[해외보안뉴스] ShinyHunters, URL 인코딩 기법으로 Oracle PeopleSoft WAF 우회 및 공격 재개
· 2026-09-26 20:00
· 조회 24
· 원문 ↗
악명 높은 갈취 해킹 집단인 ShinyHunters가 Oracle PeopleSoft 제품군에 존재하는 CVE-2026-35273 취약점을 악용하기 위해 웹 애플리케이션 방화벽(WAF)을 우회하는 우회 기법을 사용 중인 것으로 확인되었습니다. 공격자들은 WAF의 탐지 규칙을 무력화함으로써 취약한 서버를 향한 광범위한 공격을 다시 전개하고 있습니다.
이번 공격은 URL 인코딩 편법을 활용하여 WAF의 악성 패턴 검사를 우회하는 방식으로 진행됩니다. 많은 기업이 보안 패치를 즉시 적용하지 못할 때 임시방편으로 WAF 차단 규칙을 사용하지만, 공격자가 악성 페이로드를 인코딩하여 전달할 경우 WAF는 이를 정상 요청으로 인식해 통과시킵니다. 그러나 백엔드의 Oracle PeopleSoft 서버는 해당 요청을 디코딩하여 실행하므로 결국 취약점이 그대로 노출되게 됩니다. 이에 따라 패치 대신 WAF 차단에만 의존해 온 기업들이 주요 영향 범위에 들어갑니다.
보안 담당자는 WAF와 같은 임시 완화 조치에만 의존하지 말고, Oracle이 제공하는 CVE-2026-35273 공식 보안 패치를 즉시 시스템에 적용해야 합니다. 아울러 다중 URL 인코딩 패킷을 복호화하여 검사할 수 있도록 WAF 탐지 엔진 설정을 강화하고, PeopleSoft 웹 엔드포인트로 들어오는 비정상적인 인코딩 요청에 대한 실시간 모니터링을 수행해야 합니다.
♥ 추천 0
WAF를 통한 미티게이션은 URL 인코딩 변형만으로도 무력화되기 쉬우며, 이는 시그니처 기반 방어의 명확한 한계를 보여줍니다. 애플리케이션 코드 단에서 입력값을 정규화(Canonicalization)하여 검증하는 심층 방어가 수반되어야 하며, 임시 WAF 룰에 의존하기보다 오라클의 정식 보안 패치를 최우선으로 적용해야 합니다.
임시방편으로 적용한 WAF 미티게이션 룰은 URL 이중 인코딩이나 난독화 같은 기본적인 우회 기법만으로도 손쉽게 무력화될 수 있습니다. 공격자가 WAF의 디코딩 로직 허점을 파악하는 순간 기존 취약점의 공격 벡터가 그대로 다시 활성화되는 전형적인 사례입니다. 침투 테스트 관점에서도 WAF 차단 룰에만 의존하는 방어 전략은 매우 취약하므로, 소스 코드 수준의 근본적인 패치가 반드시 병행되어야 합니다.
WAF를 통한 임시 조치(가상 패치)는 완벽한 방어가 될 수 없으며, 공격자는 끊임없이 우회 기법을 찾아낸다는 점을 다시 한번 보여주는 사례입니다.
PeopleSoft와 같은 핵심 기업 시스템(ERP) 취약점은 단순 우회 패턴 차단에만 의존하지 말고, 공급업체의 정식 보안 패치를 신속히 적용하는 프로세스가 최우선되어야 합니다.
당사 보안팀도 즉시 해당 URL 인코딩 우회 패턴에 대한 방어 상태를 점검하고, 핵심 자산에 대한 패치 거버넌스를 더욱 강화하겠습니다.