Oracle 2026년 2분기 CPU 대응: WebLogic 취약점과 엔터프라이즈 패치 관리

이번 CPU가 드러낸 Oracle 공격 표면

Oracle은 2026년 4월 21일 분기별 보안 업데이트인 Critical Patch Update(CPU)를 공개했다. 이번 업데이트는 28개 제품군에서 481개 패치와 241개 CVE를 다뤘고, 34개(7.1%)는 CVSS 9.0 이상 Critical 등급이다. WebLogic Server에는 CVSS 10.0 비인증 RCE가 포함됐으며, Fusion Middleware에는 정규 주기 밖 긴급 패치가 발급된 취약점도 있다.

지표	수치
총 보안 패치 수	481개
고유 CVE 수	241개
대상 제품군	28개
Critical 패치 (CVSS 9.0+)	34개 (7.1%)
High 패치 (CVSS 7.0–8.9)	221개 (45.9%)
Medium 패치 (CVSS 4.0–6.9)	212개 (44.1%)
Low 패치 (CVSS 0.1–3.9)	14개
최고 CVSS 점수	10.0 (WebLogic)
인증 없이 원격 익스플로잇 가능	300개 이상

2026년 1분기 CPU는 337개 패치와 158개 CVE였고, 2분기는 패치 수 기준 43%, CVE 수 기준 52% 증가했다. 481개 중 376개(78%)가 Oracle 자체 코드가 아닌 오픈소스 및 서드파티 컴포넌트의 취약점 수정이라는 점도 눈여겨볼 부분이다.

⤢✕

우선 확인할 제품군과 CVE

Oracle Communications의 넓은 노출 범위

Oracle Communications에는 139개 패치가 적용됐다. 전체의 28.9%에 해당하며, 이 중 93개는 인증 없이 네트워크를 통해 원격 익스플로잇할 수 있다. CVSS 9.8, 9.6, 9.1 등 복수의 Critical 취약점이 포함됐고, 성공적인 공격은 RCE로 이어질 수 있다.

통신 인프라는 24/7 가동되는 경우가 많다. 따라서 패치 자체의 긴급성뿐 아니라 서비스 중단 위험을 포함한 적용 계획이 필요하다.

WebLogic Console의 CVSS 10.0 RCE

CVE-2026-21962는 WebLogic Console의 경로 순회(Path Traversal) 취약점이다. CVSS 10.0이며, 비인증 공격자가 조작한 HTTP GET 요청으로 임의의 OS 명령을 실행할 수 있다.

영향 받는 버전은 다음과 같다.

WebLogic Server 12.2.1.4.0
WebLogic Server 14.1.1.0.0
WebLogic Server 14.1.2.0.0

CloudSEK 허니팟 연구에 따르면 2026년 1월 22일 GitHub에 익스플로잇 코드가 공개된 당일 즉각적인 공격이 관측됐다. 공격자들은 경로 순회를 이용해 인증을 우회하고 원격 OS 명령 실행을 시도했다.

Fusion Middleware의 정규 주기 밖 긴급 패치

CVE-2026-21992는 Oracle Identity Manager와 Oracle Web Services Manager에 영향을 주는 CVSS 9.8 Critical RCE 취약점이다. Oracle은 2026년 3월 이 취약점에 대해 아웃오브밴드(Out-of-Band) 긴급 패치를 발급했다.

비인증 원격 익스플로잇이 가능하며, 4월 CPU에서는 Fusion Middleware의 Critical CVE 6개가 추가 처리됐다. CVE-2026-34285, CVE-2026-34286, CVE-2026-34287 등이 여기에 포함된다. Fusion Middleware 패치 59개 가운데 46개는 네트워크를 통해 인증 없이 익스플로잇할 수 있다.

MySQL Enterprise Backup과 데이터베이스 계층

CVE-2025-15467은 MySQL Enterprise Backup 컴포넌트의 CVSS 9.8 Critical 취약점으로 원격 코드 실행을 허용한다. MySQL 패치 34개 중 원격 익스플로잇 가능한 항목은 3개다.

영향 범위는 다음과 같다.

MySQL Server 8.0.0–9.6.0
MySQL Cluster 8.0.0–9.5.0
MySQL Enterprise Backup
MySQL Shell

Oracle Database Server는 보안 패치 8개를 받았고, 이 중 4개가 원격 익스플로잇 가능하다. 최고 CVSS는 7.5로 Critical 등급은 아니다. 영향받는 버전은 19.3–19.30, 21.3–21.21, 23.4.0–23.26.1이며, GoldenGate는 별도로 10개 패치와 최고 CVSS 7.5를 받았다.

Java SE는 새로운 보안 패치 12개를 받았고, 8개는 인증 없이 원격 익스플로잇 가능하다. 최고 CVSS는 7.5다. 패치 적용 대상 버전은 8u491, 11.0.31, 17.0.19, 21.0.11, 25.0.3, 26.0.1이다.

인증 없이 도달하는 취약점의 의미

⤢✕

이번 CPU에서 481개 패치 중 300개 이상은 네트워크를 통해 인증 없이 익스플로잇할 수 있다. Communications는 93/139, 67%이며, Financial Services는 59/75, 79%, Fusion Middleware는 46/59, 78%다. 외부에 노출된 서비스라면 공격자는 자격증명 없이 RCE나 데이터 접근을 시도할 수 있다.

경로 순회, 직렬화 역직렬화(Deserialization), XML 외부 엔터티 주입(XXE)처럼 익숙한 웹 애플리케이션 취약점이 엔터프라이즈 미들웨어에서도 계속 발견된다. 인터넷 노출 여부와 관리 콘솔 접근 경로를 먼저 확인해야 하는 이유다.

분기별 CPU 일정과 긴급 대응의 간극

분기별 CPU는 운영팀에 예측 가능한 변경 창을 제공한다. QA와 스테이징 검증을 계획하고, 패치 간 의존성 충돌을 평가하며, 변경 관리(Change Management) 절차를 분기 단위로 운영할 수 있다.

반대로 CVE 공개부터 공식 패치까지 최대 90일의 공백이 생길 수 있다. CVE-2026-21962는 1월 22일 익스플로잇 코드가 공개된 당일 대규모 공격이 시작된 사례다. 아웃오브밴드 패치는 이런 상황을 다루기 위한 수단이지만 예외적인 조치다.

⤢✕

자산 식별부터 검증까지 연결하는 패치 운영

⤢✕

Oracle 환경의 자동화된 패치 관리는 취약점 인텔리전스 수집, 영향 자산 식별, 위험 계산, 패치 트랙 라우팅, 검증과 보고로 이어져야 한다.

Oracle CPU 발표 후 Tenable, Qualys, Rapid7 같은 취약점 관리 플랫폼의 API에서 새 CVE 목록을 수집하고 CMDB(Configuration Management Database) 자산 정보와 연결한다. 이어서 취약 버전이 설치된 서버, 컨테이너, 클라우드 인스턴스를 식별한다. Oracle Enterprise Manager와 OCI Security Advisor는 Oracle 제품군 자산 스캔에 활용할 수 있다.

우선순위는 CVSS만으로 정하지 않는다. EPSS(Exploit Prediction Scoring System), 외부 노출 여부, 데이터 민감도 등 자산의 비즈니스 임팩트를 함께 반영한다. 위험 점수에 따라 긴급·표준·정기 트랙으로 라우팅하고 SLA 타이머를 설정한 뒤, 배포 후 재스캔 결과를 SIEM과 GRC(Governance, Risk and Compliance)에 보고한다.

단계	도구	용도
취약점 스캔	Tenable.sc, Qualys VMDR	CVE 탐지 및 자산 매핑
패치 배포	Ansible, Puppet, Chef	패치 자동화 배포
변경 관리	ServiceNow, Jira	CAB 승인 워크플로우
모니터링	Splunk, Elastic SIEM	패치 적용 현황 추적
Oracle 전용	Oracle Enterprise Manager	Oracle 제품 패치 관리
컨테이너	Trivy, Snyk	컨테이너 이미지 취약점 스캔

CVSS와 익스플로잇 가능성을 함께 보는 우선순위

⤢✕

P1은 CVSS 9.0 이상이면서 공개된 익스플로잇 코드가 있거나 실제 공격이 관측된 경우다. CVE-2026-21962(WebLogic CVSS 10.0), CVE-2026-21992(Fusion MW CVSS 9.8), CVE-2025-15467(MySQL CVSS 9.8)이 대상이다. 적용 목표는 72시간이다.

P2는 CVSS 9.0 이상이지만 익스플로잇 코드가 없거나, CVSS 7.0~~8.9 범위에서 익스플로잇 코드가 공개된 경우로 7일 내 긴급 검토한다. P3는 일반 High 취약점으로 14일을 기준으로 하며, CVSS 4.0~~6.9 Medium 및 Low 취약점은 다음 정기 패치 주기에 P4로 처리한다.

2026년 4분기 CPU 대응 권장 순서는 WebLogic Server의 CVE-2026-21962, Fusion Middleware의 CVE-2026-21992 및 관련 Critical CVE 6개, Oracle Communications의 93개 비인증 원격 익스플로잇 취약점, MySQL Enterprise Backup의 CVE-2025-15467, Java SE 지원 버전, Oracle Database Server의 19c·21c·23ai, Oracle Financial Services와 E-Business Suite다. Communications는 비즈니스 임팩트를 평가한 후 적용하고, Financial Services와 E-Business Suite는 비즈니스 일정과 협의한다.

패치가 어려운 레거시 Oracle 환경

Oracle Database 11g나 WebLogic 10.x처럼 Extended Support 또는 Sustaining Support 단계에 들어간 제품은 정규 CPU 적용이 제한적이거나 별도의 유료 지원 계약이 필요하다.

패치할 수 없는 자산에는 가상 패치(Virtual Patching)를 적용할 수 있다. WAF(Web Application Firewall)나 IPS 규칙으로 알려진 익스플로잇 패턴을 차단하는 방식이다. CVE-2026-21962에 대해서는 WebLogic 콘솔 포트 7001/7002의 외부 접근을 차단하는 네트워크 제어가 즉각적인 완화책이 된다.

레거시 Oracle 서버는 전용 네트워크 세그먼트로 격리하고, 필요한 포트와 프로토콜만 허용하는 화이트리스트 기반 방화벽 정책을 적용한다. Oracle의 제품별 지원 수명 주기(Lifetime Support Policy)를 기준으로 Premiere Support, Extended Support, Sustaining Support 전환 시점을 추적해 지원 종료 전 업그레이드 계획을 세운다.

패치가 불가능한 환경은 EDR(Endpoint Detection and Response) 에이전트와 SIEM 로그 수집을 강화해야 한다. Oracle Audit Vault와 Database Firewall은 데이터베이스 계층에서 이상 쿼리와 권한 남용을 실시간으로 탐지하는 데 활용할 수 있다.

Oracle 2026년 2분기 CPU 대응의 중심은 패치 수 자체가 아니라 외부 노출 자산, 실제 익스플로잇 가능성, 레거시 제약을 함께 반영하는 운영 체계다. 다음 CPU는 2026년 7월 21일에 예정되어 있다.