팔로우 Oracle은 Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition에 영향을 미치는 치명적인 취약성 CVE-2026-91403을 해결하는 비정기 보안 경고를 발행했습니다. 보안 문제는 Java Secure Socket Extension(JSSE) 구성 요소에 있으며 CVSS v3.1 점수는 9.1입니다.
이 취약성은 인증 없이 원격으로 악용 가능합니다. Oracle에 따르면, 다수의 프로토콜을 통해 네트워크 접근이 가능한 공격자는 자격 증명을 제공하거나 사용자 상호작용 없이 취약한 Java 환경을 손상시킬 수 있습니다. 성공적인 악용은 중요 데이터를 노출시키고, 영향을 받은 Java 런타임에 접근 가능한 정보를 무단으로 수정, 생성, 삭제할 수 있게 합니다.
Rapid7은 이 결함을 치명적이라고 분류하고 CVSS 벡터 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N을 확인합니다. 이는 네트워크를 통해 낮은 공격 복잡도로 악용될 수 있으며, 권한이나 피해자 상호작용이 필요하지 않으며 기밀성과 무결성에 높은 영향을 미칠 수 있다는 것을 의미합니다.
Java가 기업 웹 서비스, 백엔드 애플리케이션, 미들웨어, API 및 비즈니스 크리티컬 인프라에 널리 배포됨에 따라 잠재적인 노출이 증가합니다. 따라서 조직은 영향을 받은 Java 및 GraalVM 런타임을 식별하고 Oracle의 보안 경고 패치를 우선적으로 적용해야 합니다.
CVE-2026-91403 탐지 기회를 찾고 있는 보안 팀은 Java 서비스의 이례적인 네트워크 상호작용, 예기치 못한 인증서 또는 TLS 관련 오류, 의심스러운 하위 프로세스, 민감한 애플리케이션 데이터에 대한 비정상적인 접근을 모니터링해야 합니다.
SOC Prime의 AI-Native Detection Intelligence Platform은 MITRE ATT&CK®에 매핑된 탐지 콘텐츠와 다수의 SIEM, EDR 및 데이터 레이크 환경에서 제공되는 탐지 콘텐츠로 보안 팀이 새로운 취약성 악용에 대한 방어를 강화할 수 있게 도와줍니다.
클릭 탐지 탐색 관련 SOC 콘텐츠 및 사냥 로직에 접근하십시오. CVE-2026-91403 및 관련 포스트 익스플로잇 행동을 탐지하기 위해 방어자는 Java 애플리케이션 원격 측정, 네트워크 모니터링, 엔드포인트 가시성 및 서비스 레벨 로그를 결합해야 합니다.
보안 팀은 Prime Architect를 활용하여 새로운 취약성 인텔리전스를 시그마 규칙으로 변환하고, 탐지 쿼리를 생성하고, 탐지 로직을 검증하고, 지원되는 보안 플랫폼에 걸쳐 탐지를 변환할 수 있습니다.
CVE-2026-91403 분석
CVE-2026-91403은 Java 애플리케이션이 안전한 통신 기능을 제공하기 위해 사용하는 JSSE 구성 요소에 영향을 미칩니다. Oracle은 결함이 쉽게 악용 가능하다고 설명하며, 인증 없이 다수의 프로토콜을 통해 원격에서 공격이 시작될 수 있음을 확인합니다.
공급업체는 근본적인 프로그래밍 오류 또는 완전한 악용 시퀀스를 공개하지 않았습니다. Oracle의 취약성 공개 정책은 고객이 패치를 배포하는 동안 무장화를 촉진할 수 있는 기술 세부사항의 공개를 의도적으로 제한합니다. 따라서 특정한 불법 패킷, 인증서 구조, API 인수, 또는 악용 원시가 Oracle이 추가 기술 정보를 발표하지 않는 한 확인된 것으로 간주하지 말아야 합니다.
CVE-2026-91403은 다음의 지원되는 Oracle 릴리즈에 영향을 미칩니다:
- Oracle Java SE 8u511 및 8u511-perf
- Oracle Java SE 11.0.33
- Oracle Java SE 17.0.21
- Oracle Java SE 21.0.13
- Oracle Java SE 25.0.5
- Oracle Java SE 27.0.1
- Oracle GraalVM for JDK 17.0.21
- Oracle GraalVM for JDK 21.0.13
- Oracle GraalVM Enterprise Edition 21.3.20
Oracle은 또한 지원되지 않는 이전 릴리즈가 테스트되지 않았더라도 보안 경고로 해결된 취약성을 포함할 가능성이 높다고 경고합니다. 여전히 지원되지 않는 Java 브랜치를 운영하는 조직은 영향을 받지 않을 것이라고 가정해서는 안 됩니다.
공격 표면은 독립형 Java 데스크탑 애플리케이션보다 넓습니다. Oracle은 특히 API의 취약한 구성 요소가 노출됨으로 인해, 웹 서비스가 공격자 제어 데이터를 해당 API에 전달하는 상황을 포함해 악용이 발생할 수 있다고 정보를 명시하고 있습니다.
공급업체는 또한 이 문제가 보호를 위해 Java 샌드박스에 의존하면서 신뢰할 수 없는 코드를 실행하는 Java 배포에 적용된다고 진술합니다. 여기에는 샌드박스화된 Java Web Start 애플리케이션과 Java 애플릿이 포함됩니다.
CVE-2026-91403의 세부사항은 특히 심각한 기밀성과 무결성의 결과를 나타냅니다. Oracle은 두 영향을 모두 높게 평가하였으며, 직접적인 가용성 영향은 없다고 지정합니다. 성공적인 공격자는 잠재적으로 중요한 애플리케이션 데이터에 비허가된 접근을 얻거나, 손상된 Java 환경에서 접근 가능한 정보를 수정, 생성, 삭제할 수 있습니다.
이 구분은 사고 대응에 중요합니다. 조직은 서비스 중단에만 집중하지 말아야 합니다. 취약한 서버는 민감한 정보에 접근되거나 애플리케이션 데이터가 수정되는 동안에도 정상적으로 작동할 수 있습니다.
게시 당시 Rapid7이나 Oracle은 독립적으로 취약성을 재현할 수 있는 공개 CVE-2026-91403 PoC 또는 충분한 기술적 악용 지침을 제공하지 않습니다. Rapid7은 또한 이 이슈가 2026년 10월 22일 기준으로 CISA Known Exploited Vulnerabilities 카탈로그에 없는 것으로 나열합니다.
마찬가지로, 주요 출처에서는 악의적인 IP 주소, 도메인, 해시 또는 페이로드 서명을 포함한 캠페인별 CVE-2026-91403 IOC가 발표되지 않았습니다. 이는 순수한 인디케이터 기반의 사냥 효과를 제한하고 행동 가시성을 더욱 중요하게 만듭니다.
보안 팀은 Java로 노출된 서비스를 모니터링해야 합니다:
- Java 애플리케이션이나 웹 서비스에 도달하는 예기치 않은 네트워크 요청
- 비정상적인 TLS 또는 JSSE 관련 오류
- 정당한 활동과 일치하지 않는 애플리케이션 데이터의 변경
- 예기치 않은 인증 또는 권한 부여 이상
- Java 프로세스가 시작하는 비정상적인 아웃바운드 연결
- Java 애플리케이션에 의해 시작된 인식되지 않는 하위 프로세스
- 파일, 구성 또는 애플리케이션 자원의 수정
- 이상한 데이터 접근 바로 직전에 발생한 의심스러운 API 요청
완전한 악용 메커니즘이 공개되지 않았기 때문에 이러한 행동은 단독으로 악용을 입증할 수 없습니다. 대신 이러한 행동은 취약성 노출 및 애플리케이션별 원격 측정과 결합하여 조사 기준으로 사용되어야 합니다.
CVE-2026-91403 완화
Oracle은 2026년 10월 21일에 계획된 보안 주기를 기다리지 않고 별도의 보안 경고를 발표했습니다. 관리자는 Oracle의 패치 이용 가능성 문서에 참조된 패치를 가능한 빠르게 적용해야 합니다.
조직은 상용 소프트웨어, 미들웨어 제품, 애플리케이션 서버, 컨테이너, 개발 환경 및 타사 장치와 번들된 런타임을 포함한 모든 Java 설치를 먼저 확인해야 합니다. 다른 제품에 포함된 Java 구성 요소는 일반적으로 애플리케이션 디렉토리에 별도의 JDK 또는 JRE가 있는 것을 관리자들이 깨닫지 못해 취약성 관리 중 간과됩니다.
우선적으로 적용해야 할 시스템:
- 신뢰할 수 없는 소스로부터 네트워크 연결을 받음
- Java로 지원되는 웹 서비스나 API를 노출함
- 공격자가 통제하는 입력을 처리함
- 민감한 비즈니스 또는 고객 데이터를 처리함
- 지원되지 않는 Java 릴리즈를 운영함
- Java Web Start 또는 샌드박스 종속 배포 모델 사용
Oracle은 Premier Support 또는 Extended Support로 보장되는 버전에만 보안 경고 패치를 제공합니다. 이전 릴리즈는 영향 버전 테이블에 없음으로 인해 반드시 안전한 것은 아닙니다. Oracle은 나이 든 릴리즈도 취약성을 포함할 수 있으므로, 지원되지 않는 배포본을 지원 버전으로 이동할 것을 명시적으로 권장합니다.
즉시 패치가 불가능한 경우 조직은 영향을 받은 서비스에 대한 네트워크 접근을 제한하고, 신뢰할 수 있는 시스템으로의 통신을 제한하고, 가능한 경우 애플리케이션 수준의 접근 제어를 적용함으로써 노출을 줄여야 합니다. 이러한 단계는 공급업체 업데이트의 적절한 대체가 아닌, 임시 위험 감소 조치로 간주해야 합니다.
보안 팀은 또한 애플리케이션 및 네트워크 로그를 기슈각 처리하여 민감한 데이터에 대한 예기치 않은 접근, 의심스러운 수정, Java 네트워크 활동의 비정상적인 점, 및 정당한 비즈니스 운영으로 설명되지 않는 이상한 API 요청을 찾아야 합니다.
의심스러운 행동이 식별될 경우, 대응자는 다음을 수행해야 합니다:
- 가능한 경우 영향을 받은 호스트를 격리하십시오.
- Java 애플리케이션, 웹 서버, 엔드포인트 및 네트워크 로그를 보존하십시오.
- 민감한 애플리케이션 데이터의 무결성을 검토하십시오.
- Java 프로세스에 접근할 수 있는 자격증명, 비밀, 토큰을 식별하십시오.
- 잠재적으로 노출된 자격증명을 회전하십시오.
- 애플리케이션 파일 및 구성에 대한 무단 변경 사항을 검색하십시오.
- 후속 활동 징후를 찾기 위한 아웃바운드 연결을 조사하십시오.
- 동일한 애플리케이션 구성으로 다른 Java 시스템을 검증하십시오.
Oracle에서 식별한 기밀성과 무결성이 주요 영향이므로, 사건 대응에는 항상 다운타임 증거가 없는 경우에도 데이터 접근 및 데이터 수정 검토가 포함되어야 합니다.
SOC Prime의 AI-Native Detection Intelligence Platform을 사용하는 조직은 패치가 배포되는 동안 취약한 Java 서비스 주위에서 행동 모니터링을 강화하고 보안 스택 전반의 침해 후 활동을 지속적으로 찾을 수 있습니다.
면책 성명: 모든 CVE에 대해 탐지 콘텐츠가 제공되지 않을 수 있습니다. 현재 적용 범위를 SOC Prime Platform에서 확인하십시오. 관련 탐지가 아직 제공되지 않는 경우, 위협 인텔리전스와 탐지 콘텐츠가 지속적으로 추가되므로 다시 확인하십시오.
FAQ
CVE-2026-91403이란 무엇이며 어떻게 작동합니까?
CVE-2026-91403은 Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition의 JSSE 구성 요소의 심각한 취약성입니다. Oracle은 네트워크 접근 권한이 있는 인증되지 않은 공격자가 여러 프로토콜을 통해 이 문제를 악용할 수 있음을 확인합니다. 또한, 취약한 구성 요소는 웹 서비스가 공격자 제어 정보를 관련 API로 제공할 때 간접적으로 접근할 수 있습니다. 성공적인 악용은 중요한 데이터를 노출시키고, 영향을 받은 Java 환경에 접근할 수 있는 정보를 무단으로 수정, 생성, 삭제할 수 있게 합니다. Oracle은 완전한 기술적 악용 메커니즘을 공개하지 않았습니다.
CVE-2026-91403은 언제 처음 발견되었습니까?
정확한 발견 날짜는 공개되지 않았습니다. CVE 식별자는 2026년 9월 14일에 예약되었으며, Oracle은 2026년 10월 21일에 보안 경고를 공개적으로 발표했습니다. Oracle의 자문은 이 문제를 보고한 외부 연구원 또는 기관을 언급하지 않습니다.
CVE-2026-91403이 시스템에 미치는 영향은 무엇입니까?
성공적인 악용은 중요한 애플리케이션 데이터에 대한 무단 접근을 초래할 수 있으며, 공격자가 영향을 받은 Java 환경을 통해 접근 가능한 정보를 생성, 수정 또는 삭제할 수 있게 합니다. Oracle은 기밀성과 무결성 영향을 높다고 평가하였으며, 직접적인 가용성 영향은 없다고 지정합니다. CVSS v3.1에서 점수는 9.1을 받으며, 인증이나 사용자 상호작용이 필요하지 않습니다.
2026년에 CVE-2026-91403가 여전히 영향을 줄 수 있습니까?
예. 취약한 Oracle Java SE 또는 GraalVM 릴리즈를 실행하는 시스템은 해당 보안 업데이트가 설치될 때까지 노출된 상태로 남아 있습니다. 조직은 또한 이전에 지원되지 않는 Java 릴리즈를 평가해야 합니다. Oracle은 이러한 버전이 테스트되지 않았음에도 동일한 취약성을 포함할 수 있으며, 지원되는 소프트웨어로 마이그레이션할 것을 권장합니다.
CVE-2026-91403로부터 자신을 어떻게 보호할 수 있습니까?
Oracle의 보안 경고 패치를 적용하고, 공급업체의 패치 가용성 안내에 따라 취약한 Java 및 GraalVM 설치를 업그레이드하십시오. 환경 전체에서 타사 애플리케이션에 포함된 복사본을 포함하여 Java 런타임을 인벤토리화 하십시오. 즉시 패치가 불가능한 경우 인터넷에 노출된 서비스와 신뢰할 수 없는 데이터를 처리하는 애플리케이션을 우선시하고, 네트워크 노출을 제한하며, Java 서비스의 의심스러운 네트워크 활동과 민감한 데이터에 대한 무단 접근을 모니터링하십시오. 타협이 의심되면 영향을 받은 시스템을 격리하고, 포렌식 원격 측정을 보존하고, 애플리케이션 데이터 무결성을 검토하며, 잠재적으로 노출된 비밀을 회전하고, 관련 시스템에서 측면 또는 후속 활동의 징후를 조사하십시오.
