아마존 보안 인텔리전스(Amazon Threat Intelligence) 소속 사이버 보안 연구원들은 공격자들이 공식 보안 패치가 발표되기 4일 전부터 치명적인 PHP2Shell 취약점을 표적으로 삼기 시작했다고 확인했습니다.
두 개의 치명적인 취약점은 CVE-2026-109618 및 CVE-2026-109619로, 공격자가 감염된 시스템에서 원격 코드 실행(RCE)을 수행할 수 있게 합니다. PHP 개발 팀은 시스템 관리자들에게 업데이트가 제공되는 즉시 설치할 것을 촉구한 지 하루 만인 10월 21일에 필요한 패치를 서둘러 발표했습니다.
취약점 세부 정보 유출 및 일정 가속화
PHP 팀은 PHP2Shell 취약점에 관한 기술적 세부 정보가 온라인에 유출된 후, 당초 계획보다 이틀 앞당겨 공개 절차를 진행하게 되었다고 설명했습니다. 유출된 정보에는 CVE 식별자와 일부 주요 인프라 제공업체를 대상으로 한 완화 조치 권고 사항이 포함되어 있었습니다. 업데이트 출시 전 일부 개념 증명(PoC) 코드가 게시되기도 했으나, PHP 팀은 당시 해당 코드들에 실제 침투 기능은 없었다고 지적했습니다.
현장 공격 포착 및 시작 시점
아마존의 보고서는 클라우드플레어(Cloudflare), 워치타워(watchTowr), 프리비디안(Previdian), 하드리안(Hadrian), 패치스택(Patchstack) 등 여러 보안 기업이 공개 발표 이전에 실패한 악용 시도를 포착한 이후 나왔습니다. 아마존 웹 서비스(AWS)의 최고 정보 보안 책임자인 CJ 모지스(CJ Moses)의 발언에 따르면, 첫 번째 시도는 10월 17일 토요일, 상업용 익명화 네트워크에 속한 IP 주소에서 시작되었습니다.
모지스는 실제 페이로드와 익명화에 사용된 인프라가 다양하다는 점은 여러 공격 주체가 개입했음을 시사한다고 덧붙였습니다. 또한 방어자들에게 공개 발표 날짜를 공격 시작의 가장 이른 시점으로 간주하지 말라고 경고하며, 현재 해당 취약점들이 실제 환경에서 광범위하게 악용되고 있음을 강조했습니다.
시스템과 웹사이트에 미치는 영향
PHP(Hypertext Preprocessor) 언어는 워드프레스(WordPress), 드루팔(Drupal), 줌라(Joomla)와 같은 유명 콘텐츠 관리 플랫폼을 포함하여 전 세계 웹사이트의 약 80%를 구동하는 오픈 소스 프로그래밍 기반입니다. 바이러스토탈(VirusTotal) 플랫폼의 데이터에 따르면, 인터넷에 노출된 PHP 서버는 510만 대가 넘으며, 이 중 약 380만 대의 서버가 잠재적 공격에 노출된 포트를 최소 하나 이상 보유하고 있어 그 영향력이 매우 광범위할 것으로 예상됩니다.