CVSS 10.0 CVE-2026-21962 분석. 오라클 웹로직·HTTP 서버 접근 제어 결함으로 CISA가 72시간 패치 시한을 부여한 이유와 탐지 패턴.
이번 취약점은 오라클 HTTP 서버와 웹로직 서버 프록시 플러그인 사이의 신뢰 관계를 노린다. 는 CVSS 10.0 만점 결함으로, 인증되지 않은 공격자가 네트워크 접근만으로 웹로직 내부 콘솔에 도달할 수 있다. CISA는 2026년 8월 24일 이 취약점을 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가하고, 연방 기관에 이례적으로 짧은 72시간 패치 시한(8월 27일)을 부여했다. CISA가 KEV 등재 시 통상 부여하는 조치 기한은 2~3주다. 72시간은 CISA 규정상 가능한 최단 기한이다.
| 항목 | 내용 |
|---|---|
| CVE | |
| CVSS | 10.0 CRITICAL |
| CWE | CWE-284 (Improper Access Control) |
| 영향 제품 | Oracle HTTP Server · WebLogic Server Proxy Plug-in |
| 취약 버전 | 12.2.1.4.0 · 14.1.1.0.0 · 14.1.2.0.0 (Apache) · 12.2.1.4.0 (IIS) |
| 패치 | 2026년 1월 Oracle CPU (1월 20일) |
| CISA KEV | 등재 8월 24일 · 기한 8월 27일(72시간) |
오라클 웹로직 서버는 국내외 금융권과 공공기관에서 오랫동안 써온 자바 애플리케이션 서버다. 오라클 HTTP 서버(OHS)는 그 앞단에서 요청을 받아 웹로직으로 넘겨주는 프록시 역할을 한다. 정상적인 구성이라면 OHS가 외부 요청을 걸러내고, 웹로직의 관리 콘솔 같은 민감한 엔드포인트는 내부망에서만 접근 가능해야 한다.
는 이 경계를 무너뜨린다. 취약점의 CVSS 벡터는 AV:N/AC:L/PR:N/UI:N이다. 네트워크에서, 낮은 공격 난이도로, 인증이나 사용자 개입 없이 공격할 수 있다는 뜻이다. 가용성에 대한 영향은 없지만(A:N), 기밀성과 무결성 양쪽에 완전한 피해를 줄 수 있다. 웹로직 관리 콘솔에 인증 없이 닿을 수 있다는 것은, 공격자가 애플리케이션 배포·설정 변경·자격 증명 탈취까지 갈 수 있다는 의미다.
NVD는 이 취약점을 CWE-284(부적절한 접근 제어)로 분류했다. 공개된 보안 업체 분석에 따르면, 근본 원인은 OHS/프록시 플러그인과 백엔드 웹로직 서버가 URI를 서로 다른 방식으로 정규화하는 데 있다. 프록시가 요청 경로를 검사하는 시점과 웹로직이 실제로 그 경로를 해석하는 시점 사이에 차이가 생긴다.
공격자는 경로 순회 패턴과 특정 요청 헤더 조작을 조합해 이 정규화 불일치를 파고든다. 프록시 단계의 접근 제어를 통과한 요청이 웹로직에서는 원래 차단됐어야 할 내부 전용 엔드포인트로 해석된다. 이 글에서는 재현 가능한 구체 페이로드나 요청 형태는 다루지 않는다. 공개된 리서치에서도 개념 수준까지만 확인된다.
이 취약점이 흥미로운 지점은 버그 자체의 복잡성이 아니라 프록시와 백엔드가 같은 요청을 다르게 해석할 때 생기는 구조적 위험을 보여준다는 데 있다. 리버스 프록시를 앞에 둔 아키텍처 전반에 적용되는 교훈이다.
패치가 나온 다음 날 PoC가 공개됐고, 이틀 뒤부터 실제 공격 시도가 관측됐다. 패치와 악용 사이에 방어자가 쓸 수 있는 시간이 사실상 없었던 셈이다. 그런데도 CISA의 공식 KEV 등재는 7개월이나 지난 8월에야 이뤄졌다.
이 간극이 시사하는 바는 명확하다. KEV 등재는 지금 막 발견된 위협을 알리는 신호가 아니라, 이미 오래 악용되고 있었는데 뒤늦게 확인된 위협을 알리는 신호일 때가 많다. 패치가 있다는 사실만으로 안심할 수 없는 이유다.
공식 벤더 Sigma 룰이나 표준화된 IOC 목록은 아직 공개되지 않았다. 다만 초기 악용을 관측한 연구자들이 보고한 패턴은 로그에서 확인 가능하다.
HTTP·애플리케이션 로그에서 확인할 패턴
..; 형태의 경로 순회 시퀀스가 포함된 요청WL-Proxy-Client-IP 헤더 값. 정상 프록시 트래픽에서는 나타나지 않는 패턴ATT&CK 매핑 (공식 그룹 매핑 없음, 기술 기반 추정)
| ATT&CK 기법 | 관련 단계 |
|---|---|
| T1190 공개 서비스 익스플로잇 | 프록시 정규화 불일치 악용, 초기 접근 |
| T1078 유효 계정 | 관리 콘솔 도달 후 자격 증명 탈취 가능성 |
패치가 아직 안 됐다면, 패치 적용 전에 HTTP·애플리케이션 로그를 별도로 보존해 두는 것이 사후 조사에 도움이 된다. 이미 패치했더라도 1월부터 8월 사이 로그에 위 패턴이 있었는지 소급 확인할 가치가 있다.
오라클 웹로직은 국내 금융권과 공공기관 레거시 웹 애플리케이션 인프라에 여전히 광범위하게 쓰인다. 이번 리서치에서 국내 피해 사례나 KISA·금융보안원의 별도 경고는 확인되지 않았다. 하지만 인증 불필요·CVSS 10.0·공개 PoC·실제 공격 확인이라는 조건이 모두 겹친다는 점에서, 인터넷에 노출된 국내 웹로직 프록시 구간이 있다면 최우선 패치 대상으로 다뤄야 한다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.