Oracle Payments 인증 없는 접근 취약점과 보안 패치

무슨 일이 생겼나요

KISA 보호나라는 2026-10-30 Oracle Application Object Library와 Oracle Payments에 Oracle 보안 패치를 적용하도록 권고했어요. 출입증을 확인해야 하는 업무 공간에 출입증 없는 사람이 들어와 내부 업무까지 좌우할 수 있게 되는 상황에 비유할 수 있어요. 이번 문제는 로그인하지 않은 공격자도 네트워크를 통해 해당 제품을 공격하고, 성공하면 제품을 장악할 수 있다는 점이 핵심이에요.

영향받는 버전은 두 제품 모두 12.2.3-12.2.15예요. Oracle Application Object Library에는 CVE-2026-101767이, Oracle Payments에는 CVE-2026-46817이 해당해요. CVE는 공개된 보안 취약점을 구별하기 위한 식별 번호예요. 같은 버전 범위가 적혀 있어도 서로 다른 제품의 취약점이므로, 사용 중인 제품에 맞춰 적용할 보안 패치를 확인해야 해요.

Oracle Payments의 CVE-2026-46817은 실제 공격에 쓰이고 있음(CISA KEV 등재)이 확인된 취약점이에요. CISA KEV는 실제 악용이 확인된 취약점을 모아 둔 목록이며, 등재일은 2026-07-15예요. Oracle Payments를 운영한다면 실제 공격 이력을 고려해 패치 적용 여부를 우선 확인해야 해요. Oracle Application Object Library의 취약점도 별도로 조치해야 해요.

기술적으로는 (초급 개발자용)

Oracle Application Object Library의 CVE-2026-101767에는 CWE-287과 CWE-306이 연결돼 있어요. CWE는 보안 약점의 종류를 분류하는 체계예요. CWE-287은 사용자가 누구인지 올바르게 확인하지 못하는 ‘부적절한 인증’, CWE-306은 중요한 기능에 필요한 신원 확인이 빠진 ‘중요 기능에 대한 인증 누락’을 뜻해요. 이 취약점은 제품의 핵심 구성요소와 관련돼 있어요. 다만 이 분류만으로 내부 코드의 어느 검사나 처리 단계에 문제가 생겼는지까지 단정할 수는 없어요.

Oracle Payments의 CVE-2026-46817은 파일 전송 구성요소와 관련돼 있으며, CWE-269, CWE-287, CWE-306이 연결돼 있어요. CWE-269는 사용자가 어떤 작업을 할 수 있는지 정하는 권한을 적절히 관리하지 못하는 ‘부적절한 권한 관리’를 뜻해요. 인증은 신원을 확인하는 일이고, 권한 관리는 확인된 사용자에게 허용할 작업을 정하는 일이에요. 이 취약점에는 두 영역의 약점 분류가 함께 붙어 있지만, 구체적인 코드 원인이나 공격에 쓰이는 요청 형태는 확인되지 않았어요.

두 취약점 모두 공격자가 HTTP로 대상 제품에 네트워크 접근을 할 수 있으면 공격을 시도할 수 있어요. HTTP는 웹 요청과 응답에 쓰이는 통신 방식이에요. 공격 전에 계정으로 로그인할 필요가 없고, 사용자가 별도의 동작을 해야 하는 조건도 없어요. 공격 복잡도도 낮게 평가돼 있어요. 따라서 로그인 화면이 보인다는 사실만으로 해당 제품이 보호된다고 판단하면 안 돼요. 공격이 성공하면 해당 제품을 장악할 수 있어요.

두 취약점의 CVSS 버전은 3.1이고 점수는 각각 9.8, 심각도 표기는 CRITICAL이에요. CVSS는 공격 조건과 예상 영향을 바탕으로 취약점의 심각도를 나타내는 평가 체계예요. 여기서는 정보가 노출되는 기밀성, 내용이 바뀌는 무결성, 서비스를 정상적으로 이용하는 가용성 모두에 높은 영향이 평가됐어요. 점수는 개별 서버가 이미 침해됐다는 뜻은 아니에요. 실제 악용 여부를 보여 주는 근거로는 Oracle Payments 취약점의 CISA KEV 등재를 따로 봐야 해요.

누가 영향을 받나요

일반 사용자

일반 이용자는 업무나 결제 관련 서비스를 이용하더라도 그 뒤에서 Oracle Application Object Library나 Oracle Payments가 쓰이는지 알기 어려워요. 이번 권고는 해당 제품을 운영하는 조직의 패치가 필요한 사안이에요. 이용자가 자신의 브라우저를 업데이트하는 것만으로 서버에 있는 이 취약점이 해결되지는 않아요.

공격이 성공하면 해당 제품이 다루는 정보의 비밀 유지, 내용의 정확성, 서비스 이용 가능성에 영향을 줄 수 있어요. 다만 이번 권고만으로 특정 이용자의 정보가 유출됐다거나 결제 내용이 바뀌었다고 말할 수는 없어요. 이용 중인 서비스와의 관련성이나 실제 피해 여부는 서비스 운영 조직의 안내를 통해 확인해야 해요.

개발자

Oracle Application Object Library나 Oracle Payments와 연결되는 기능을 개발한다면, 연동 대상이 영향받는 버전인지 운영 담당자와 확인해야 해요. 애플리케이션에 자체 로그인 기능이 있더라도 해당 제품의 인증 없는 공격 가능성이 사라지는 것은 아니에요. 개발한 화면의 접근 통제와 Oracle 제품 자체의 보안 패치 적용 여부를 구분해 살펴봐야 해요.

패치 적용 전후에는 실제로 사용하는 연동 기능을 기준으로 정상 동작을 비교해 보세요. Oracle Application Object Library와 연결된 업무 기능, Oracle Payments와 연결된 결제 관련 기능과 파일 전송 흐름이 점검 대상이에요. 수정할 코드 위치나 별도의 우회 구현을 추정하기보다 제조사 공지에서 요구하는 변경과 호환성 확인 사항을 따라야 해요.

서버·장비 담당자

서버 담당자는 설치된 Oracle Application Object Library와 Oracle Payments의 버전이 각각 12.2.3-12.2.15에 해당하는지 확인해야 해요. 두 제품을 함께 운영한다면 한 제품의 조치 완료를 다른 제품의 조치 완료로 간주하면 안 돼요. 제품별로 관련 CVE와 패치 적용 기록을 연결해 확인하는 것이 필요해요.

Oracle Payments의 CVE-2026-46817은 실제 공격에 쓰인 이력이 있으므로, 미적용 상태라면 패치 계획에서 우선적으로 다뤄야 해요. CISA KEV에 기록된 조치기한은 2026-07-18이에요. 이 날짜를 모든 운영 조직에 동일하게 적용되는 의무 기한으로 해석해서는 안 되지만, 이미 악용이 확인돼 조치 대상으로 관리된 취약점이라는 점은 분명해요. 패치 적용 확인과 함께 관련 접근 기록에서 평소와 다른 요청이 있었는지도 검토해 보세요.

지금 할 일

1. 운영 중인 제품 목록에서 Oracle Application Object Library와 Oracle Payments의 설치 여부를 확인하고, 각 제품의 버전이 12.2.3-12.2.15에 포함되는지 확인하세요.
2. Oracle Application Object Library는 CVE-2026-101767, Oracle Payments는 CVE-2026-46817에 대응하도록 점검 대상을 구분하세요. 이미 패치했다면 적용 기록까지 확인하세요.
3. Oracle 제조사 공지에서 각 취약점에 해당하는 보안 패치와 적용 조건을 확인하세요. 해결 조치는 Oracle 보안 패치 적용이며, 특정 해결 버전 번호를 임의로 정해 판단하면 안 돼요.
4. Oracle Payments의 실제 악용 이력을 반영해 작업 우선순위를 정하고, 제조사 공지에 명시된 사전 준비와 서비스 영향 확인 사항을 검토하세요.
5. 제조사 공지의 업데이트 절차를 따르세요. Oracle Application Object Library와 Oracle Payments 각각에 필요한 보안 패치를 적용하고 결과를 기록하세요.
6. 패치 적용 결과와 실제 업무 기능을 확인하세요. Oracle Payments의 파일 전송 기능을 사용한다면 해당 흐름도 확인하고, 의심스러운 접근 기록이 있는 경우 별도 조사를 이어 가세요.

바로 업데이트하기 어렵다면

• 바로 패치하기 어렵다면 먼저 제조사 공지에서 임시 완화 조치와 적용 조건을 확인하세요. 그 내용을 전제로 Oracle Application Object Library와 Oracle Payments에 대한 접근을 필요한 사용자와 시스템으로 제한하는 방안을 검토하세요.
• 제조사 공지와 업무상 연결 필요성을 확인한 뒤, 해당 제품으로 이어지는 불필요한 외부 노출을 줄이는 방안을 검토하세요. 접근 제한은 Oracle 보안 패치 적용을 대신하는 해결 조치가 아니므로 패치 일정도 함께 관리하세요.

업데이트 후 확인

• Oracle Application Object Library의 CVE-2026-101767과 Oracle Payments의 CVE-2026-46817에 필요한 보안 패치가 각각 적용됐는지 제조사가 안내하는 확인 절차와 적용 기록으로 검증하세요.
• Oracle Application Object Library와 연동된 업무 기능이 정상적으로 동작하는지 확인하세요. Oracle Payments는 사용 중인 결제 관련 기능과 파일 전송 흐름을 함께 점검하세요.
• 임시로 접근을 제한했다면 패치 후에도 필요한 연결만 허용돼 있는지 확인하세요. 패치 완료를 이유로 불필요한 외부 접근까지 열 필요는 없어요.
• 관련 접근 기록에서 평소와 다른 요청이나 동작이 있었는지 검토하세요. 패치 성공 여부와 패치 이전의 침해 여부는 따로 확인해야 하며, 패치를 마쳤다는 사실만으로 이전 공격 가능성이 해소됐다고 판단하면 안 돼요.

해외 동향 (NVD·CISA KEV)

실제 공격에 쓰이고 있음(CISA KEV 등재) — 미국 사이버보안·기반시설보안청(CISA)이 실제 악용을 확인한 취약점 목록에 CVE-2026-46817(2026.07.15 등재)이 올라 있어요.

제조사 공식 공지

• https://www.oracle.com/security-alerts/cpuoct2026.html
• https://www.oracle.com/security-alerts/cspumay2026.html

자주 묻는 질문

Q. 로그인하지 않은 사람도 공격할 수 있나요?

네. 두 취약점 모두 공격자가 HTTP로 대상 제품에 네트워크 접근을 할 수 있으면 인증 없이 공격을 시도할 수 있어요. 사용자의 별도 동작도 필요하지 않아요. 다만 실제로 어느 경로에서 접근 가능한지는 운영 환경마다 확인해야 해요.

Q. Oracle Payments 취약점이 랜섬웨어 공격에도 쓰였나요?

CVE-2026-46817이 실제 공격에 쓰였다는 점은 CISA KEV 등재로 확인돼요. 등재일은 2026-07-15예요. 다만 랜섬웨어 사용 항목은 Unknown이므로, 랜섬웨어에 사용됐다고도 사용되지 않았다고도 단정할 수 없어요.

Q. 어떤 버전으로 올리면 해결되나요?

이번 권고의 해결 조치는 두 제품 모두 Oracle 보안 패치 적용이에요. 별도의 해결 버전 번호는 명시돼 있지 않아요. 영향받는 버전인 12.2.3-12.2.15의 사용 여부와 기존 패치 적용 상태를 확인하고, 각 취약점에 대한 제조사 공지의 업데이트 절차를 따르세요.