공격자들, WAF 우회로 Oracle PeopleSoft 취약점 악용 및 웹셸 배포

한 줄 요약

Oracle PeopleSoft(기업용 인사·재무 관리 소프트웨어)에서 인증 없이 원격으로 시스템을 장악할 수 있는 심각한 취약점(CVE-2026-35273, CVSS 9.8)이 실제 공격에 광범위하게 악용되고 있습니다. 공격자들은 WAF(웹 방화벽)를 우회하기 위해 URL 인코딩 기법을 사용하고, 시스템 침입 후 웹셸·백도어를 심어 데이터를 훔친 뒤 몸값을 요구하는 방식으로 활동하고 있습니다. 피해 대상은 고등교육, 의료, 정부, IT 서비스 등 여러 분야에 걸쳐 있으며, 미국 FBI 채용 사이트도 PeopleSoft 취약점을 통해 침해당한 것으로 알려졌습니다. 즉시 패치를 적용하고, EMHub 서비스를 비활성화하며, 웹셸 감염 여부와 자격증명 탈취 여부를 점검해야 합니다.

사건

ShinyHunters와 연계된 위협 그룹 UNC6240이 Oracle PeopleSoft의 CVE-2026-35273(CVSS 9.8)을 악용해 전 세계 수십 개 조직에 웹셸과 C++ 백도어 SIDEEYE를 배포했다. URL 인코딩(%50)으로 WAF를 우회하는 새로운 공격 기법이 확인됐다.

영향

고등교육·의료·정부·IT 서비스·농업·운송 등 다수 분야가 피해를 입었다. 공격자는 약 25%의 명령을 root 또는 NT AUTHORITY\SYSTEM 권한으로 실행했으며, 인사·급여·학생 정보 데이터를 대량 탈취한 뒤 공개 협박(데이터 유출 협박) 방식의 랜섬웨어 캠페인을 벌였다.

원인

PeopleSoft의 PSEMHUB 서블릿에서 인증 없이 악성 직렬화 Java 객체를 처리하는 취약점이 존재하며, WAF가 URL 디코딩 전 문자열을 대조하는 방식의 허점을 이용해 우회가 가능했다.

대응

Oracle 패치 적용, EMHub(PSEMHUB) 서비스 비활성화 또는 제거, WebLogic 접근 로그에서 인코딩 변형 포함 '/PSEMHUB/' 요청 검색, PSEMHUB.war 디렉터리 내 웹셸 점검, PeopleSoft 서비스 계정 자격증명 교체, 아웃바운드 트래픽 모니터링이 권고됐다.

실무 포인트

WAF 규칙이 URL 디코딩 이전 경로만 대조할 경우 단일 문자 인코딩(%50)만으로 우회될 수 있으므로, WAF 규칙을 디코딩 후 경로 기준으로 재검토해야 한다. 또한 공격자가 데이터 탈취 후 협박 커뮤니케이션을 시도할 수 있으므로 사고 대응 절차도 사전에 준비해야 한다.

본문

Ravie Lakshmanan · 2026년 9월 26일 · 취약점 / 웹 보안

Google이 Oracle PeopleSoft의 알려진 보안 취약점에 대한 대규모 재악용 움직임을 경고하고 있다. 이번 캠페인은 전 세계 여러 분야를 표적으로 삼고 있다.

ShinyHunters와 연계된 이번 활동은 CVE-2026-35273(CVSS 점수: 9.8)의 무기화를 수반한다. 이 취약점은 인증 없는 원격 코드 실행(RCE)으로 이어질 수 있는 심각한 보안 결함이다.

해당 취약점은 최초에 학술 기관을 대상으로 한 공격에서 제로데이로 악용됐다. 당시 공격자는 정찰 활동, MeshCentral 에이전트와 같은 원격 접근 소프트웨어를 통한 지속적 접근 확보, SSH를 통한 내부 횡적 이동, 알려진 사용자명·비밀번호 조합을 이용해 다른 내부 PeopleSoft 서버에 SSH로 연결하는 셸 스크립트 실행, 데이터 탈취 등을 수행했다.

당시 Google 산하 Mandiant는 취약한 엔드포인트와 IP 주소가 일치하는 전 세계 100개 이상의 조직에 알림을 발송했다고 밝혔으며, 대부분은 미국에 위치해 있었다.

Mandiant는 "이번 새로운 활동은 UNC6240이 취약한 Environment Management Hub(PSEMHUB) 엔드포인트를 차단하는 WAF(웹 방화벽) 규칙을 우회하도록 익스플로잇을 수정한 데서 비롯됐다"고 밝혔다.

"위협 행위자는 요청 경로에서 문자 하나를 URL 인코딩하여 문자열 기반 WAF 규칙을 우회했다. 구체적으로 '/PSEMHUB/' 대신 '/%50SEMHUB/'를 요청하는 방식이다. 다수의 WAF 및 리버스 프록시 규칙은 URL 디코딩 전 경로 문자열 그대로 대조하는 반면, PeopleSoft 애플리케이션 서버는 요청을 디코딩한 뒤 취약한 서블릿으로 라우팅한다."

최근 활동의 표적은 고등교육, 기술, IT 서비스, 의료, 농업, 운송, 정부 분야에 걸쳐 있으며, 공격자들은 수십 개 시스템에 웹셸을 배포했다.

전체 공격 흐름은 다음과 같다.

직렬화된 Java 객체가 포함된 POST 요청을 "/%50SEMHUB/hub"로 전송하여 취약한 표적을 식별한다.
POST 요청에 문자 P의 인코딩 형태(즉, "%50")를 사용하여 WAF 규칙을 우회한다: "/%50SEMHUB/hub".
PSEMHUB hub 서블릿의 Java 역직렬화(deserialization)를 악용해 웹셸을 배포하고 파일리스(fileless) 명령 실행을 달성한다.
WAF 탐지를 최소화하기 위해 PSEMHUB.war 디렉터리에 두 개의 JSP 웹셸을 배포한다: "x.jsp"는 크로스플랫폼 명령 실행을 가능하게 하고, "u.jsp"는 서버로의 청크(chunked) 파일 업로드와 "cmd.exe"를 통한 명령 실행을 허용한다.
"u.jsp"를 이용해 유효하고 서명된 트로이목마 인스톨러("Ple64.exe")를 업로드한다. 해당 파일은 메모리에 C++ 백도어 SIDEEYE를 로드하며, TCP를 통해 외부 서버("162.219.30[.]165")와 통신하여 브라우저 및 데스크톱 애플리케이션 자격증명 탈취, 프로세스 및 파일 관리, 인터랙티브 리버스 셸 및 리버스 프록시 기능을 수행한다.

Google은 "Ple64.exe 배포와 함께 위협 행위자는 오픈소스 Neo-reGeorg 터널링 툴킷을 준비했다"고 밝혔다. "Linux 시스템에서 웹셸 설치 후 지속적 접근을 확보하기 위해 UNC6240은 정식 RMM(원격 모니터링 및 관리) 도구인 MeshAgent를 배포했다."

위협 행위자의 명령 중 약 4분의 1이 root 또는 NT AUTHORITY\SYSTEM 권한으로 실행되어 운영체제 전체를 장악한 것으로 파악됐다. 나머지 명령은 PeopleSoft 또는 WebLogic 서비스 계정으로 실행된 것으로 확인됐다.

위협에 대응하기 위해 조직에는 다음 조치가 요구된다.

CVE-2026-35273에 대한 패치를 적용한다.
다중 서버 구성에서는 Environment Management Hub(EMHub) 서비스를 비활성화하거나, 단일 서버 구성에서는 PSEMHUB 애플리케이션을 완전히 제거한다.
WebLogic 접근 로그에서 "/PSEMHUB/"에 대한 요청 및 퍼센트 인코딩 변형 형태를 검색한다.
"PSEMHUB.war" 디렉터리에서 JSP 웹셸 및 기타 악성 아티팩트를 점검한다.
PeopleSoft 애플리케이션 서비스 계정이 읽을 수 있는 자격증명을 교체한다.
PeopleSoft 및 데이터베이스 호스트에서 임시 디렉터리 또는 웹 접근 가능 디렉터리 내 대형 압축 파일을 탐색한다.
인사, 급여, 학생 정보 테이블에 대한 대량 쿼리 또는 내보내기 흔적을 데이터베이스 감사 로그에서 검토한다.
PeopleSoft 호스트의 아웃바운드 트래픽을 모니터링한다.

Google은 "UNC6240은 데이터 탈취 협박, 즉 데이터를 훔친 뒤 피해자가 몸값을 지불하지 않으면 데이터 유출 사이트에 공개하겠다고 위협하는 방식의 확립된 패턴을 보유하고 있다"고 밝혔다. "피해 조직들은 협박 커뮤니케이션에 대비하고, 탈취 데이터의 공개 유출 가능성을 모니터링해야 한다."

이번 공개는 ShinyHunters 그룹이 미국 연방수사국(FBI)의 FBIJobs.gov 포털을 침해(본 기사 작성 시점 기준 접속 불가)하고 약 2~3TB의 민감 데이터를 탈취한 사건과 맞물려 나왔다. 이는 FBI가 2026년 5월 공개 경보에서 해당 그룹에 제기한 혐의에 반발하기 위한 행동으로 알려졌다.

ShinyHunters 대변인은 The Hacker News에 "우리는 FBI를 협박하지 않고 있다는 점을 다시 한번 강조한다. 이것은 금전적 동기가 없다. 몸값이나 협박이 아니다. 우리가 원하는 것은 사실을 바로잡고 우리 조직의 이미지를 보호하는 것뿐"이라고 밝혔다.

해당 대변인은 또한 FBI 채용 포털이 CVE-2026-35273과는 다른 Oracle PeopleSoft 제로데이 취약점을 통해 침해됐다고 The Hacker News에 전했다. The Register에 공유한 별도 성명에서 이 그룹은 2020년 ShinyHunters로 리브랜딩하기 전에는 GnosticPlayers로 활동했다고 밝혔다.