[분석가] 분석 — CVE-2026-35273

• 심각도 critical · CVSS 9.8 · EPSS 0.95473 · 악용난이도 easy · KEV

• 네트워크를 통해 HTTP 요청만으로 인증 없이 취약한 Updates Environment Management 컴포넌트를 호출합니다.
• 악의적인 파라미터가 전달되면 서버 측에서 임의 코드를 실행하게 되며, 이는 곧 전체 PeopleTools 환경에 대한 원격 코드 실행(RCE)로 이어집니다.
• 공격자는 별도의 인증 절차 없이도 시스템 권한을 획득하고, 이후 추가 명령을 자유롭게 수행할 수 있습니다.

악용 가능성: AV:N(네트워크)으로 인해 공격자는 인터넷·내부망 어디서든 HTTP 요청만으로 접근할 수 있으며, UI:N(사용자 상호작용 없음)과 PR:N(권한 요구 안 함) 때문에 사전 인증이나 피싱 단계가 전혀 필요하지 않습니다. AC:L(낮은 복잡도)이라는 점은 표준 웹 파라미터 조작만으로도 취약 코드를 트리거할 수 있음을 의미하므로, 스크립트 기반 자동 공격이 실현 가능함을 보여줍니다. EPSS = 0.95473(95.473 %)는 과거 30일 내에 실제 악용 사례가 다수 보고된 점수를 반영한 것으로, 이론적 심각도와 무관하게 현재 위협 수준이 매우 높다는 신뢰할 만한 근거입니다. KEV 등재는 이미 공개된 익스플로잇 코드가 존재하고 공격자들이 이를 활용해 실제 침투를 시도했음을 증명합니다. 노출되는 엔드포인트는 PeopleSoft Enterprise PeopleTools의 “Updates Environment Management” 모듈이 제공하는 HTTP API이며, 해당 URL·쿼리 파라미터가 외부에 공개돼 있으면 누구라도 원격에서 임의 코드를 실행할 수 있습니다. 따라서 이 취약점은 네트워크 접근 가능성만 확보하면 별도의 사전 작업 없이도 시스템 전체를 장악할 수 있는 고위험 공격 표면을 제공합니다.

• 기술적 위험

  • 성공적인 악용 시 기밀성(C), 무결성(I), 가용성(A) 모두가 심각하게 침해되어 전체 PeopleTools 서비스가 장악됩니다.
  • 데이터베이스에 저장된 인사·재무 정보 등 핵심 비즈니스 데이터가 유출·조작될 수 있습니다.
  • 시스템 다운타임 및 서비스 중단이 발생하면 기업 전반의 업무 흐름이 마비됩니다.

• 비즈니스 리스크

  • 인사·급여, 회계 등 핵심 업무 프로세스가 중단되어 운영 비용이 급증하고 규제 보고 의무를 위반할 위험이 있습니다.
  • 고객·협력사의 신뢰도가 저하되고, 개인정보 보호법(예: GDPR, 한국의 개인정보보호법) 위반에 따른 법적 제재 가능성이 존재합니다.

• 노출 규모

  • 영향을 받는 제품은 PeopleSoft Enterprise PeopleTools이며, 버전 8.61·8.62가 해당됩니다.
  • 다중 소스에서 일관성이 확인됐으며([교차검증] 신뢰도 1.0), 따라서 보고된 범위가 정확합니다.

• 실제 악용 가능성

  • EPSS = 0.95473(≈95 %) 로, 이론적 CVSS 9.8과 독립적으로 실제 악용이 매우 높은 수준임을 의미합니다.
  • KEV에 등재된 점과 “exploit = easy” 평가가 결합되어 공격이 빠르게 자동화될 가능성이 큽니다.

• 동일 제품 내 다른 인증 우회(CWE‑287) 혹은 권한 상승(CWE‑269) 취약점과 연계될 경우, 초기 RCE 후 추가적인 관리 권한 확대가 용이합니다.
• 현재 확인된 구체적 CVE 번호는 없으며, 일반적인 PeopleSoft 플랫폼 내 권한 제어 결함과의 체이닝 가능성을 염두에 두셔야 합니다.

• 웹 서버 로그: /psp/PeopleTools/* 경로에 비정상적인 HTTP 메서드(POST/GET)와 특수 파라미터가 포함된 요청을 모니터링합니다.
  • 예시 정규식: ^GET\s+\/psp\/PeopleTools\/.*\?Action=UpdateEnv.*$
• 응용 프로그램 로그: 비정상적인 스크립트 실행, 시스템 명령 호출, 또는 관리자 계정 없이 발생한 데이터베이스 쿼리 기록을 탐지합니다.
• 네트워크 IDS/IPS: 외부 IP에서 내부 PeopleTools 웹 포트(보통 80/443)로 향하는 고빈도 요청 패턴을 경고 규칙에 추가합니다.

1. 즉시 조치

   • 외부 네트워크에서 PeopleTools 웹 인터페이스 접근을 방화벽 또는 WAF 로 차단하고, 내부 IP만 허용하도록 제한합니다.
   • 해당 컴포넌트(Updates Environment Management)를 비활성화하거나, 서비스 중지 후 패치를 적용할 수 있는 유지보수 창을 확보합니다.

2. 근본 해결

   • Oracle이 제공하는 공식 보안 업데이트가 발표되는 즉시 적용합니다.
   • 최신 버전으로 업그레이드(가능한 경우)하여 취약점이 제거된 릴리스를 사용합니다.

3. 추가 방어

   • 강력한 네트워크 세분화와 최소 권한 원칙을 적용해 서비스 계정의 범위를 제한합니다.
   • 정기적인 로그 검토 및 위협 인텔리전스 피드(KEV, EPSS) 연동으로 새로운 악용 시도를 신속히 탐지합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.95473 · exploit=easy · in_scope=None