무슨 일이 있었나
2026년 5월 27일부터 6월 9일까지 범죄 조직 ShinyHunters(Mandiant와 Google Threat Intelligence Group의 추적명 UNC6240)가 Oracle PeopleSoft의 제로데이 취약점 CVE-2026-35273을 악용해 100여 개 조직의 300개 이상 인스턴스에 침입했습니다. Oracle은 공격 시작 약 2주 뒤인 6월 10일 긴급 패치와 경고를 발표했습니다.
피해 조직의 약 68%가 고등교육 기관으로, PeopleSoft에는 학생, 장학금, 급여, 인사 데이터가 저장됩니다. 노팅엄 대학교는 재학생·졸업생 약 45만 4,600건의 기록(이름, 주소, 여권 번호, 민족·장애 같은 민감 정보)이 노출됐다고 확인했습니다.
이 글은 6월의 최초 공격을 다룹니다. 9월에는 이 CVE와 관련된 WAF 우회에 대해 별도 글을 게시했습니다.
취약점
- CVSS 9.8, 인증 및 사용자 상호작용 불필요
- PeopleTools 8.61·8.62의 Environment Management(EMHub) 구성 요소에 영향
- 요약: 조작된 HTTP 요청이 PSIGW 게이트웨이를 거쳐 내부 관리 서블릿에 도달(SSRF)하고, 안전하지 않은 Java 역직렬화를 일으켜 서버에서 코드를 실행할 수 있습니다.
공격 방식
Mandiant에 따르면 공격자는 정상 원격 관리 도구인 MeshCentral 서버를 C2로 구축하고 meshagent64-azure-ops.exe 등 Azure 서비스를 흉내 낸 이름의 에이전트를 설치했습니다. 이어 *_fanout.sh 스크립트로 내부 서버에 SSH 자격 증명을 대입하고 랜섬 노트 파일을 남겼습니다. 그다음 "돈을 내거나 데이터가 공개되거나"라는 협박이 이어졌습니다.
대응 방법
- Oracle 패치(6월 10일 경고, 6월 CPU 포함)를 최대한 빨리 적용하세요.
- 당장 어렵다면 EMHub를 비활성화하거나
/PSEMHUB/*와/PSIGW/HttpListeningConnector에 대한 외부 접근을 차단하세요. - 침해 흔적을 점검하세요: MeshCentral 바이너리, 수상한 외부 연결, 랜섬 파일.
- PeopleSoft 서버에 있던 자격 증명과 SSH 키를 교체하세요.
- 유출이 있었다면 법적 신고를 준비하세요(한국은 개인정보보호법에 따른 신고 등).
기업을 위한 교훈
ERP 관리 구성 요소는 인터넷에 노출되면 안 됩니다. VPN이나 신원 확인 기반 접근(제로 트러스트) 뒤에 두었다면 이 공격은 막을 수 있었습니다. 또한 노출된 시스템의 치명적 취약점에는 24~72시간의 긴급 패치 창구가 필요합니다.
출처
- Cloud Security Alliance (2026-06-30): https://labs.cloudsecurityalliance.org/research/csa-research-note-oracle-peoplesoft-zero-day-20260630-csa-st/
- The Register (2026-06-11): "ShinyHunters hacked 100+ orgs by exploiting an Oracle PeopleSoft 0-day"
- Mandiant / Google Threat Intelligence Group: "ShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit"
- NVD CVE-2026-35273: https://nvd.nist.gov/vuln/detail/CVE-2026-35273
회사에서 ERP나 인터넷에 노출된 시스템을 운영하시나요? KGA IT가 노출 현황을 무료로 점검해 드립니다: kga-it.com