인증 없는 원격코드실행 입문: 로그인 없이 서버에서 명령이 실행되는 일

한 문장으로 이해하기

인증 없는 원격코드실행은 공격자가 아이디와 비밀번호 없이 네트워크 요청만으로 서버에서 자기 명령을 실행하게 되는 취약점입니다. 영어로는 unauthenticated remote code execution이라고 씁니다. 여기서 ‘인증 없는’은 로그인 절차를 거치지 않는다는 뜻입니다. ‘원격’은 공격자가 그 장비 앞에 앉아 직접 조작하지 않고 네트워크를 통해 실행을 유발한다는 뜻입니다. ‘코드실행’은 서버가 공격자가 보낸 명령을 자기 일로 받아들여 수행한다는 뜻입니다.

이 강좌를 끝내면 세 가지를 할 수 있습니다. 첫째, 이 용어를 세 요소로 나눠 설명할 수 있습니다. 둘째, 보도된 한 사례에서 공격이 어떤 순서로 이어졌는지 말할 수 있습니다. 셋째, 임시 차단 조치와 보안 업데이트가 어떻게 다른지 구분할 수 있습니다. 사전지식은 웹 서버가 요청을 받아 응답한다는 것, 주소 뒤에 /PSEMHUB/처럼 경로가 붙는다는 것, 로그인이 접근 권한을 확인하는 절차라는 것 정도면 충분합니다.

왜 필요한가

보안 소식에는 수많은 취약점이 등장합니다. 어떤 것은 이미 로그인한 사용자만 악용할 수 있고, 어떤 것은 정보가 조금 읽히는 수준에서 끝납니다. 그래서 ‘인증 없는’과 ‘원격코드실행’이라는 말이 붙어 있는지 확인하면, 그 취약점이 어떤 성격인지 먼저 가늠해 볼 수 있습니다.

다만 이 속성 하나만으로 대응 우선순위가 확정되는 것은 아닙니다. 실제 위험은 그 기능이 어떤 구성으로 운영되고 어디까지 열려 있는지에 따라 달라집니다. 참고로 오라클 피플소프트의 CVE-2026-35273은 인증 없이 원격 코드 실행으로 이어질 수 있는 취약점이며, 심각도 점수 9.8로 보도됐습니다. 이 용어를 이해한다는 것은 뉴스에 나온 설명을 자기 말로 다시 풀어 볼 수 있게 된다는 뜻입니다.

어떻게 이루어지는가

아래는 일반 법칙이 아니라, 이번에 보고된 피플소프트 공격에서 관찰된 순서입니다.

1. 외부에서 닿는 입구 찾기: 공격자는 접근 가능한 특정 경로에 요청을 보내 봅니다. 이 사례의 입구는 환경 관리 허브(Environment Management Hub, 줄여서 EMHub)의 hub 경로였습니다.
2. 취약 여부 조용히 확인: 본격 악용 전에 탐색용 요청을 보냅니다. 서버에 데이터를 보내는 요청(POST) 안에 자바 프로그램이 쓰는 데이터 덩어리를 담아 보냈습니다. 취약한 시스템에서는 파일을 쓰거나 서비스를 멈추는 일 없이 운영체제 정보를 확인할 수 있었다고 보도됐습니다.
3. 명령 실행으로 전환: 취약하다고 판단되면 같은 결함으로 명령을 실행합니다. 쓰인 수단은 자바 역직렬화 악용이었습니다. 역직렬화는 전송된 데이터 덩어리를 프로그램이 쓰는 형태로 되돌리는 과정이며, 이 과정을 조작하면 의도하지 않은 코드가 실행될 수 있습니다.
4. 다시 들어올 통로 남기기: 한 번의 실행으로 끝내지 않고 웹셸을 설치했습니다. 웹셸은 웹 요청을 통해 서버에 명령을 보낼 수 있게 하는 파일입니다.
5. 내부로 이동하며 데이터 가져가기: 자리를 잡은 뒤 원격 접근 소프트웨어를 설치하고, 다른 장비로 접속을 옮겨 가며 데이터를 가져갔습니다.

다시 강조하면 이 다섯 단계는 이번 보도 사례의 흐름이며, 인증 없는 원격코드실행이 늘 이 순서를 따른다는 뜻은 아닙니다.

하나의 예시로 따라가기

여기서 다루는 것은 실제로 보도된 사건입니다. 독자가 따라 해 볼 실습이 아니고, 재현에 필요한 세부는 일부러 담지 않습니다. 개념이 어떻게 맞물렸는지만 끝까지 따라가 보겠습니다.

이 취약점은 수정이 공개되기 전 공격에 악용됐다고 보도됐습니다. 공격자는 먼저 정보를 살피고, 원격 접근 소프트웨어를 설치해 자리를 잡고, 다른 피플소프트 장비로 접속을 옮겨 가며 데이터를 가져갔습니다. 오라클은 보안 업데이트로 이 결함을 수정했으며, 해당 취약점은 CVE-2026-35273으로 보도됐습니다.

문제는 그다음입니다. 바로 업데이트할 수 없는 조직에는 외부에서 /PSEMHUB/로 들어오는 접근을 막으라는 임시 권고가 나갔습니다. 이때 쓰이는 장치가 웹 애플리케이션 방화벽(WAF)인데, 웹 요청을 검사해 규칙에 맞는 것만 통과시키는 장치입니다. 그러자 공격자는 경로의 글자 하나를 바꿨습니다. /PSEMHUB/ 대신 /%50SEMHUB/를 요청한 것입니다. %50은 알파벳 P를 퍼센트 인코딩이라는 표기법으로 바꿔 쓴 형태입니다.

왜 이게 통했을까요. 많은 WAF와, 요청을 받아 뒤쪽 서버로 넘겨 주는 중계 장치(리버스 프록시)는 글자를 되돌리기 전의 경로를 그대로 비교합니다. 그래서 /PSEMHUB/를 찾는 규칙은 인코딩된 형태를 놓칩니다. 반면 피플소프트 애플리케이션 서버는 경로를 되돌려 해석해 취약한 처리 모듈로 요청을 넘겼습니다. 결과적으로 규칙으로 막았다고 믿은 시스템에도 공격자가 도달할 수 있었습니다. 이 새 공격은 여러 산업의 조직을 대상으로 했고, 수십 개 시스템에 웹셸이 설치됐다고 보도됐습니다.

언제 쓰고 언제 쓰지 않는가

이 용어는 조건이 맞을 때만 정확합니다. ‘인증 없는’이 성립하려면 로그인 절차 없이 네트워크를 통해 취약한 지점에 도달할 수 있어야 합니다. 이 사례에서 문제가 된 것이 바로 그런 외부 접근 가능한 취약 지점이었습니다. 그래서 보고된 대응 조치에는 패치 적용과 함께, 구성에 따라 EMHub를 비활성화하거나 PSEMHUB 애플리케이션을 제거하라는 권고가 포함됐습니다. 이는 그 지점을 통한 악용 노출을 줄이는 조치이며, 모든 공격 가능성이 사라진다는 뜻은 아닙니다.

반대로 이 말을 넓게 쓰면 안 되는 경우도 있습니다. 로그인한 사용자만 악용할 수 있는 결함, 데이터만 읽히고 명령 실행으로 이어지지 않는 결함은 이 범주가 아닙니다.

한계도 짚겠습니다. 첫째, 요청을 가려 막는 규칙은 결함 자체를 없애지 못합니다. 맨디언트는 WAF에만 의존하지 말고 최신 보안 업데이트를 설치하라고 권고했습니다. 둘째, 우회 형태가 하나로 고정되지 않습니다. 구글은 공격자가 %50 외에도 다른 퍼센트 인코딩이나 대소문자 변형을 쓸 수 있다고 경고했습니다. 그래서 점검 권고에도 일반 경로와 인코딩 변형을 함께 찾아보라는 내용이 들어갔습니다. 셋째, 보도된 모든 주장이 확인된 사실은 아닙니다. 공격자가 내세운 별도의 피플소프트 취약점 주장과 FBI 관련 데이터 절취 주장은 독립적으로 확인되지 않았습니다. FBI는 무단 활동 주장에 대한 조사만 확인했습니다. 사례를 배울 때는 확인된 부분과 주장만 있는 부분을 갈라서 봐야 합니다.

핵심 정리와 확인문제

정리하면 이렇습니다. 인증 없는 원격코드실행은 로그인 없이 네트워크 요청만으로 서버에서 명령이 실행되는 취약점입니다. 이번 피플소프트 사례에서는 입구 확인, 조용한 탐색, 명령 실행, 웹셸 설치, 내부 이동과 데이터 절취로 이어졌습니다. 그리고 경로의 글자 하나를 바꾸는 방식으로 임시 차단이 무력화됐습니다. 그래서 맨디언트는 WAF에만 의존하지 말고 최신 보안 업데이트를 적용하라고 권고했습니다.

확인문제

1. ‘인증 없는 원격코드실행’에서 ‘인증 없는’, ‘원격’, ‘코드실행’은 각각 무엇을 뜻하나요?
2. 본문에서 설명한 피플소프트 사례의 공격 순서를 다섯 단계로 차례대로 쓰세요.
3. 이 사례에서 WAF 규칙과 보안 업데이트는 어떻게 달랐으며, 맨디언트는 무엇을 권고했나요?

정답과 해설

1. 정답: ‘인증 없는’은 아이디·비밀번호 같은 로그인 절차를 거치지 않고도 취약한 지점에 닿아 악용할 수 있다는 뜻입니다. ‘원격’은 공격자가 그 장비를 직접 조작하지 않고 네트워크를 통해 실행을 유발한다는 뜻입니다. ‘코드실행’은 서버가 공격자가 보낸 명령을 자기 일로 받아들여 수행한다는 뜻입니다.
2. 정답: ① 입구인 EMHub의 hub 경로 찾기 → ② 탐색용 요청으로 취약 여부 조용히 확인 → ③ 자바 역직렬화를 악용해 명령 실행 → ④ 웹셸 설치 → ⑤ 원격 접근 소프트웨어로 자리 잡고 다른 장비로 이동하며 데이터 절취입니다. 이 순서는 이번 보도 사례의 흐름입니다.
3. 정답: WAF 규칙은 /PSEMHUB/로 들어오는 특정 요청을 가려 막는 임시 조치였고, 결함 자체를 없애지는 못했습니다. 실제로 공격자는 경로를 인코딩해 그 규칙을 피해 갔습니다. 반면 보안 업데이트는 결함을 수정하는 조치이며, 맨디언트는 WAF에만 의존하지 말고 최신 보안 업데이트를 설치하라고 권고했습니다.

참고자료

• 인증 없는 원격코드실행 입문 참고자료
• 인증 없는 원격코드실행 입문 참고자료