CISA, 악용 중인 Oracle WebLogic 취약점 CVE-2026-21962 경보 발령

CISA가 악용 중인 Oracle WebLogic 취약점 CVE-2026-21962를 경보로 지정해 정부 인프라 공격 위험을 공식 경고한다.

미국 사이버보안기관 CISA가 Oracle의 애플리케이션 서버 제품인 WebLogic에서 발견된 CVE-2026-21962 취약점이 실제 공격에 악용되고 있다며 경보를 발령했고, 이 취약점은 엔터프라이즈용 WebLogic 서버를 표적으로 삼는 공격자들이 원격에서 시스템을 침투해 추가 악성코드를 심거나 다른 내부 시스템으로 이동하는 통로로 활용하고 있어 정부·기업 인프라 모두에 직접적인 위협이 되고 있다.
보안기업 CloudSEK는 1월 22일부터 운영한 허니팟에서 Oracle WebLogic 서버를 겨냥한 CVE-2026-21962 익스플로잇 시도가 포착됐다고 3월에 경고했고, FalconFeeds는 6월에 사이버범죄 공급망을 설명하는 분석 글에서 이 취약점이 기업 대상 공격에서 사용된 여러 취약점 중 하나라고 언급했으며, 이는 PoC(Proof of Concept) 익스플로잇 코드가 공개된 직후부터 실전 공격으로 전환되는 시간이 몇 주 이내로 단축되고 있음을 보여준다.
SOCRadar는 7월 보고서에서 CVE-2026-21962가 중국 연계 위협 행위자가 정부 인프라를 공격하는 과정에서 활용한 여러 취약점 중 하나라고 밝혔으며, 이는 특정 국가와 연계된 공격 조직이 Oracle WebLogic과 같은 상용 미들웨어를 체계적으로 스캔하면서 다수의 취약점을 조합해 침투·내부 확산·데이터 탈취를 수행하는 전략을 쓰고 있음을 의미하며, CISA가 이를 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가한 것은 이런 공격 패턴을 국가 차원에서 위험 우선순위 상단으로 올려 대응하겠다는 신호이다.
CISA의 KEV 카탈로그에는 이미 Oracle WebLogic 관련 항목이 10여 개 이상 포함돼 있고, 연초부터 7월까지 CloudSEK·FalconFeeds·SOCRadar 등 여러 위협 인텔리전스 업체가 CVE-2026-21962를 언급한 시점을 고려하면 최소 6개월 이상 공격자가 이 취약점을 반복적으로 활용해 왔다고 볼 수 있으며, Oracle WebLogic이 대형 금융사·통신사·공공기관에서 수십 개의 중요 업무 시스템을 구동하는 핵심 인프라로 쓰이는 점을 감안하면 단일 취약점이라도 방치될 경우 대규모 서비스 중단이나 기밀 데이터 유출로 직결될 수 있다.
WebLogic 서버가 해커에게 자주 표적이 되는 이유는 애플리케이션 서버 특성상 여러 내부 시스템과 데이터베이스를 연결하는 허브 역할을 하며 장기간 버전 업그레이드가 지연되는 경우가 많기 때문이고, CISA가 이번에 CVE-2026-21962를 포함해 Oracle WebLogic·Spring Application Framework·TrueConf·Zimbra 등 여러 서버·협업·영상 솔루션 취약점을 연쇄적으로 강조한 것은 정부·기업이 소프트웨어별 개별 점검이 아니라 공급망 전체를 아우르는 취약점 관리 체계를 마련해야 한다는 정책적 방향을 제시한 것으로, 한국에서도 WebLogic 사용 현황을 파악해 우선순위 패칭과 구조적 교체 전략을 병행하는 것이 국가 정보통신 인프라 안정성 확보의 관건이다.
CVE-2026-21962가 중국 연계 위협 행위자의 정부 인프라 공격에 사용됐다는 SOCRadar의 분석과 CISA KEV 카탈로그에 WebLogic 취약점이 10여 개 이상 누적돼 있다는 사실은 한국 행정·국방·금융 시스템에서도 유사한 상용 미들웨어와 협업 솔루션이 널리 쓰이는 현실을 고려할 때 패치 지연과 취약점 정보 비공유가 곧 국가 인프라 노출로 이어질 수 있음을 보여주며, 한국 정책 담당자는 WebLogic과 같은 특정 제품 중심의 긴급 점검과 더불어 KEV 유사 목록을 국내 기준으로 구축해 공공·민간 전체에 의무 패칭 기한을 부과하는 제도화를 검토해야 한다.

Oracle WebLogic과 같은 상용 미들웨어 취약점이 중국 연계 공격에 사용되고 CISA KEV에 반복 기록되는 흐름을 계기로, 한국은 자국판 KEV 목록·의무 패칭 기한·공급망 기준을 마련해 공공과 민간 인프라를 동시에 조기 점검하는 정책 패키지를 설계할 필요가 있다.

주요 용어: CISA(미국 사이버보안·인프라 보안국으로 연방·민간의 보안 경보와 KEV 목록을 관리하는 기관), Oracle WebLogic(Oracle이 제공하는 엔터프라이즈용 자바 애플리케이션 서버로 대형 기업·기관의 업무 시스템을 구동하는 핵심 미들웨어)

출처: SecurityWeek