오라클, 7월 보안 패치 1,449건 공개…Fusion Middleware에 CVSS 10.0 항목 10개

오라클 공식 보안 권고에 따르면 회사는 21일(현지시간) 2026년 7월 Critical Patch Update(CPU)를 공개했다. 이번 업데이트에는 데이터베이스, Fusion Middleware, Java SE, MySQL, 엔터프라이즈 애플리케이션 등 제품군 전반의 신규 보안 패치 1,449건이 담겼다.

1,449건은 고유 취약점 수가 아니라 제품별로 제공되는 신규 보안 패치 수다. 같은 취약점이 여러 제품 구성요소에 영향을 주면 위험 행렬에 중복해서 나타날 수 있으며, 오라클 코드뿐 아니라 제품에 포함된 제3자 구성요소의 취약점도 이번 업데이트 대상에 들어간다.

가장 큰 비중을 차지한 영역 중 하나는 Oracle Fusion Middleware다. 이 제품군에는 신규 보안 패치 355건이 포함됐고, 이 가운데 219건은 사용자 인증 없이 네트워크를 통해 악용될 가능성이 있는 것으로 분류됐다. 위험 행렬에는 Oracle Access Manager, Coherence, Data Integrator, HTTP Server, Unified Directory, WebCenter Content, WebLogic Server Proxy Plug-in 등과 관련된 CVSS 3.1 기준 10.0 항목 10개가 제시됐다.

CVSS 10.0 항목은 공격 복잡도가 낮고 별도 권한이나 사용자 상호작용 없이 네트워크에서 접근할 수 있는 조건을 공통으로 갖는다. 기밀성·무결성·가용성에 모두 높은 영향을 줄 수 있는 항목이 다수이며, 일부는 서로 다른 제품 구성요소에 같은 CVE가 적용돼 별도 행으로 집계됐다. 따라서 조직은 숫자만 확인하기보다 실제 배포한 제품과 지원 버전을 위험 행렬에 대조해야 한다.

데이터베이스 제품군에는 모두 72건의 신규 보안 패치가 포함됐다. Oracle Database Server 관련 패치는 15건이며 이 가운데 6건이 인증 없이 원격 악용 가능한 것으로 분류됐다. GoldenGate는 27건 중 9건, SQL Developer는 5건 전부가 같은 원격 악용 가능 범주에 들어갔다.

Java SE에는 신규 보안 패치 19건과 추가 제3자 구성요소 패치가 제공됐다. 오라클은 이 가운데 17건이 인증 없이 원격 악용될 수 있다고 밝혔다. 위험 행렬에 제시된 영향 버전에는 Java SE 8u491, 11.0.31, 17.0.19, 21.0.11, 25.0.3, 26.0.1과 일부 GraalVM 버전이 포함된다.

오라클은 이미 패치가 나온 취약점을 노린 공격 시도가 계속 관찰되고 있으며, 일부 고객은 제공된 패치를 적용하지 않아 실제 침해를 허용한 사례가 보고됐다고 설명했다. 회사는 지원 중인 버전을 유지하고 보안 패치를 지체 없이 적용할 것을 권고했다.

다만 이번 권고는 7월 CPU에 새로 포함된 각 취약점이 실제 공격에 악용되고 있다고 밝힌 것은 아니다. 운영 조직은 인터넷에 노출된 Fusion Middleware 구성요소와 외부 입력을 처리하는 Java 서비스부터 자산 목록을 확인하고, 제품별 패치 문서와 호환성 조건에 따라 적용 우선순위를 정할 필요가 있다.

출처: Oracle Critical Patch Update Advisory - July 2026 https://www.oracle.com/security-alerts/cpujul2026.html