Oracle PeopleSoft 제로데이 악용과 ERP 공급망 보안 대응

PSEMHUB가 만든 PeopleSoft 침해 경로

2026년 5월 말부터 6월 초까지 ShinyHunters 사이버 범죄 그룹은 Oracle PeopleSoft의 미패치 제로데이 취약점 CVE-2026-35273을 악용해 전 세계 100개 이상 조직의 ERP 시스템을 침해했다. Oracle은 정규 Critical Patch Update 주기 밖에서 긴급 대역 외(out-of-band) 패치를 배포했다.

이 취약점은 CVSS 9.8점이며, 인증이나 사용자 상호작용 없이 HTTP 네트워크 접근만으로 서버 장악이 가능한 것으로 설명된다. PeopleSoft의 ERP 관리 계층이 공급망 공격에서 핵심 표적이 될 수 있음을 드러낸 사례다.

PeopleSoft는 대학, 의료기관, 공공기관, 기업에서 HR·재무·구매·학사 관리에 사용된다. 취약점이 발생한 PeopleSoft Environment Management Hub(PSEMHUB)는 PeopleSoft 환경의 배포, 모니터링, 관리 기능을 맡는 관리 인프라 계층이다. 에이전트 통신과 관리 명령을 처리하는 허브인 만큼, 다음 특성이 공격 표면을 키웠다.

PSEMHUB 엔드포인트가 외부 HTTP 요청을 인증 없이 처리하는 로직 결함
역직렬화(deserialization) 또는 SSRF 체인 등 서버 측 코드 실행 경로 노출
초기 접근 뒤 PeopleSoft 애플리케이션 서버 OS 수준까지 이어지는 권한 획득
인터넷 직접 노출 또는 VPN 없는 접근 허용

영향 범위는 PeopleTools 8.61 및 8.62다. 공격자는 HTTP 요청 하나로 원격 코드 실행을 달성할 수 있었고, CVSS 벡터는 Attack Vector: Network, Attack Complexity: Low, Privileges Required: None, User Interaction: None으로 제시됐다.

⤢✕

ERP 연동 구조가 측면 이동을 넓히는 방식

ERP는 조직 안의 여러 업무 시스템과 연결된다. PeopleSoft 침해 뒤 활용될 수 있는 측면 이동(lateral movement) 경로도 이 연동 구조에서 나온다.

PeopleSoft가 LDAP/Active Directory와 통합된 SSO(Single Sign-On) 환경에서는 자격증명 크래킹 없이 내부망 접근이 가능하다.
급여, 구매, 공급업체 포털 등 외부 SaaS와 API로 연계된 지점은 공급망 확산 경로가 될 수 있다.
NFS, SMB 마운트는 인접 서버의 파일 시스템 접근을 제공한다.
PeopleSoft가 접근하는 Oracle DB는 추가 데이터 탈취 경로가 될 수 있다.

이런 확장 메커니즘은 100개 이상 조직에서 동시다발적 피해가 발생한 핵심 원인으로 분석된다.

정규 CPU를 기다리지 않은 긴급 패치

Oracle은 통상 1년에 4회, 1월·4월·7월·10월에 정규 CPU(Critical Patch Update)를 배포한다. CVE-2026-35273은 정규 주기를 기다릴 수 없는 수준으로 판단돼 2026년 6월 11일 긴급 대역 외 패치가 배포됐다.

⤢✕

구분	정규 CPU	대역 외 긴급 패치
배포 주기	분기별 (연 4회)	즉시 (필요 시)
트리거 기준	누적 취약점	적극적 악용(Active Exploitation) 확인
테스트 수준	전체 회귀 테스트	제한적 집중 테스트
배포 범위	전체 지원 제품	해당 취약 제품만
위험도 기준	CVSS 전 범위	통상 CVSS 9.0+
사례	매년 4회 정기	이번 CVE-2026-35273 등

대역 외 패치는 일반적으로 적극적 악용(active exploitation) 증거, CVSS 9.0 이상 또는 민감한 데이터 직접 노출, 다수 조직에 영향을 줄 수 있는 넓은 공격 표면이 함께 충족될 때 판단 대상이 된다.

ShinyHunters 활동과 피해 분포

⤢✕

Mandiant 보고서와 ShinyHunters leak site 분석에 따르면 피해 조직은 교육기관 68%, 공공기관 15%, 기업 17%로 분포했다. 교육기관에서는 학생 인적 정보, 성적, 재정 지원 데이터가, 공공기관에서는 시민 개인정보와 예산 데이터가, 기업에서는 HR·급여 데이터가 탈취 대상이 됐다.

교육기관 비중이 높은 배경으로는 학기 중 중단을 피하려는 패치 적용 지연, 보안 전담 인력과 예산 부족, 재학생·교직원 원격 접근을 위한 인터넷 직접 노출, 구형 PeopleTools 버전과의 혼재가 분석된다.

패치 적용과 침해 흔적 확인

영향을 받는 조직은 먼저 PeopleTools 8.61 또는 8.62 사용 여부와 PSEMHUB 엔드포인트의 외부 노출 여부를 확인해야 한다.

패치를 적용하기 전에는 방화벽에서 PSEMHUB 외부 접근을 차단하고, WAF(Web Application Firewall)로 해당 경로 접근을 제한한다. 네트워크 모니터링에서는 이 엔드포인트에 대한 비정상 접근을 탐지한다.

긴급 패치는 Oracle My Oracle Support(MOS)에서 내려받아 개발·테스트 환경에 우선 적용한 뒤 운영 환경에 반영한다. 적용 후에는 PSEMHUB의 정상 동작을 검증한다.

침해 여부는 2026년 5월 27일~6월 11일 PeopleSoft 로그를 대상으로 비정상 HTTP 요청, 신규 프로세스 생성, 외부 연결을 확인하는 방식으로 검토한다. SIEM에는 ShinyHunters IOC를 적용해 조회한다.

IOC에는 공격 원점 IP 주소 범위, PSEMHUB 탐색에 사용된 비정상 HTTP User-Agent, 익스플로잇에 사용된 PSEMHUB URL 패턴, 침해 뒤 드롭된 웹셸 및 백도어 파일 해시, PeopleSoft 프로세스가 생성한 비정상 자식 프로세스 패턴이 포함된다.

관리 엔드포인트를 인터넷에서 분리하기

⤢✕

PSEMHUB는 인터넷에서 직접 접근할 수 없도록 격리해야 한다. 관리 목적의 접근은 VPN을 통해서만 허용하고, 외부 방화벽에서는 PSEMHUB 관련 경로를 전면 차단한다.

ERP는 HR, 재무, 조달, 학사 등 핵심 비즈니스 프로세스를 처리한다. 따라서 ERP 침해는 서버 한 대의 장악이 아니라 조직 전체 공급망 데이터의 노출로 이어질 수 있다. 탈취 데이터는 내부 직원·학생 정보를 활용한 사회공학 공격(Spear-phishing), 학생·직원 PII(개인식별정보)와 재무 정보의 다크웹 판매, 재무 담당자와 구매 프로세스 정보를 결합한 비즈니스 이메일 사기(BEC), 조달·구매 시스템 정보를 이용한 공급업체 사칭에 활용되거나 판매될 수 있다.

운영 통제는 소프트웨어 공급망 보안(SCRM), 제로 트러스트 아키텍처(ZTA), 취약점 관리 프로그램에 걸쳐 설계할 수 있다. NIST SP 800-161 기반 공급망 위험 관리 프레임워크에 ERP 벤더인 Oracle의 패치 주기와 긴급 대응 프로세스를 명시하고, ERP 내부 구성요소에는 마이크로세그멘테이션을 적용한다. PSEMHUB 같은 관리 엔드포인트에는 mTLS(상호 TLS) 인증을 강제하며, ERP는 CVSS 기반 위험도 우선순위 패치 대상에 포함한다. 대역 외 패치 대응 절차(Playbook)는 정기 CPU와 별도로 둔다.

공격 표면 감소(ASR) 관점에서는 ERP 관리 인터페이스의 인터넷 노출을 제로로 줄인다. Oracle, SAP 등 ERP 벤더 보안 권고를 실시간으로 수신·대응하는 자동화 체계, 분기별 ERP 제로데이 시나리오 기반 IR(Incident Response) 훈련, PeopleSoft·SAP 특화 이상 탐지 규칙, ERP를 운용하는 외부 공급업체와 SaaS 연동 파트너의 보안 평가도 함께 운영 대상이다.