ShinyHunters라는 해킹·갈취 조직이 Oracle PeopleSoft의 취약점(CVE-2026-35273, 인증 없이 원격으로 시스템을 장악할 수 있는 RCE(원격 코드 실행) 취약점)을 악용하는 새로운 WAF(웹 방화벽) 우회 기법을 개발했습니다. 보안 패치 대신 WAF로 취약 경로를 차단했던 기업들도, 공격자가 '/PSEMHUB/' 대신 '/%50SEMHUB/'처럼 URL을 인코딩해 방화벽 규칙을 무력화하면서 다시 위험에 노출됐습니다. 이 공격을 통해 교육·의료·기술·정부 등 전 세계 수십 개 조직에 웹셸과 백도어가 설치됐고, 내부 네트워크까지 침투가 이루어졌습니다. Mandiant(Google 산하 보안기업)는 WAF 규칙에만 의존하지 말고 즉시 보안 패치를 적용할 것을 강력히 권고하며, WebLogic 접근 로그에서 인코딩 변형 요청을 탐지할 것도 당부했습니다.
ShinyHunters(Google이 UNC6240으로 추적)가 Oracle PeopleSoft CVE-2026-35273 취약점에 대한 WAF 우회 기법(URL 퍼센트 인코딩)을 개발해, 패치 미적용 서버를 재차 대규모 공격하고 있음. FBI 시스템 침해도 이 취약점을 활용했을 가능성이 제기됨.
교육·기술·IT서비스·의료·농업·운송·정부 분야 전 세계 수십 개 조직에 JSP 웹셸 및 SIDEEYE 백도어 배포, 자격증명 탈취, 내부 네트워크 측면 이동(lateral movement) 발생. 최초 공격에서는 100개 이상 조직의 데이터가 탈취됐음.
WAF·리버스 프록시가 URL 디코딩 전 리터럴 경로를 비교하는 반면, Oracle WebLogic은 인코딩 해제 후 라우팅하는 처리 방식의 불일치. 이로 인해 '/%50SEMHUB/' 등 인코딩 변형 요청이 WAF 규칙을 통과해 취약 엔드포인트에 도달함.
Mandiant는 WAF 규칙 의존을 중단하고 즉시 Oracle 보안 패치 적용을 권고. WebLogic 접근 로그에서 '/PSEMHUB/'와 '/%50SEMHUB/' 등 인코딩 변형 요청을 탐지해 침해 여부를 확인할 것을 권장.
WAF로 특정 경로를 차단했더라도 URL 인코딩·대소문자 혼용 변형으로 우회될 수 있어 패치 없이 WAF만으로는 CVE-2026-35273을 완전히 차단할 수 없음. 패치 적용이 유일한 완전한 방어책이며, 로그 점검을 통한 기침해 여부 확인이 시급함.
본문
ShinyHunters 갈취 조직이 URL 인코딩 기법을 사용해 Oracle PeopleSoft CVE-2026-35273 취약점을 완화하는 웹 방화벽(WAF) 규칙을 우회하고 있습니다. 이를 통해 위협 행위자들은 보안 업데이트를 적용하지 않은 취약한 서버에서 해당 결함의 광범위한 악용을 재개하고 있습니다.
Google의 Mandiant와 Threat Intelligence Group(GTIG)은 이 새로운 기법이 위협 행위자로 하여금 보안 업데이트를 적용하지 않고 대신 WAF로 취약한 PSEMHUB 엔드포인트에 대한 접근을 차단했던 PeopleSoft 서버들을 다시 표적으로 삼을 수 있게 했다고 밝혔습니다.
6월 10일, BleepingComputer는 ShinyHunters 갈취 조직이 제로데이 취약점을 이용해 Oracle PeopleSoft 서버를 표적으로 삼아 100개 조직의 데이터를 탈취하고 있다고 처음 보도했습니다.
다음 날 Oracle은 해당 PeopleSoft 제로데이를 CVE-2026-35273으로 수정하면서, 이 취약점이 비인증 원격 코드 실행을 허용한다고 밝혔습니다.
Google도 같은 날 ShinyHunters(내부 추적명: UNC6240)가 교육 분야를 대상으로 CVE-2026-35273 취약점을 악용하고 있음을 보고하며 BleepingComputer의 보도를 확인했습니다.
당시 Mandiant는 보안 업데이트를 즉시 설치하거나 Environment Management Hub를 비활성화할 수 없는 조직에게 취약한 /PSEMHUB/* 엔드포인트에 대한 외부 접근을 차단하도록 권고했습니다.
그러나 새 보고서에서 Google은 ShinyHunters가 인코딩된 버전이 아닌 리터럴 경로를 탐지하는 WAF 규칙을 우회하도록 익스플로잇을 수정했다고 밝혔습니다.
예를 들어, 다음 경로로 요청을 보내는 대신:
/PSEMHUB/
공격자들은 다음과 같이 요청합니다:
/%50SEMHUB/
'%50' 시퀀스는 문자 'P'의 퍼센트 인코딩 값입니다.
Mandiant에 따르면, 많은 WAF와 리버스 프록시는 요청 경로를 디코딩하기 전에 리터럴 값으로 비교하기 때문에 '/PSEMHUB/'를 차단하도록 설계된 규칙이 인코딩된 버전을 탐지하지 못합니다.
반면 Oracle WebLogic은 인코딩된 'P'를 디코딩한 뒤 취약한 엔드포인트로 요청을 라우팅하여, WAF 규칙을 우회합니다.
Mandiant는 "이를 통해 위협 행위자는 운영자가 WAF 규칙으로 노출을 완화했다고 믿었을 수 있는 시스템의 엔드포인트에 도달할 수 있게 됩니다"라고 설명합니다.
PSEMHUB WAF 우회
출처: Mandiant
Google은 ShinyHunters가 항상 '%50' 우회 방식만 사용하지 않을 수 있으며, '/PSEMHUB/'의 다른 퍼센트 인코딩·대소문자 혼용 변형 등으로 전환할 수 있다고 경고합니다.
Mandiant는 WAF에 의존하는 대신 CVE-2026-35273으로부터 보호하기 위해 최신 보안 업데이트를 설치할 것을 조직들에 촉구합니다.
또한 조직들은 WebLogic 접근 로그에서 '/PSEMHUB/'에 대한 요청과 '/%50SEMHUB/'와 같은 인코딩 변형을 검색해 악용 징후를 탐지할 것을 권고받고 있습니다.
WAF 우회로 이어지는 새로운 데이터 탈취 공격
Google은 새로운 공격 파동이 고등교육, 기술, IT 서비스, 의료, 농업, 운송, 정부 분야의 전 세계 수십 개 시스템에 웹셸을 배포했다고 밝혔습니다.
Mandiant는 "Oracle PeopleSoft를 운영하는 조직들이 다음의 즉각적인 조치를 취할 것을 권고합니다. 추가적인 복구 및 강화 지침은 이 게시물 후반부에 포함되어 있습니다"라고 경고합니다.
공격자들은 익스플로잇 시도 전 일반적으로 직렬화된 Java 객체를 담은 5~15개의 POST 요청을 /%50SEMHUB/hub에 전송합니다.
취약한 시스템에서 이 요청들은 파일을 작성하거나 서비스를 중단시키지 않고 호스트 운영 체제에 대한 정보를 반환하여, ShinyHunters가 서버를 조용히 익스플로잇할 수 있는지 여부를 파악할 수 있게 합니다.
시스템이 취약하다고 판단되면, 위협 행위자들은 해당 취약점을 다시 악용해 메모리에서 직접 명령을 실행하거나 JSP 웹셸을 배포합니다.
Google에 따르면 공격자들은 명령 실행을 위한 'x.jsp' 웹셸과 대용량 파일 업로드를 위한 'u.jsp' 및 'u2.jsp' 셸을 배포합니다.
침해된 Windows 서버에서 ShinyHunters는 이 셸들을 이용해 'Ple64.exe'라는 이름의 실행 파일을 배포했습니다. 이 파일은 서명된 Light Alloy 미디어 플레이어 설치 프로그램으로 위장하지만, 실제로는 Google이 SIDEEYE로 추적하는 백도어를 설치합니다.
SIDEEYE 악성코드는 자격증명 탈취, 프로세스 및 파일 관리, 인터랙티브 리버스 셸 생성, 리버스 프록시 기능에 사용됩니다.
또한 위협 행위자들은 'tunnel.jsp' 및 'tunnel.jspx' 파일을 통해 오픈소스 Neo-reGeorg 터널링 툴킷을 배포했습니다.
이 툴킷은 SOCKS5 프록시 트래픽을 일반 HTTP 및 HTTPS 연결을 통해 터널링하여, 침해된 PeopleSoft 서버를 내부 네트워크로의 측면 이동에 활용할 수 있게 합니다.
Mandiant는 ShinyHunters가 침해된 Linux 시스템에 대한 접근을 유지하기 위해 정상적인 MeshAgent 원격 관리 소프트웨어를 사용하는 것도 관찰했습니다.
ShinyHunters, 새로운 PeopleSoft 제로데이 주장
이번 새로운 공격은 ShinyHunters가 새로운 Oracle PeopleSoft 제로데이 취약점을 사용해 FBI 시스템을 침해했다고 주장한 이후에 발생했습니다.
ShinyHunters는 9월 22일 BleepingComputer에 해당 취약점이 원격 코드 실행을 허용하며 FBI Jobs 플랫폼에 접근한 뒤 FBI의 AWS GovCloud 인프라로 측면 이동하는 데 사용됐다고 밝혔습니다.
해당 그룹은 현직 및 전직 FBI 직원, 입사 지원자 및 기타 내부 시스템과 관련된 2TB~3TB의 데이터를 탈취했다고 주장했습니다.
당시 BleepingComputer는 주장된 제로데이, 측면 이동, 탈취된 데이터 양을 독자적으로 확인할 수 없었습니다.
FBI는 FBIjobs.gov에 영향을 미치는 무단 활동 주장을 조사 중임을 확인했지만, 시스템 침해나 데이터 탈취 사실은 확인하지 않았습니다.
ShinyHunters가 새로운 PeopleSoft 제로데이라고 설명한 취약점이 새롭게 문서화된 WAF 우회를 통해 악용된 CVE-2026-35273이었는지는 현재 불분명합니다.
그러나 ShinyHunters는 당시 BleepingComputer에 이 새로운 제로데이를 Fortune 500 기업들을 포함한 다른 조직들을 대상으로 한 공격에도 사용하고 있다고 밝혔습니다.
BleepingComputer는 이 우회 기법이 FBI 공격 주장에서 새로운 제로데이라고 불렀던 것인지 확인하기 위해 ShinyHunters에 연락했습니다.
AI 기반 공격을 위한 보안 청사진 구축
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들과 함께 AI 속도의 공격이 무엇을 바꾸는지, 방어자들이 무엇을 그만해야 하는지, 그리고 기계 속도로 검증·결정·수정·재검증하는 방법에 관한 2시간 디지털 서밋에 참여하세요.
자리 예약하기
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
