결재·구매 시스템이 공격 통로가 됐을 때 — Oracle EBS CVE-2026-46817, '이미 뚫렸다'를 전제로 점검하기

이미지 출처: The Hacker News

회사에서 가장 조용한 서버가 어디냐고 물으면 보통 ERP를 떠올리는 사람은 별로 없습니다. 결재 올리고, 구매 품의 넣고, 급여 정산 돌리는 그 시스템 말입니다. 너무 당연하게 늘 켜져 있다 보니 오히려 보안 점검 목록에서 빠지기 쉬운 자산이죠. 그런데 이번에 표적이 된 게 바로 그 자리에 있는 Oracle E-Business Suite(EBS)였습니다. CVE-2026-46817이라는 번호가 붙은 이 취약점은 패치가 준비되기도 전에 실제 공격에 쓰이고 있다는 정황이 보고됐습니다. 흔히 말하는 '인 더 와일드(in the wild)' 상태인 거죠.

핵심 요약

• Oracle EBS의 CVE-2026-46817이 실환경에서 이미 악용되고 있어, 패치만 기다리는 대응은 위험함
• 인터넷에 노출된 EBS 화면(특히 인증 전 접근 가능한 모듈)을 찾아 외부 차단부터 거는 게 1순위
• 공격 성공을 전제로 웹 디렉터리·DB 계정·아웃바운드 트래픽까지 거꾸로 점검하는 게 핵심

왜 ERP가 노려질까요

Oracle EBS는 재무·구매·인사·공급망을 한데 묶은 대형 ERP라서, 한 번 장악당하면 공격자가 얻는 게 너무 많습니다. 거래처 정보, 직원 개인정보, 결제 데이터가 한 그릇에 담겨 있으니까요. 게다가 EBS는 외부 협력사나 원격 근무자가 접근할 수 있게 일부 웹 모듈을 인터넷 쪽으로 열어두는 경우가 적지 않습니다. 공격자 입장에서는 "인증 없이 닿을 수 있는 입구가 있고, 그 안에 알짜 데이터가 있다"는 조건이 맞아떨어지는 셈이죠. 최근 몇 년간 ERP·파일전송·원격관리 같은 '업무의 길목'에 있는 제품들이 집중적으로 털린 흐름과도 정확히 같은 결입니다.

CVE-2026-46817, 개념만 짚자면

세부 악용 수법을 여기서 단계별로 풀어드리진 않겠습니다. 다만 방어자가 알아야 할 성격만 짚으면, 이런 류의 EBS 취약점은 대개 인증 전 단계에서 접근 가능한 웹 컴포넌트를 통해 서버 측에 의도치 않은 동작을 끌어내는 형태입니다. 공격자가 정상적인 로그인 절차를 거치지 않고도 특정 요청을 던져 내부 처리 흐름을 비틀 수 있다는 뜻이에요. 정확한 CVSS 점수나 영향받는 빌드 범위는 벤더 공지로 확정되는 부분이니 단정하지 않겠습니다만, "외부에서 닿을 수 있고, 이미 악용 중"이라는 두 조건만으로도 우선순위를 최상단에 둘 이유는 충분합니다.

오늘 당장 할 수 있는 봉쇄

• 노출 자산부터 찾기: 우리 회사 EBS의 어떤 화면이 인터넷에서 열려 있는지 외부 관점으로 스캔해 봅니다. 특히 로그인 없이 응답하는 페이지가 있다면 그게 바로 입구임.
• 외부 접근 최소화: 협력사·재택 접근이 꼭 필요한 모듈이 아니라면 WAF·리버스 프록시·VPN 뒤로 숨기거나, 허용 IP만 통과시키는 식으로 인터넷 직노출을 끊음.
• 벤더 권고 적용: Oracle의 보안 공지와 임시 완화책(워크어라운드)을 확인하고, 정식 패치가 나오면 테스트 후 빠르게 반영함. 다만 패치만 믿고 위 차단을 건너뛰지 않기.

'이미 들어왔다'를 가정한 역방향 점검

• 웹 디렉터리 변조: EBS 웹 경로에 새로 생긴 스크립트 파일이나 수정 시각이 튀는 파일이 없는지 봅니다. 웹셸은 보통 이렇게 흔적을 남깁니다.
• 비정상 요청 로그: 인증 전 경로로 들어온 길고 이상한 파라미터, 평소 안 쓰던 메서드, 같은 IP의 반복 시도를 웹 서버·WAF 로그에서 추려봅니다.
• 아웃바운드 트래픽: ERP 서버가 평소 통신하지 않던 외부 주소로 나가는 연결이 있는지 확인합니다. 데이터 유출이나 추가 도구 내려받기의 신호일 수 있어요.
• DB·서비스 계정: 갑자기 늘어난 대량 조회, 새로 생긴 계정, 권한 상승 흔적이 있는지 감사 로그를 점검합니다.

마무리

ERP는 "원래 잘 돌아가니까 건드리지 말자"는 심리가 가장 강하게 작동하는 자산입니다. 그런데 공격자들은 정확히 그 방심을 노립니다. CVE-2026-46817 같은 사례가 우리에게 주는 교훈은 단순해요. 제일 조용하고 제일 중요한 서버일수록 노출면을 줄이고, 이미 당했다는 가정으로 로그를 거꾸로 훑어보는 습관입니다. 오늘은 우리 회사 EBS가 인터넷에서 어떻게 보이는지부터 딱 한 번 외부 관점으로 확인해 보세요. 혹시 점검하다 애매한 로그를 발견하셨다면 댓글로 같이 들여다봐요.