PeopleSoft 0-day에서 중요한 점은 “새 취약점이 공개됐다”는 사실만이 아닙니다. 공식 패치가 나오기 전 이미 실제 침해가 발생했고, 일부 조직에서는 데이터 탈취와 협박으로 이어졌다는 점입니다.
따라서 이번 사안은 일반적인 패치 공지처럼 다루기 어렵습니다. PeopleSoft를 운영하는 조직이라면 패치 적용과 함께 “이미 공격자가 들어왔는가”를 확인해야 합니다.
취약점의 성격: 인증 없는 원격 악용
문제의 취약점은 Oracle PeopleSoft Enterprise PeopleTools의 Updates Environment Management 구성요소에 있는 CVE-2026-35273입니다. Oracle은 2026년 6월 10일 보안 경고를 공개했고, 정기 패치 주기 밖에서 긴급 패치를 배포했습니다.1
위험도는 매우 높습니다. CVSS v3.1 점수는 9.8이며, 인증 없이 원격에서 악용될 수 있습니다. 악용에 성공하면 원격 코드 실행으로 이어질 수 있습니다.2 영향 대상은 PeopleTools 8.61과 8.62입니다.1
TrendAI는 이 결함을 서버 측 요청 위조, 즉 SSRF로 분류했습니다.2 SSRF는 서버가 공격자가 지정한 내부 또는 외부 주소로 요청을 보내게 만드는 취약점입니다. 흔히 내부 자원 접근이나 정보 노출과 연결되지만, 이번 사례에서는 원격 코드 실행 가능성까지 언급된 만큼 단순한 웹 취약점으로 낮춰 볼 수 없습니다.
왜 “패치 후 점검”이 핵심인가
Mandiant에 따르면 CVE-2026-35273의 실제 악용은 2026년 5월 27일부터 6월 9일 사이 관찰됐습니다.2 Oracle의 보안 경고와 긴급 패치가 6월 10일 공개됐다는 점을 고려하면, 공격자는 방어자가 공식 정보를 확인하기 전에 이미 움직이고 있었습니다.
이 때문에 대응의 순서는 두 갈래여야 합니다.
첫째, 취약한 PeopleTools 버전을 즉시 패치해야 합니다. 둘째, 패치 이전 기간에 침해가 있었는지 조사해야 합니다. 패치는 이후의 악용 가능성을 줄이지만, 이미 생성된 계정, 배치된 도구, 탈취된 데이터까지 되돌리지는 못합니다.
보고된 공격 흐름도 이 점을 뒷받침합니다. 공격자는 PeopleSoft의 PSEMHUB와 /PSIGW/HttpListeningConnector 같은 엔드포인트를 노렸고, 이후 PeopleSoft 설정, 내부 구성, WebLogic 관련 파일을 살핀 정황이 보고됐습니다.2 일부 조직에서는 탈취된 데이터가 ShinyHunters 데이터 유출 사이트에 게시됐고, 공격자는 ShinyHunters 데이터 유출 사이트를 호스팅하는 IP 주소로 아웃바운드 SSH 연결을 설정한 것으로 알려졌습니다.
PeopleSoft가 인사, 급여, 재무, 학생 행정 등 민감한 업무 데이터를 다루는 시스템이라는 점도 중요합니다. ShinyHunters로 알려진 금전 목적 공격 그룹은 100개 이상 조직을 노렸다고 주장했으며, 교육기관 비중이 컸습니다.3 ERP와 행정 시스템은 공격자에게 단순 서버가 아니라 고가치 데이터 저장소입니다.
운영자가 지금 확인해야 할 것
PeopleTools 8.61 또는 8.62를 운영 중이라면 우선 Oracle의 긴급 패치를 적용해야 합니다. 동시에 PSEMHUB 서비스를 비활성화하거나, 외부에서 /PSEMHUB/*와 /PSIGW/HttpListeningConnector에 접근하지 못하도록 제한해야 합니다.2
그다음은 침해 여부 확인입니다. 특히 2026년 5월 27일부터 6월 9일 사이의 로그를 우선 검토해야 합니다. 외부 IP에서 들어온 의심스러운 POST 요청, PeopleSoft 서버에서 발생한 비정상 SSH·SMB 아웃바운드 트래픽, 예상치 못한 JSP 파일, MeshCentral 에이전트 흔적 등을 확인해야 합니다.2
데이터 유출 가능성도 별도로 봐야 합니다. 이번 사례에서는 탈취 데이터가 zstd 도구로 압축됐고, ShinyHunters 데이터 유출 사이트는 단일 피해자로부터 48GB의 데이터를 확보했다고 주장했습니다. 대용량 압축 파일 생성, 비정상적인 외부 전송, 업무 시간 외 대량 접근 같은 징후는 단순 시스템 로그보다 데이터 유출 관점에서 다시 분석할 필요가 있습니다.
이번 사건의 교훈
이번 PeopleSoft 0-day의 핵심은 취약점 하나의 심각도에만 있지 않습니다. 인터넷에 노출된 관리·연동용 엔드포인트가 공격 표면이 되고, ERP 시스템 침해가 곧 민감 데이터 유출로 이어질 수 있다는 점이 더 큰 문제입니다.
PeopleSoft를 포함한 ERP는 단순한 업무 시스템이 아니라 조직의 데이터 금고입니다. 따라서 운영 편의를 위해 열어둔 관리 기능, 외부 접근 경로, 연동 인터페이스를 정기적으로 점검해야 합니다. 이번 사건의 실질적인 대응도 마찬가지입니다. 패치로 끝내지 말고, 노출을 줄이고, 로그를 확인하고, 데이터 유출 가능성까지 추적해야 합니다.
1Oracle Security Alert Advisory - CVE-2026-35273
2Active Exploitation of Oracle PeopleSoft Zero-Day (CVE-2026-35273)
3Oracle PeopleSoft servers hacked in ShinyHunters data theft attacks
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.