확인된 사실
2026년 9월 25일, Google Threat Intelligence와 Mandiant는 Oracle PeopleSoft Environment Management Hub(PSEMHUB)의 인증 없는 원격 코드 실행 취약점 CVE-2026-35273(CVSS 9.8)의 새로운 대규모 악용을 보고했습니다.
경과:
- 구글이 ShinyHunters와 연결하는 UNC6240이 5월 27일부터 제로데이로 악용
- Oracle이 6월 10일 긴급 패치를 배포
- 9월의 새로운 공격은 WAF 규칙으로 엔드포인트만 막고 패치를 안 한 조직을 노림
수법: /PSEMHUB/ 대신 /%50SEMHUB/를 요청합니다. 경로를 그대로 비교하는 WAF 규칙은 통과하고, PeopleSoft 서버는 %50을 P로 되돌려 취약한 서블릿에 도달합니다.
주장(미확인)
9월 22일 ShinyHunters는 FBIJobs.gov 페이지를 변조하고 2~3TB를 훔쳤다고 주장하며 같은 취약점(과 알려지지 않은 다른 결함)을 썼다고 했습니다. FBI는 무단 활동을 조사 중이며 침입 지점과 데이터 유출을 확인하지 않았습니다. 구글 조사는 FBI를 피해자로 지목하지 않았습니다.
왜 중요한가
WAF 규칙은 패치가 아닙니다. "임시 완화"에는 만료일과 지속적인 검증이 필요합니다.
지금 할 일
- PeopleSoft를 쓰면 6월 10일 패치를 적용하고 WAF에만 의존하지 마세요.
- 로그에서
/%50SEMHUB/요청을 찾으세요. - FBI 관련 주장은 기관이 확인하기 전까지 미확인으로 다루세요.