CVSS 10.0 CVE-2026-21962 분석. 오라클 웹로직·HTTP 서버 접근 제어 결함으로 CISA가 72시간 패치 시한을 부여한 이유와 탐지 패턴.
이번 취약점은 웹로직 앞단에서 요청을 받아 넘겨주는 오라클 HTTP 서버와 웹로직 서버 프록시 플러그인에 있다. 는 CVSS 10.0 만점 결함으로, 인증되지 않은 공격자가 HTTP로 네트워크 접근만 하면 이 구성 요소를 장악할 수 있다. CISA는 2026년 8월 24일 이 취약점을 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가하고, 연방 기관에 72시간 패치 시한(8월 27일)을 부여했다. CISA가 2026년 6월 새 지침 BOD 26-04를 낸 뒤로는 KEV 신규 등재 대부분이 같은 3일 기한을 받았다. 72시간은 CISA 규정상 가능한 최단 기한이다.
| 항목 | 내용 |
|---|---|
| CVE | |
| CVSS | 10.0 CRITICAL |
| CWE | CWE-284 (Improper Access Control) |
| 영향 제품 | Oracle HTTP Server · WebLogic Server Proxy Plug-in |
| 취약 버전 | 12.2.1.4.0 · 14.1.1.0.0 · 14.1.2.0.0 (Apache) · 12.2.1.4.0 (IIS) |
| 패치 | 2026년 1월 Oracle CPU (1월 20일) |
| CISA KEV | 등재 8월 24일 · 기한 8월 27일(72시간) |
오라클 웹로직 서버는 국내외 금융권과 공공기관에서 오랫동안 써온 자바 애플리케이션 서버다. 오라클 HTTP 서버(OHS)는 그 앞단에서 요청을 받아 웹로직으로 넘겨주는 프록시 역할을 한다. 정상적인 구성이라면 OHS가 외부 요청을 걸러내고, 웹로직의 관리 콘솔 같은 민감한 엔드포인트는 내부망에서만 접근 가능해야 한다.
는 이 경계를 무너뜨린다. 취약점의 CVSS 벡터는 AV:N/AC:L/PR:N/UI:N이다. 네트워크에서, 낮은 공격 난이도로, 인증이나 사용자 개입 없이 공격할 수 있다는 뜻이다. 가용성에 대한 영향은 없지만(A:N), 기밀성과 무결성 양쪽에 완전한 피해를 줄 수 있다. 오라클은 결함이 프록시 쪽에 있어도 공격이 다른 제품까지 크게 번질 수 있다고 밝혔고(범위 변경, S:C), 보안 업체 NetSPI는 뒤쪽 웹로직 클러스터로 넘어갈(pivoting) 가능성을 짚었다.
NVD는 이 취약점을 CWE-284(부적절한 접근 제어)로 분류했다. 오라클 권고문은 결함 구성 요소를 아파치 HTTP 서버용·IIS용 웹로직 서버 프록시 플러그인으로 밝혔을 뿐, 동작 원리는 공개하지 않았다.
공개된 공격 요청을 보면, SANS ISC가 1월 28일 공개한 요청과 CloudSEK 허니팟에 들어온 요청 모두 웹로직 경로 중간에 ..;를 끼워 내부 경로를 겨냥했다. SANS ISC가 본 요청은 프록시 헤더 값도 조작했다. 다만 이런 요청이 실제로 통하는지는 확인되지 않았다. SANS ISC는 이 요청이 앞서 나돈 'AI 슬롭'(AI가 만든 엉터리) PoC와도 겹치고 헤더 형식이 이상해 통할 것 같지 않다고 적었다. 이 글에서는 재현 가능한 구체 페이로드나 요청 형태는 다루지 않는다.
패치가 나온 다음 날 PoC가 공개됐고, 그다음 날부터 실제 공격 시도가 관측됐다. 패치와 악용 사이에 방어자가 쓸 수 있는 시간이 사실상 없었던 셈이다. 그런데도 CISA의 공식 KEV 등재는 7개월이나 지난 8월에야 이뤄졌다.
이 간극이 시사하는 바는 명확하다. KEV 등재는 지금 막 발견된 위협을 알리는 신호가 아니라, 이미 오래 악용되고 있었는데 뒤늦게 확인된 위협을 알리는 신호일 때가 많다. 패치가 있다는 사실만으로 안심할 수 없는 이유다.
공식 벤더 Sigma 룰이나 표준화된 IOC 목록은 아직 공개되지 않았다. 다만 SANS ISC(1월 28일 공개)와 CloudSEK 허니팟(1월 22일~2월 3일)이 기록한 공격 요청에는 아래 패턴이 있었다. 이 요청들이 실제로 통하는지는 확인되지 않았으므로, 흔적이 곧 침해를 뜻하지는 않는다.
HTTP·애플리케이션 로그에서 확인할 패턴
..; 형태의 경로 순회 시퀀스가 포함된 요청WL-Proxy-Client-IP 헤더 값. SANS ISC가 기록한 요청은 이 헤더와 X-Forwarded-For에 루프백 주소(127.0.0.1)를 넣었다ATT&CK 매핑 (공식 그룹 매핑 없음, 기술 기반 추정)
| ATT&CK 기법 | 관련 단계 |
|---|---|
| T1190 공개 서비스 익스플로잇 | 프록시 플러그인 접근 제어 결함 악용, 초기 접근 |
| T1078 유효 계정 | 침투 후 자격 증명 탈취 가능성 |
패치가 아직 안 됐다면, 패치 적용 전에 HTTP·애플리케이션 로그를 별도로 보존해 두는 것이 사후 조사에 도움이 된다. 이미 패치했더라도 1월부터 8월 사이 로그에 위 패턴이 있었는지 소급 확인할 가치가 있다.
오라클 웹로직은 국내 금융권과 공공기관 레거시 웹 애플리케이션 인프라에 여전히 광범위하게 쓰인다. 이번 리서치에서 국내 피해 사례나 KISA·금융보안원의 별도 경고는 확인되지 않았다. 하지만 인증 불필요·CVSS 10.0·공개 PoC·실제 공격 확인이라는 조건이 모두 겹친다는 점에서, 인터넷에 노출된 국내 웹로직 프록시 구간이 있다면 최우선 패치 대상으로 다뤄야 한다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.