팔로우 Oracle은 Oracle Java SE, Oracle GraalVM for JDK 및 Oracle GraalVM Enterprise Edition에 영향을 미치는 중요한 취약점 CVE-2026-91403을 해결하는 비정기 보안 경고를 발표했습니다. 이 보안 문제는 Java Secure Socket Extension (JSSE) 구성 요소에 있으며 CVSS v3.1 점수 9.1을 가지고 있습니다.
이 취약점은 인증 없이 원격으로 악용될 수 있습니다. Oracle에 따르면, 여러 프로토콜을 통해 네트워크에 접근할 수 있는 공격자는 자격 증명 제공 또는 사용자 상호작용 없이 취약한 Java 환경을 위협할 수 있습니다. 성공적인 악용은 주요 데이터를 노출시키고, 영향을 받는 Java 런타임에서 접근할 수 있는 정보를 승인 없이 수정, 생성 또는 삭제할 수 있게 합니다.
Rapid7은 이 결함을 심각한 것으로 분류하고 CVSS 벡터 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N을 확인합니다. 이는 네트워크 상에서 공격 복잡도가 낮고, 권한이나 피해자 상호작용이 필요하지 않으며, 높은 기밀성과 무결성 영향을 가질 수 있음을 의미합니다.
엔터프라이즈 웹 서비스, 백엔드 애플리케이션, 미들웨어, API 및 중요한 비즈니스 인프라 전반에 걸쳐 Java가 광범위하게 배포됨에 따라 잠재적 노출이 증가합니다. 따라서 조직은 영향을 받는 Java 및 GraalVM 런타임을 식별하고 Oracle의 보안 경고 패치를 우선적으로 적용해야 합니다.
CVE-2026-91403 탐지 기회를 찾는 보안 팀은 Java 서비스의 비정상 네트워크 상호작용, 예상치 못한 인증서 또는 TLS 관련 오류, 의심스러운 자식 프로세스 및 민감한 애플리케이션 데이터에 대한 이상한 접근을 모니터링해야 합니다.
SOC Prime의 AI-Native Detection Intelligence Platform은 MITRE ATT&CK®에 매핑된 탐지 콘텐츠와 다중 SIEM, EDR 및 데이터 레이크 환경에서 사용 가능한 콘텐츠로 취약점 악용에 대한 보안을 강화하는 데 도움이 될 수 있습니다.
클릭 탐지 탐색 관련 SOC 콘텐츠 및 헌팅 논리에 접근하십시오. CVE-2026-91403 및 관련 사후 악용 행동을 탐지하려면 방어자는 Java 애플리케이션 텔레메트리, 네트워크 모니터링, 엔드포인트 가시성 및 서비스 수준 로그를 결합해야 합니다.
보안 팀은 또한 Prime Architect를 활용하여 새로운 취약점 인텔리전스를 Sigma 규칙으로 변환하고, 헌팅 쿼리를 생성하고, 탐지 논리를 검증하며, 지원되는 보안 플랫폼 간에 탐지를 번역할 수 있습니다.
CVE-2026-91403 분석
CVE-2026-91403은 Java 애플리케이션이 안전한 통신 기능을 제공하기 위해 사용하는 JSSE 구성 요소에 영향을 미칩니다. Oracle은 이 결함이 쉽게 악용될 수 있다고 설명하고, 인증 없이 여러 프로토콜을 통해 원격으로 공격이 시작될 수 있음을 확인했습니다.
공급업체는 기본 프로그래밍 오류 또는 완전한 악용 시퀀스를 공개적으로 공개하지 않았습니다. Oracle의 취약점 공개 정책은 고객이 패치를 배포하는 동안 무기화에 도움이 될 수 있는 기술적 세부사항을 의도적으로 제한합니다. 따라서 특정 잘못 형성된 패킷, 인증서 구조, API 인자 또는 악용 원시적에 대한 주장은 Oracle이 추가 기술 정보를 게시하지 않는 한 확인된 것으로 간주해서는 안 됩니다.
CVE-2026-91403은 다음 지원되는 Oracle 릴리스에 영향을 미칩니다:
- Oracle Java SE 8u511 및 8u511-perf
- Oracle Java SE 11.0.33
- Oracle Java SE 17.0.21
- Oracle Java SE 21.0.13
- Oracle Java SE 25.0.5
- Oracle Java SE 27.0.1
- Oracle GraalVM for JDK 17.0.21
- Oracle GraalVM for JDK 21.0.13
- Oracle GraalVM Enterprise Edition 21.3.20
Oracle은 지원되지 않는 이전 릴리스를 테스트하지 않았지만 보안 경고에서 해결한 취약점을 포함할 가능성이 있다고 경고합니다. 여전히 지원되지 않는 Java 분기를 운영하는 조직은 그 영향이 없다고 가정해서는 안 됩니다.
공격 표면은 독립 실행형 Java 데스크톱 애플리케이션보다 넓습니다. Oracle은 취약한 구성 요소에 의해 노출된 API를 통해 공격이 발생할 수 있음을 특정하며, 여기에는 웹 서비스가 공격자가 제어하는 데이터를 이러한 API에 전달하는 상황이 포함됩니다.
공급업체는 또한 이 문제는 Java 샌드박스를 보호하는 일련의 신뢰할 수 없는 코드를 실행하는 모든 Java 배포, 특히 샌드박스 처리된 Java Web Start 애플리케이션과 Java 앱렛에 적용된다고 말합니다.
CVE-2026-91403의 세부사항은 특히 심각한 기밀성 및 무결성 결과를 보여줍니다. Oracle은 두 영향을 모두 높음으로 평가하고 직접적인 가용성 영향은 할당하지 않습니다. 성공한 공격자는 잠재적으로 중요한 애플리케이션 데이터에 대한 무단 접근을 얻거나, 수정, 생성, 삭제할 수 있을 수 있습니다.
이 구분은 사고 대응에 있어 중요합니다. 조직은 서버 중단에만 집중하지 말아야 하며, 민감한 정보에 접근하거나 애플리케이션 데이터가 수정될 때 취약한 서버가 계속해서 정상 작동할 수 있습니다.
게시 시점에서, Rapid7이나 Oracle은 CVE-2026-91403을 독립적으로 재현할 수 있는 공개 PoC나 충분한 기술적 악용 지침을 제공하지 않습니다. 또한 Rapid7은 2026년 10월 22일 현재 CISA의 알려진 악용 취약점 카탈로그에 해당 문제를 기재하지 않았습니다.
마찬가지로, 주요 출처에 캠페인 특정 CVE-2026-91403 IOC(악의적인 IP 주소, 도메인, 해시 또는 페이로드 서명)가 발표되지 않았습니다. 이는 순수한 지표 기반 헌팅의 효과를 제한하고 행동 가시성을 더 중요하게 만듭니다.
보안 팀은 Java가 노출된 서비스를 모니터링해야 합니다:
- Java 애플리케이션이나 웹 서비스에 도달하는 예상치 못한 네트워크 요청
- 비정상적인 TLS 또는 JSSE 관련 오류
- 정당한 활동에 부합하지 않는 애플리케이션 데이터의 변경
- 예상치 못한 인증 또는 인가 이상 현상
- Java 프로세스가 시작하는 이상한 아웃바운드 연결
- Java 애플리케이션에 의해 시작된 인식되지 않는 자식 프로세스
- 파일, 구성 또는 애플리케이션 리소스의 수정
- 비정상적인 데이터 접근 직전에 발생한 의심스러운 API 요청
완전한 악용 메커니즘이 공개되지 않았기 때문에 이러한 행동은 자체적으로 악용을 입증할 수 없습니다. 대신 취약점 노출 및 애플리케이션별 텔레메트리와 결합될 때 조사 축으로 이용되어야 합니다.
CVE-2026-91403 완화
Oracle은 예정된 보안 주기를 기다리지 않고 2026년 10월 21일에 전용 보안 경고를 발표했습니다. 관리자는 운영적으로 가능한 한 빨리 Oracle의 패치 가용성 문서에 참조된 패치를 적용해야 합니다.
조직은 먼저 상용 소프트웨어, 미들웨어 제품, 애플리케이션 서버, 컨테이너, 개발 환경, 서드 파티 어플라이언스에 번들된 런타임을 포함한 모든 Java 설치를 인벤토리해야 합니다. 다른 제품에 내장된 Java 구성 요소는 애플리케이션 디렉터리 내에 별도 JDK나 JRE가 존재한다는 것을 관리자들이 인식하지 못하기 때문에 종종 취약성 관리 중에 간과됩니다.
우선적으로 고려해야 할 시스템은 다음과 같습니다:
- 신뢰할 수 없는 소스로부터 네트워크 연결을 수락
- Java 지원 웹 서비스 또는 API를 노출
- 공격자가 제어할 수 있는 입력을 처리
- 민감한 비즈니스 또는 고객 데이터를 처리
- 지원되지 않는 Java 릴리스를 실행
- Java Web Start 또는 기타 샌드박스 종속 배포 모델 사용
Oracle은 Premier Support 또는 Extended Support로 지원되는 버전에만 보안 경고 패치를 제공합니다. 이전 릴리스는 영향을 받는 버전 테이블에 없다는 이유만으로 안전하다고 볼 수 없습니다. Oracle은 지원되지 않는 배포를 지원되는 버전으로 이전할 것을 명확히 권장합니다. 왜냐하면 더 오래된 릴리스에는 또한 취약점이 포함될 수 있기 때문입니다.
즉시 패치가 불가능한 경우, 조직은 영향을 받는 서비스에 대한 네트워크 접근을 제한하고, 신뢰할 수 있는 시스템으로의 통신을 제한하며, 애플리케이션 수준에서 접근 제어를 적용하여 노출을 줄여야 합니다. 이러한 조치는 벤더 업데이트에 대한 대체 조치가 아니라 임시 위험 감소 조치로 취급되어야 합니다.
보안 팀은 악의적인 활동이 정당한 비즈니스 운영으로 설명할 수 없는 이상한 API 요청뿐만 아니라 민감한 데이터에 대해 비정상적인 접근, 의심스러운 수정, 이상한 Java 네트워크 활동을 찾기 위해 애플리케이션과 네트워크 로그를 회고적으로 검토해야 합니다.
의심스러운 행동이 식별되면, 대응자는:
- 운영 가능할 때 영향을 받은 호스트를 격리합니다.
- Java 애플리케이션, 웹 서버, 엔드포인트 및 네트워크 로그를 보존합니다.
- 민감한 애플리케이션 데이터의 무결성을 검토합니다.
- Java 프로세스에 접근할 수 있는 자격 증명, 시크릿 및 토큰을 식별합니다.
- 잠재적으로 노출된 자격증명을 교체합니다.
- 애플리케이션 파일 및 구성에 대한 무허가 변경을 검색합니다.
- 기타 Java 시스템과의 동일한 애플리케이션 구성을 검사하고 아웃바운드 연결에서 후속 활동의 징후를 확인합니다.
- Oracle이 식별한 주요 영향이 기밀성과 무결성이기 때문에, 사건 대응은 다운타임 증거가 없더라도 데이터 접근 및 데이터 수정 검토를 포함해야 합니다.
Because confidentiality and integrity are the primary impacts identified by Oracle, incident response should include data-access and data-modification reviews even when there is no evidence of downtime.
SOC Prime의 AI-Native Detection Intelligence Platform을 사용하는 조직은 패치가 배포되는 동안 취약한 Java 서비스 주변의 행동 모니터링을 강화하고, 보안 스택 전반에 걸쳐 사후 타협 활동을 지속적으로 헌팅할 수 있습니다.
면책 조항: 모든 CVE에 대해 탐지 콘텐츠가 제공되지 않을 수 있습니다. 현재 범위를 확인하려면 SOC Prime 플랫폼을 확인하십시오. 관련 탐지가 아직 제공되지 않은 경우, 새 위협 정보 및 탐지 콘텐츠가 지속적으로 추가되므로 다시 확인하십시오.
FAQ
CVE-2026-91403이란 무엇이며 어떻게 작동합니까?
CVE-2026-91403은 Oracle Java SE, Oracle GraalVM for JDK 및 Oracle GraalVM Enterprise Edition의 JSSE 구성 요소에서 발견된 중요한 취약점입니다. 인증받지 않은 공격자가 여러 프로토콜을 통해 네트워크에 접근할 수 있으며, 공격자가 제어하는 정보가 관련 API에 제공될 때도 이 취약한 구성 요소에 간접적으로 도달할 수 있음이 Oracle에 의해 확인되었습니다. 성공적인 악용은 주요 데이터를 노출시키고 승인 없이 정보의 수정, 생성, 삭제를 허용할 수 있습니다. Oracle은 완전한 기술적 악용 메커니즘을 공개하지 않았습니다.
CVE-2026-91403은 언제 처음 발견되었습니까?
정확한 발견 날짜는 공개적으로 명시되지 않았습니다. CVE 식별자는 2026년 9월 14일에 예약되었고, Oracle은 2026년 10월 21일에 보안 경고를 공개적으로 발표했습니다. Oracle의 권고에는 문제를 보고한 외부 연구원 또는 조직이 크레딧되지 않았습니다.
CVE-2026-91403이 시스템에 미치는 영향은 무엇입니까?
성공적인 악용은 주요 애플리케이션 데이터 또는 전체 애플리케이션 데이터에 대한 무단 접근을 초래할 수 있으며, 공격자가 영향을 받는 Java 환경을 통해 접근 가능한 정보를 생성, 수정 또는 삭제할 수 있게 합니다. Oracle은 기밀성과 무결성에 대해 높은 영향을 부여하며, 직접적인 가용성에는 영향을 주지 않습니다. 이 결함은 CVSS v3.1에 따라 9.1 점수를 받았으며, 인증이나 사용자 상호작용이 필요하지 않습니다.
2026년에 CVE-2026-91403이 여전히 영향을 미칠 수 있습니까?
네. 영향을 받는 Oracle Java SE 또는 GraalVM 릴리스를 실행하는 시스템은 적용할 수 있는 보안 업데이트가 설치될 때까지 계속 노출됩니다. 조직은 또한 지원되지 않는 이전 Java 릴리스를 평가해야 합니다. Oracle은 이러한 버전을 테스트하지 않았지만 동일한 취약점을 포함할 수 있으며 지원되는 소프트웨어로 마이그레이션할 것을 권장합니다.
CVE-2026-91403으로부터 자신을 어떻게 보호할 수 있습니까?
Oracle의 보안 경고 패치를 적용하고 공급업체의 패치 가용성 지침에 따라 취약한 Java 및 GraalVM 설치를 업그레이드하십시오. 타사 애플리케이션에 내장된 사본을 포함하여 환경 전반에 Java 런타임을 인벤토리하십시오. 인터넷과 마주하는 서비스 및 신뢰할 수 없는 데이터를 처리하는 애플리케이션에 우선권을 두고, 즉시 패치가 불가능할 경우 네트워크 노출을 제한하고, Java 서비스의 의심스러운 네트워크 행위 및 민감한 데이터에 대한 무단 접근을 모니터링하십시오. 타협이 의심되는 경우, 영향을 받은 시스템을 격리하고, 데이터 수집을 보존하고, 애플리케이션 데이터 무결성을 검토하고, 잠재적으로 노출된 시크릿을 교체하고, 측면 활동이나 후속 활동에 대한 징후가 있는 관련 시스템을 조사하십시오.
