길리랩blog

Oracle PeopleSoft 제로데이 침해와 ERP 긴급 대응 아키텍처

CVE-2026-35273 PeopleSoft RCE 침해 사례를 바탕으로 ERP 인터넷 노출, IOC 포렌식, 패치 전 완화 통제를 정리한다.

2026-08-14 · 최초 발행 2026-08-02

13일 동안 확산된 PeopleSoft 침해

2026년 5월 말부터 6월 초까지 ShinyHunters(UNC6240)는 Oracle PeopleSoft의 미패치 원격 코드 실행 취약점 CVE-2026-35273을 악용해 전 세계 100개 이상 기관을 13일 만에 침해했다. CVSS 9.8로 분류된 제로데이는 미국 대학을 집중적으로 겨냥했고, 대학은 전체 피해 기관의 68%를 차지했다. 노팅엄 대학을 포함한 교육기관에서는 대규모 데이터 탈취 피해가 발생했다.

이 사례가 보여주는 핵심은 단순한 패치 지연이 아니다. 인터넷에 직접 노출된 엔터프라이즈 ERP와, 제로데이 상황에 즉시 전환할 완화 아키텍처가 없을 때 피해가 어떻게 증폭되는지를 드러낸 사건이다.

ShinyHunters는 2021년 Microsoft GitHub 소스코드 탈취와 AT&T 데이터 유출로 알려진 위협 행위자 그룹이다. 이번 캠페인의 진행은 다음과 같았다.

  • 2026-05-27: 최초 침해 확인 — Oracle PeopleSoft 인터넷 노출 인스턴스를 대상으로 취약점 스캐닝 시작
  • 2026-05-29 ~ 06-03: 1차 웨이브 — 북미 대학 43개 기관 침해, 학생 PII·연구 데이터 탈취
  • 2026-06-04 ~ 06-09: 2차 웨이브 — 유럽·아시아 교육기관을 포함해 잔여 57개 기관으로 침해 확대
  • 2026-06-09: Oracle이 CPU 외 임시 보안 패치인 Out-of-Band 패치를 발표
  • 2026-06-12: CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 긴급 등재

피해 기관은 대학 68%, 의료 기관 14%, 정부 기관 11%, 금융 7%로 분포했다. ERP를 인터넷에 직접 노출한 교육 부문의 취약성이 특히 두드러졌다.

PeopleSoft Integration Broker에서 시작되는 원격 코드 실행

항목 내용
CVE ID CVE-2026-35273
영향 제품 Oracle PeopleSoft 9.2.x (PeopleTools 8.58 ~ 8.61)
취약점 유형 Remote Code Execution (CWE-94 — Code Injection)
CVSS v3.1 Score 9.8 (Critical)
Attack Vector Network (AV:N)
Authentication None Required (PR:N)
Privileges None (UI:N)

CVE-2026-35273은 PeopleTools의 Integration Broker 컴포넌트에 있는 XML 파싱 로직의 서버사이드 코드 인젝션 취약점이다. 공격자는 인증 없이 HTTP POST 요청으로 악성 페이로드를 PeopleSoft Application Server에 전달할 수 있다.

공격은 PSIGW/HttpListeningConnector로 조작된 XML SOAP 메시지를 보내는 방식에서 출발한다. Integration Broker가 IBRequestDocument를 파싱하는 과정에서 입력 검증을 우회하고, PeopleCode 인터프리터 컨텍스트에서 Java Runtime.exec() 호출을 통한 임의 OS 명령 실행으로 이어진다. 이후 공격자는 PeopleSoft Application Server 권한, 보통 Oracle 또는 전용 서비스 계정 권한으로 웹쉘을 배포하고 DB 서버로 측면 이동한 뒤 인사·재무·학사 데이터를 대량 추출한다.

침해 흔적을 찾을 때는 다음 IOC를 우선 확인한다.

  • 비정상 User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; PeopleSoft-Scanner/2.6)
  • 공격 URL 패턴: /PSIGW/HttpListeningConnector, /psp/[sitename]/EMPLOYEE/HRMS/s/WEBLIB_*
  • 웹쉘 배포 경로: /opt/oracle/psft/pt/webserv/*/applications/peoplesoft/PORTAL.war/WEB-INF/
  • 외부 C2 통신: AS54538, AS209769 (ShinyHunters 귀속 인프라)

패치가 없을 때 작동해야 하는 격리 경로

제로데이 패치가 부재한 동안에는 긴급 격리와 완화를 심층 방어 관점에서 구성해야 한다.

⤢✕HTTPS 요청시그니처 매칭 후 정상 트래픽차단 (PSIGW 패턴 탐지)인증된 내부 요청만(1) 외부 연결 비활성화로그 스트리밍이상 패턴 알람임계치 초과 시 알람격리 명령패치 스케줄링롤링 업데이트인터넷 사용자/공격자WAF (CVE-2026-35273시그니처 적용)로드밸런서 (IP 차단 목록 적용)DMZ 격리 존PeopleSoft Web Server(PIA)PeopleSoft App Server(PSAPPSRV)Integration Broker Gateway(격리 또는 비활성화)PeopleSoft DB(Oracle/MS-SQL)SIEM (Splunk/QRadar) 이상탐지SOC 분석가 긴급 대응Out-of-Band 패치 적용 서버

WAF에서는 /PSIGW/HttpListeningConnector 접근과 악성 SOAP 본문을 대상으로 긴급 규칙을 적용한다. 대응 초기 0~4시간 내에 적용할 수 있는 예시는 다음과 같다.

# ModSecurity / AWS WAF / F5 규칙 예시
SecRule REQUEST_URI "@contains /PSIGW/HttpListeningConnector" \
    "id:2026001, phase:1, deny, status:403, \
    msg:'CVE-2026-35273 PeopleSoft IBGW Attack Attempt'"

SecRule REQUEST_BODY "@rx <IBRequest.*?><ExternalOperationName>" \
    "id:2026002, phase:2, deny, status:403, \
    msg:'CVE-2026-35273 Malicious SOAP Payload'"

4~8시간 내에는 Integration Broker의 외부 노출을 줄인다. PeopleSoft Gateway Manager에서 LocalNode 외부 서비스 노드를 비활성화하고, WebLogic 또는 WebSphere 접근 제어로 IB Gateway URL(/PSIGW/)을 내부 IP 대역으로 제한한다. 불필요한 외부 연계 서비스 노드는 임시로 Inactive 처리한다.

8~24시간 내에는 PeopleSoft 3-Tier 아키텍처의 Web·App·DB 계층 사이 방화벽 ACL을 재검토한다. PeopleSoft Application Server 포트인 8000, 9000 등의 인터넷 직접 접근을 차단했는지 확인하고, DB 포트 1521과 1433의 인터넷 접근 여부도 긴급 점검 후 차단한다.

로그와 IOC를 함께 보는 사후 분석

침해 후에는 피해 범위를 빠르게 산정하면서 증거를 보전해야 한다. PeopleSoft 애플리케이션 로그에서는 $PS_HOME/appserv/*/LOGS/APPSRV_*.LOG의 PeopleCode 실행 오류와 비정상 호출, $PS_HOME/webserv/*/logs/access_log의 /PSIGW/ 접근 패턴, $PS_CFG_HOME/appserv/*/LOGS/의 Integration Broker 메시지 처리 기록을 살핀다.

OS 레벨에서는 PeopleSoft 서비스 계정의 프로세스 생성 이력인 /proc/[pid]/cmdline과 Windows Event 4688을 확인한다. .war 경로 안의 .jsp, .class 파일 생성 시점도 중요하며, netstat -anp, /proc/net/tcp의 네트워크 연결 기록을 C2 IP와 대조해야 한다.

DB 감사 로그에서는 DBA_AUDIT_TRAIL, UNIFIED_AUDIT_TRAIL을 통해 대량 SELECT 이상을 탐지한다. PS_PERSONAL_DATA, PS_EMPL_RCD, PS_ACCOUNT_* 등 PeopleSoft 인사·재무·학사 테이블의 비정상 접근 시간대도 분석 대상이다.

전술(Tactic) 기법(Technique) ShinyHunters 행동 패턴
Initial Access T1190 — Exploit Public-Facing Application PeopleSoft IBGW RCE 직접 악용
Execution T1059.007 — JavaScript/PeopleCode Injection PeopleCode 원격 실행
Persistence T1505.003 — Web Shell .jsp 웹쉘 PORTAL.war 내 배포
Lateral Movement T1210 — Exploitation of Remote Services DB 서버 측면 이동
Exfiltration T1041 — Exfiltration Over C2 Channel AS54538 C2 인프라 통해 데이터 전송

교육기관 ERP는 외부 접점부터 줄여야 한다

대학은 오픈 네트워크 문화, 예산 제약, IT 인력 부족이라는 삼중 취약성을 가진다. 교육기관의 PeopleSoft 환경에서는 PIA Web Server만 DMZ에 배치하고, Application Server·Integration Broker·Process Scheduler는 내부망 전용으로 두는 방식이 기준이 된다.

DB 계층은 별도 Security Zone으로 분리하고 App Server IP만 접근하도록 제한한다. PeopleSoft Admin Console과 WebLogic Console은 VPN과 점프서버를 경유해서만 허용한다. 외부 API 연계는 Kong, Apigee 등의 API Gateway를 중간 계층으로 둔다.

사전 탐지는 Oracle CPU의 분기별 공지 외에 My Oracle Support(MOS) 보안 권고를 실시간 구독하는 데서 시작한다. PeopleTools 버전 인벤토리는 CMDB와 연동해 자동화하고, GitHub·Exploit-DB·VulnDB에서 PeopleSoft 관련 PoC 코드 출현을 감시한다. FS-ISAC, REN-ISAC 등 교육기관 전용 ISAC의 공유 정보도 활용한다. Dev·QA·Prod 3단계 패치 파이프라인은 긴급 패치 배포 시간을 단축하는 기반이 된다.

ERP 운영 모델별 취약점 관리 차이

비교 항목 Oracle PeopleSoft SAP Workday
패치 주기 분기별 CPU (긴급 시 Out-of-Band) 월별 SAP Security Note SaaS 자동 업데이트 (상시)
취약점 공개 방식 CVE + Oracle Advisory SAP Security Note (번호 기반) 자체 Security Bulletin
인터넷 노출 위험 높음 (On-Premise 직접 노출 빈번) 높음 (SAP NetWeaver Internet Face) 낮음 (SaaS, 직접 노출 없음)
제로데이 대응 CPU 외 패치 불규칙 Hotfix/Workaround 비교적 신속 벤더 즉시 대응 (SLA 보장)
대학 채택률 매우 높음 (PeopleSoft Campus Solutions) 중간 증가 추세
설정 복잡도 높음 (다수 컴포넌트 독립 구성) 높음 (Basis 전문 인력 필요) 낮음 (UI 기반 설정)

PeopleSoft와 SAP 같은 On-Premise ERP는 인터넷 노출 최소화와 독립적인 패치 관리 역량을 전제로 한다. Workday와 Oracle Cloud HCM 같은 SaaS ERP로의 전환은 인프라 보안 책임을 벤더에 이전하는 효과가 있다. On-Premise를 유지하는 단기 구간에서는 WAF, 네트워크 분리, 위협 인텔리전스가 핵심 통제항목이다.

사고 대응 체계에 연결되는 보안 관점

이 사건을 다루려면 CVSS v3.1의 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H = 9.8 계산 원리와, 제로데이에서 CVE 등재와 CISA KEV 추가로 이어지는 정보 흐름을 함께 이해해야 한다. Critical 취약점에는 24~72시간 긴급 패치와 정기 패치 사이클을 구분한 관리 절차가 필요하다.

사고 대응은 NIST SP 800-61의 준비, 탐지·분석, 격리·제거, 복구, 사후 활동 순서로 정리할 수 있다. 증거는 메모리, 프로세스, 네트워크, 디스크의 변동성 순서에 따라 수집한다. Lockheed Martin 킬체인 관점에서는 ShinyHunters의 각 공격 행위를 단계별로 매핑할 수 있다.

네트워크 측면에서는 외부방화벽-DMZ-내부방화벽으로 구성된 3-계층 구조, ERP 계층 간 최소 권한 네트워크 접근 제어, 그리고 "Never Trust, Always Verify" 원칙을 적용한 제로 트러스트 설계가 맞물린다.

ERP 보안 환경은 이렇게 변할 전망이다

이 사건 이후 On-Premise PeopleSoft에서 Oracle Cloud HCM과 Campus Solutions Cloud로의 전환 압력은 증가할 전망이다. Shared Responsibility Model에 따른 인프라 보안 책임의 벤더 이전도 더 명확해질 수 있다.

UEBA(User and Entity Behavior Analytics)는 ERP 사용자의 정상 행동 베이스라인을 학습한 뒤 이상 접근을 실시간 탐지하는 방향으로 고도화될 수 있다. LLM 기반 로그 분석은 수십 GB에 달하는 ERP 로그에서 이상 패턴을 자동 추출하는 용도로 언급된다.

ERP 커스터마이징과 서드파티 플러그인에는 SBOM(Software Bill of Materials) 관리가 요구되며, 벤더 패치의 서명 검증과 무결성 확인 절차도 강화될 수 있다. 미국 CISA의 KEV 카탈로그는 연방기관 적용 기한을 현행 2주에서 72시간으로 단축하는 방안이 논의 중이고, 교육기관을 대상으로 한 FERPA(학생 개인정보 보호법) ERP 보안 준수 감사도 강화될 전망이다.

인터넷에 노출된 On-Premise ERP는 CVSS 9.8 수준의 제로데이에서 빠르게 대규모 피해로 이어질 수 있다. 패치가 없는 상황에서도 WAF 시그니처 적용, Integration Broker 외부 노출 차단, 네트워크 계층 분리는 공격 경로를 줄이기 위한 즉시 가동 가능한 통제다. 운영 조직은 ERP의 구조적 노출 위험을 식별하고, 제로데이 상황에서 실행할 완화 아키텍처를 사전에 설계·검증해야 한다.

Sources

ERP 보안PeopleSoft제로데이침해 대응취약점 관리