CVSS 9.8짜리 Oracle PeopleSoft 취약점으로 ShinyHunters가 100개 이상 조직에 2주 체류

오라클 피플소프트를 운영하는 100여 개 조직이 통보를 받기도 전에 자신들이 샤이니헌터스의 갈취 네트워크에 침투당했다는 사실을 알게 됐다. 이 캠페인을 가능하게 한 취약점(CVE-2026-35273, 심각도 9.8/10)은 인증이나 사용자 조작 없이 HTTP를 통한 네트워크 접근만으로 노출된 서버에서 완전한 원격 코드 실행을 가능하게 한다.

취약점은 피플소프트의 PeopleTools Updates Environment Management 구성 요소에 있다. 이 모듈은 대학과 기업이 의존하는 인사, 학생 정보, 재무 관리 시스템에서 흔히 사용된다. 공격자는 이를 기존에 알려진 취약점과 연결해 보안 연구자들이 ‘가젯 체인’이라고 부르는 방식을 사용한다. 설정 파일에서 자격 증명을 추출한 뒤 각 피해자 인프라의 애플리케이션, 웹, 배치 계층을 매핑한다. 샤이니헌터스는 공격 대상 조직에서 300개 이상의 서버 인스턴스를 통해 작업했다.

샤이니헌터스는 암호화 대신 데이터 탈취 및 갈취 모델로 운영된다. 데이터를 빼내고, 갈취 포털에 목록을 올리며, 단계적으로 유출해 피해자가 지불하도록 압박한다. 침해된 시스템에는 ‘README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT’라는 파일이 남겨져 있었다. Mandiant가 이 캠페인의 범위를 파악하고 영향을 받은 조직에 통보했으며, Arctic Wolf가 그룹의 도구와 측면 이동 패턴에 대한 상세 포렌식 분석을 발표했다.

고등교육 기관이 피해의 68%를 차지했다. 대학들이 동일한 배포에서 인사와 학생 정보 시스템의 핵심으로 피플소프트를 운영하는 데서 비롯된 예측 가능한 결과다. 노팅엄 대학교는 침해를 확인했으며, 샤이니헌터스가 약 50만 명의 현재 및 이전 학생 데이터 40GB 이상을 게시했다. 전미보험협회(National Association of Insurance Commissioners)는 3.1테라바이트가 도난당했다고 보고했다. 공개된 기업 피해자로는 닛산(Nissan)이 있으며, 미국, 캐나다, 멕시코, 브라질의 직원 기록이 노출됐고, 구보타 북미(Kubota North America)와 일본 아플락(Aflac) 자회사도 포함된다.

이 캠페인을 통해 추출된 데이터는 피플소프트가 관리하는 가장 민감한 범주에 걸쳐 있다. 이름, 연락처, 은행 계좌 정보, 세금 기록, 정부 발급 신분증 번호, 부양가족 및 수혜자 기록 등이다. 대학의 경우 학자금 지원 기록과 학생 ID까지 포함된다. 이러한 조합은 피플소프트를 고수익 표적으로 만든다. 단일 침해된 설치본은 일반적으로 기관 전체 직원과 학생 인구의 완전한 재무 프로필을 보유하고 있기 때문이다.

익스플로잇 창은 5월 27일부터 6월 9일까지였다. 오라클은 6월 10일 긴급 대역외 권고를 발행하여 활성 공격 벡터를 차단했다. 영구 수정은 7월 21일 오라클 분기별 중요 패치 업데이트의 일부로 제공됐으며, 이는 회사 역사상 가장 큰 규모 중 하나로 CVSS 10.0 등급 10개를 포함한 1,455개의 새로 공개된 취약점을 해결했다. 6월 긴급 권고만 적용한 조직은 7월 CPU가 설치되었는지 확인해야 한다. 대역외 패치는 샤이니헌터스가 악용한 벡터를 막았지만 전체 취약점 체인을 해결하지는 않았다.

오라클은 즉시 7월 CPU를 적용하고, 피플소프트 인스턴스에 대한 네트워크 접근을 일시적으로 제한하며, 네트워크 가장자리에서 Updates Environment Management 구성 요소를 비활성화하는 WAF 규칙을 구현할 것을 권장한다. 영향을 받은 조직과 연결된 개인, 즉 대학, 보험사, 고용주가 인사, 급여, 학생 관리용으로 피플소프트를 운영하는 경우, 샤이니헌터스의 단계적 유출 모델은 아직 공개되지 않은 데이터가 향후 몇 주 내에 유출 포털에 나타날 수 있음을 의미한다. 신용 보고서를 확인하고 의심스러운 정부 ID 사용을 모니터링하는 것이 실질적인 단기 조치다.

태그: 사이버보안, CVE-2026-35273, Oracle, PeopleSoft, ShinyHunters, 데이터 유출