스템, 레거시 설치 환경을 포함한 전체 자산의 외부 노출 여부를 확인해야 한다.
실제 취약 여부가 확인되지 않았더라도 인터넷에서 접근 가능한 모든 PeopleSoft 인터페이스는 우선적인 조치 대상으로 분류하는 것이 바람직하다. 공격자는 이미 취약한 자산을 스캔하고 악용하고 있으며, 방어자는 공격자보다 먼저 조직의 공격 대상 영역을 파악해야 한다.
관련하여 SonicWall SSL-VPN MFA 우회 취약점: 패치 완료와 보호 완료 사이의 공격 표면 글을 참고할 수 있다.
Criminal IP (criminalip.io/ko/register) 에 가입하면 즉시 취약 자산 탐지를 시작할 수 있습니다. 또한 아래 버튼을 통해 데모를 요청하고, 엔터프라이즈 환경에서 외부에 노출된 자산을 대상으로 한 Criminal IP의 위협 인텔리전스(TI) 분석을 직접 확인해 보세요.
이 리포트는 AI기반 사이버 위협 인텔리전스 검색엔진 Criminal IP의 데이터를 바탕으로 작성되었습니다. 지금 바로 Criminal IP 무료 계정을 생성하면 리포트에 인용된 검색 결과를 직접 확인하거나, 더 방대한 위협 인텔리전스를 자유롭게 검색할 수 있습니다.
출처: Criminal IP(https://www.criminalip.io), BleepingComputer(https://www.bleepingcomputer.com/news/security/oracle-mitigates-peoplesoft-zero-day-exploited-in-data-theft-attacks/), Digital Today(https://www.digitaltoday.co.kr/en/view/62607/oracle-warns-of-peoplesoft-zero-day-flaw-hacking-group-claims-over-100-organisations-breached)