Oracle PeopleSoft 제로데이 침해에 대비하는 ERP 보안 대응

2026년 5월 27일부터 6월 9일까지 ShinyHunters(UNC6240)는 Oracle PeopleSoft의 CVSS 9.8 RCE 제로데이인 CVE-2026-35273을 악용해 전 세계 100개 이상의 기관을 침해했다. 피해 기관의 약 68%는 미국 대학이었고, 수십만 명의 학생 개인정보와 재무 데이터가 유출됐다. Oracle의 보안 권고는 공격이 시작된 뒤 14일이 지난 6월 10일에 나왔다.

ERP 웹 계층이 외부에 공개돼야 하는 환경이라면, 이 사례는 취약점 하나의 문제가 아니다. 인터넷 노출 지점, 패치 결정 구조, 침해 이후의 격리와 증거 확보 체계가 함께 시험대에 오른다.

인증 없이 노출되는 PeopleSoft 서버 장악 경로

CVE-2026-35273은 Oracle PeopleSoft Enterprise PeopleTools 8.61 및 8.62의 Environment Management 컴포넌트에 존재하는 원격 코드 실행(RCE) 취약점이다. CVSS v3.1 점수는 9.8(Critical)이며, 공격 복잡도는 낮고(AC:L), 인증(PR:N)과 사용자 상호작용(UI:N)이 필요하지 않다. 기밀성·무결성·가용성에는 모두 완전한 영향(C:H/I:H/A:H)이 있는 것으로 평가됐다.

속성	값
CVE ID	CVE-2026-35273
CVSS v3.1 Score	9.8 (Critical)
영향 컴포넌트	PeopleSoft Enterprise PeopleTools 8.61, 8.62
공격 벡터	네트워크(HTTP), 인증 불필요
취약 요소	Environment Management
Oracle 권고 발행일	2026년 6월 10일
최초 악용 확인일	2026년 5월 27일 (제로데이)

핵심은 사전 인증(pre-authentication) 상태에서 악용할 수 있다는 점이다. 네트워크에서 접근 가능한 PeopleSoft 인스턴스라면, 계정 탈취나 피싱 없이 HTTP를 통해 서버 수준 코드 실행 권한을 얻을 수 있다. PeopleSoft의 배포와 설정을 다루는 Environment Management는 대형 기관과 대학 환경에서 인터넷에 직접 노출되는 경우가 있어 공격 표면이 커진다.

패치가 없던 기간에 벌어진 침해 활동

⤢✕

Mandiant와 Google Threat Intelligence Group(TIG)은 UNC6240(ShinyHunters)의 2026년 5월 27일부터 6월 9일까지의 Oracle PeopleSoft 표적 활동이 CVE-2026-35273 익스플로잇과 일치한다고 확인했다. 이 기간 300개 이상의 PeopleSoft 인스턴스와 100개 이상의 기관이 피해를 입었다.

영국 노팅엄 대학교는 침해 사실을 처음 공개 확인한 기관이다. 현재와 전 소속 학생 약 45만 5천 명의 개인정보 및 청구 기록이 담긴 40 GB 데이터가 ShinyHunters의 다크웹 유출 사이트에 게시됐다.

대학이 집중 표적이 된 배경에는 PeopleSoft 의존도와 운영 구조가 있다. 미국 주요 대학은 학사행정(SIS), 인사(HR), 재무(FIN)를 PeopleSoft로 통합 운영한다. 학생과 교직원의 수강신청, 성적 조회, 급여 명세를 지원하려면 셀프서비스 웹 레이어가 외부에 노출된다. 학기 중 운영 중단을 피하려는 패치 지연, 제한적인 보안 인력과 예산도 대응을 어렵게 만든다.

Environment Management에서 이어지는 침해 흐름

⤢✕

Environment Management는 PeopleTools 배포 아키텍처에서 서버 설정, 환경 구성 파일, 빌드 아티팩트를 관리하는 내부 서비스다. 이 컴포넌트는 Java XMLDecoder 기반 역직렬화를 수행하며, 입력 검증이 충분하지 않게 구현돼 있다.

조작된 XML 페이로드를 Environment Management 엔드포인트로 HTTP POST 하면 XMLDecoder가 역직렬화 과정에서 임의 Java 코드를 실행한다. 분석에 따르면 이 메커니즘은 Spring Framework의 ClassPathXmlApplicationContext, Apache Commons Collections의 gadget chain과 유사하게 동작한다.

사전 인증 절차가 없으므로 인터넷에 노출된 취약 인스턴스는 단일 HTTP 요청으로 장악될 수 있다. <docroot>/envmetadata/data/environment/ 아래에서 최근 생성 또는 변경된 .xml 파일은 XMLDecoder 기반 지속성 확보 시도의 증거가 될 수 있다.

ShinyHunters는 RCE 악용 뒤 지속성 확보에 커스터마이징된 MeshCentral 빌드를 사용했다. MeshCentral은 정상 IT 운영에서도 쓰이는 오픈소스 원격 모니터링·관리(RMM) 도구여서 EDR과 SIEM 탐지를 피하는 데 이용되기 쉽다. 공격자는 이를 Microsoft Azure 서비스로 위장했다. Azure 서비스가 일반적으로 운영되는 대학 환경에서는 보안 담당자의 즉각적인 경보를 피할 여지가 있으며, 이는 Living-off-the-Land(LotL) 전술의 고도화된 변형으로 분류된다.

제로데이 공개 직후의 격리와 검증

⤢✕

CVSS 9.8 이상이면서 PR:N과 UI:N이 함께 나타난 ERP 취약점은 패치 유무와 관계없이 인터넷 접점 차단부터 판단해야 한다. 이 조합에서는 업무 중단 비용이 침해 발생 비용보다 반드시 낮다.

패치가 없는 기간의 WAF는 단독 방어책이 아니라 다층 완화 계층 중 하나로 다뤄야 한다.

WAF 규칙 유형	대상 패턴	주의사항
URL 경로 차단	`/pspc/servlet/`, `/envmetadata/` 접근 경로 제한	정상 사용자 영향 최소화 검토 필요
HTTP 메서드 제한	Environment Management 엔드포인트 POST 차단	관리 기능 임시 비활성화 수용
페이로드 검사	XML 역직렬화 패턴, `<java.lang.Runtime>`, `<java.lang.ProcessBuilder>`	오탐률 모니터링 필수
Rate Limiting	동일 IP 반복 요청 임계값 설정	정상 배치 작업 예외 처리
IP 차단	Mandiant 공개 IOC IP 목록 기반 즉시 차단	정기 업데이트 자동화 필요

WAF는 알려진 익스플로잇 패턴을 탐지·차단할 수 있지만, 사전 인증 취약점의 복잡한 변형 공격까지 완전히 막는다고 보장하지 않는다. WAF 적용과 동시에 네트워크 분리 및 패치 적용을 병행해야 한다.

Mandiant는 2026년 6월 11일 CVE-2026-35273 관련 IOC를 공개했다. PeopleSoft 침해 여부를 확인할 때는 다음 흔적을 함께 검토한다.

파일시스템에서는 <docroot>/envmetadata/data/environment/ 아래의 최근 생성·변경 .xml 파일, README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT 랜섬 마커, 예상하지 못한 실행 파일·.dll·.jar 파일(MeshCentral 에이전트 포함), PeopleSoft 프로세스 디렉터리 밖의 스크립트 파일을 확인한다.

네트워크에서는 PeopleSoft 서버에서 시작된 아웃바운드 연결, MeshCentral C2 서버로 향하는 WebSocket 연결, 데이터 유출을 시사하는 대용량 아웃바운드 트래픽, Azure 서비스로 위장된 비정상 HTTPS 연결을 추적한다.

프로세스와 로그에서는 PeopleSoft 서비스 계정의 비정상 OS 명령, Java 프로세스 자식으로 실행된 cmd.exe, powershell.exe, bash, 그리고 PeopleSoft 웹 액세스 로그의 /envmetadata/ POST 요청을 살핀다.

외부 포털과 관리 컴포넌트를 분리하는 설계

⤢✕

Environment Management는 인터넷에서 직접 접근할 수 없어야 한다. 인터넷 접근 URL 경로에서 제외하고, 필요한 경우 내부 관리망에서만 접근하도록 제한한다.

학생과 교직원의 셀프서비스 포털은 WAF와 역방향 프록시 뒤에 두고 필요한 경로만 공개한다. PeopleSoft 웹 서버와 앱 서버 사이의 통신은 내부망에서만 허용한다. 시스템 관리자의 직접 접근은 MFA가 적용된 VPN을 반드시 경유하도록 강제한다.

제로데이는 패치가 존재하지 않는 상태를 전제로 하므로 행동 기반 탐지(Behavioral Detection)가 중요하다. PeopleSoft 서비스 계정의 정상 실행 프로세스, 네트워크 연결, 파일 접근을 UEBA로 기준선화하고 편차에 경보를 걸어야 한다. 아웃바운드 연결은 Oracle 라이선스 서버와 내부 NTP 등 필요한 대상으로 제한하고 나머지는 기본 차단해 C2 통신을 차단한다.

envmetadata, appserv, webserv 디렉터리에는 FIM을 적용하고 예상하지 못한 파일 생성·변경 이벤트를 SIEM으로 실시간 전송한다. Mandiant, CISA, Oracle 보안 권고를 자동 수신해 CVSS 9.0+ 취약점은 4시간 이내에 내부 전파하는 프로세스도 필요하다.

교육기관은 기업과 다른 예산, 인력, 거버넌스 조건을 고려해야 한다. ERP 패치 결정에 대학 CISO 또는 IT 보안 책임자를 공식 포함하고, 학기 중에도 긴급 패치를 적용할 수 있는 크리티컬 패치 절차를 별도로 둔다. IT, 학사행정, 법무·컴플라이언스, 홍보팀이 참여하는 사이버 사고 대응 위원회도 필요하다.

단독 운영이 어려운 소규모 대학은 고등교육 정보보호 공동운영체계(예: REN-ISAC)에 참여해 위협 인텔리전스와 사고 대응 역량을 공유할 수 있다. Oracle PeopleSoft 클라우드(SaaS) 전환도 검토 대상이다. 책임 공유 모델(Shared Responsibility Model)에서는 Oracle이 인프라 보안을 담당해 대학 내부의 보안 부담을 경감한다.

침해 그룹 TTP를 탐지 규칙으로 연결하기

ShinyHunters(UNC6240)의 TTP(Tactics, Techniques, Procedures)는 MITRE ATT&CK 프레임워크에서 다음과 같이 매핑된다.

MITRE ATT&CK	전술	ShinyHunters 구현 방식
T1190	공개 애플리케이션 익스플로잇	CVE-2026-35273 PeopleSoft RCE
T1219	원격 접근 소프트웨어	MeshCentral (오픈소스 RMM)
T1036.004	정상 프로세스 위장	Microsoft Azure 서비스로 위장
T1041	C2 채널을 통한 유출	HTTPS/WebSocket C2 통신
T1567	외부 서비스 통한 유출	다크웹 유출 사이트 게시
T1486	랜섬·공갈	데이터 유출 후 협박

UNC6240 관련 IOC 컬렉션은 GTI(Google Threat Intelligence)를 통해 SIEM에 자동 연동할 수 있다. Mandiant, CISA, ISAC 등의 STIX/TAXII 피드는 방화벽·WAF·EDR에 자동 적용한다. 자사 도메인, 이메일 형식, 학생 데이터 패턴을 대상으로 다크웹 모니터링 서비스를 상시 관제하는 방법도 있다.

온프레미스 ERP와 SaaS의 취약점 관리 차이

항목	Oracle PeopleSoft	SAP ERP/S4HANA	Workday
패치 주기	분기별 CPU (Critical Patch Update)	분기별 Security Note	자동 업데이트 (SaaS)
제로데이 대응	비정기 out-of-band 권고	Security Note 즉시 발행	Workday 자체 책임
인터넷 노출 방식	온프레미스 웹 레이어 직접 노출 위험	동일 (온프레미스 기준)	SaaS 모델, 직접 노출 없음
인증 체계	자체 PeopleSoft 인증 + SSO 가능	SAP SSO, SAML 지원	OAuth2, MFA 기본 내장
보안 알림 채널	Oracle MOS(My Oracle Support)	SAP Security Patch Day 뉴스레터	Workday Community 알림
평균 패치 적용 기간	35~90일 (온프레미스)	30~90일 (온프레미스)	N/A (자동)
대학 시장 점유율	높음 (북미 고등교육 주력)	중간	증가 추세

SaaS 모델인 Workday는 인프라 보안 책임이 벤더에 있으므로 이와 같은 제로데이의 직접 노출 위험이 구조적으로 낮다. Oracle PeopleSoft와 SAP 온프레미스 환경에서는 고객이 인프라 보안을 직접 책임진다. 보안 역량과 패치 거버넌스가 취약점 노출 위험을 좌우한다.

위험 분석 관점에서 CVE-2026-35273은 CVSS 9.8로 매우 높은 위협 가능성(Threat Likelihood)을 가진다. ERP 데이터의 민감도를 고려하면 자산 가치(Asset Value)와 취약성(Vulnerability)도 매우 높아 잔존 위험(Residual Risk)이 수용 한계를 초과한다. 즉각적인 패치 또는 격리가 필요한 Critical 위험으로 분류해야 한다.

ISMS-P 적용 시 2.11 취약점 관리의 정기적 취약점 점검 및 즉각적 대응 절차, 2.9.1 변경 관리의 긴급 패치 적용 시 변경 관리 절차, 2.11.4 사고 대응의 IOC 기반 포렌식·유출 범위 확인·규제기관 신고와 연결된다. 14일의 제로데이 기간 동안 인터넷 노출이 유지된 사례는 취약점 관리 미흡으로 판단할 수 있다.

노팅엄대학교는 45만 명 학생 데이터 유출로 영국 ICO(Information Commissioner's Office) 신고 의무가 발생한다. 국내 교육기관에서 같은 사건이 발생하면 개인정보보호위원회 신고(72시간 이내)와 정보주체 통지 의무가 적용된다.

ERP는 더 이상 내부 시스템이라는 전제만으로 보호할 수 없다. 셀프서비스 포털, 모바일 접근, API 연동으로 ERP 일부는 이미 퍼블릭 인터넷에 노출돼 있다. Zero Trust Architecture(ZTA)를 적용해 모든 접근 요청을 인증·인가·검증해야 한다.

분기별 CPU를 안정화한 뒤 적용하는 관행도 CVSS 9.8 제로데이 환경에서는 재검토할 필요가 있다. Critical 이상 취약점의 72시간 이내 패치 목표(RTO for Security)를 정책으로 두고 이를 지원하는 자동화 파이프라인을 구축해야 한다. PeopleSoft 액세스 로그와 PS_AUDIT 테이블을 SIEM에 실시간 통합하고, ERP 특화 탐지 규칙을 운용하는 ERP Security Operations Center(ERP-SOC)는 대형 교육·공공기관에서 필수 요소로 부상할 것이다.