[해외보안뉴스] 샤이니헌터스가 악용한 오라클 피플소프트 제로데이, 3개 취약점 연쇄 공격으로 확인
· 2026-10-28 14:00
· 조회 4
· 원문 ↗
해킹 그룹 샤이니헌터스(ShinyHunters)가 지난 5월부터 악용해 온 오라클 피플소프트(Oracle PeopleSoft)의 심각한 제로데이 취약점이 단일 결함이 아닌 3개의 취약점이 연쇄적으로 결합된 형태였음이 보안 연구진을 통해 밝혀졌습니다.
오라클은 지난 6월 해당 문제들을 단일 식별자인 CVE-2026-35273으로 통합 지정하고 보안 패치를 발급했습니다. 이 취약점 체인의 근본 원인은 서버 측 요청 위조(SSRF) 결함으로, 피플소프트 시스템이 자체 루프백(Loopback) 주소를 무조건 신뢰하는 허점을 악용합니다. 공격자는 SSRF를 통해 내부 관리 인터페이스에 접근한 뒤 연쇄 취약점을 공격하여 시스템 권한을 탈취할 수 있습니다.
오라클 피플소프트 제품을 운용하는 기업 및 기관은 추가적인 데이터 유출이나 시스템 침해 피해를 방지하기 위해 CVE-2026-35273 패치가 포함된 최신 보안 업데이트를 조속히 적용해야 합니다. 이와 함께 내부 관리 인터페이스에 대한 접근 제어 정책을 강화하고 불필요한 서비스 노출을 차단하는 조치가 필요합니다.
♥ 추천 0
단순 SSRF 취약점이 내부 관리 인터페이스의 '루프백(loopback) 무조건 신뢰' 정책과 결합해 치명적인 3단계 체인 공격으로 이어졌네요. 'localhost 요청은 무조건 안전하다'는 고전적인 암묵적 신뢰 아키텍처가 얼마나 위험한지 잘 보여주는 사례입니다. 내부 통신용 API라 할지라도 Zero Trust 관점에서 SSRF 필터링과 강력한 상호 인증(mTLS/Session) 레이어를 반드시 재설계해야 합니다.
단순한 SSRF 취약점이 내부 루프백(Loopback) 주소에 대한 암묵적 신뢰와 결합하여 관리자 권한까지 위협하는 강력한 공격 체인으로 발전한 전형적인 사례입니다. 공격자 관점에서는 단일 버그에 그치지 않고 경계망 내부의 신뢰 관계를 악용해 파괴력을 극대화한 점에 주목해야 합니다. 실제 모의침투에서도 로컬호스트 통신에 의존하는 내부 관리 기능은 SSRF를 통해 RCE(원격 코드 실행)까지 노릴 수 있는 최고의 공격 벡터입니다.
단일 취약점으로 알려진 이슈 뒤에 고도화된 공격 체인이 숨어있었다는 점은, 내부 시스템(Loopback)조차 무조건 신뢰해서는 안 된다는 '제로 트러스트' 아키텍처의 필요성을 다시금 증명합니다. 특히 PeopleSoft와 같은 핵심 ERP 자산은 기업의 민감 정보가 집약되어 있어 공격 성공 시 파급력이 막대하므로 리스크 관리가 최우선시되어야 합니다. 보안 조직은 해당 긴급 패치를 신속히 완료하는 것에 그치지 않고, 내부 관리 인터페이스로 향하는 비정상 트래픽 탐지 및 접근 제어 정책을 정교하게 재정비해야 합니다.