PHP2Shell 공격의 전개
PHP2Shell 취약점(CVE-2026-109618 및 CVE-2026-109619)을 해결하기 위한 긴급 업데이트가 발표된 지 불과 이틀 만에, 사이버 보안 기업들은 위협 행위자들이 이 취약점을 악용하여 유명 봇넷인 Mirai의 변종을 배포하려는 집중적인 시도를 포착했습니다. 원격 코드 실행(RCE)을 허용하며 CVSS v4.0 기준 9.2점의 높은 위험도를 가진 취약점임에도 불구하고, 현재까지 실제 환경에서 성공적인 침해 사례는 확인되지 않았습니다.
공격자가 직면한 기술적 난관
Sophos 및 Hunt.io와 같은 기업의 분석에 따르면, 공격자들은 이러한 취약점을 효과적인 익스플로잇으로 전환하는 데 상당한 어려움을 겪고 있습니다. Sansec은 이 취약점들이 서버 구성과 특정 실행 조건에 대한 정밀한 지식을 요구하며, 공개된 대부분의 도구는 기본 PHP 설정 환경에서는 작동하지 않는다고 설명했습니다.
한편, VulnCheck는 공격자들에게 주요 메모리 보호 기술로 여겨졌던 x86-64 시스템의 ASLR(주소 공간 무작위화) 기술을 우회하는 익스플로잇을 개발하는 데 성공했습니다. 그러나 이 익스플로잇은 여전히 해당 기업의 고객에게만 제공되고 있어, 공개된 도구와 고도화된 공격 능력 사이의 격차를 보여줍니다.
실질적인 변화
- 익스플로잇의 복잡성: SOCRadar를 통해 공격자 서버에서 발견된 도구들은 공격자들이 집중적인 실험을 수행하고 있으나, 자신들의 테스트 환경과 일치하지 않는 실제 서버를 해킹하는 데는 실패하고 있음을 보여줍니다.
- 예방 조치: 이러한 취약점에 대한 우려로 유럽의 정부 및 교육 기관을 포함한 많은 조직이 업데이트를 적용하는 동안 예방 차원에서 시스템을 일시적으로 중단했습니다.
- 패치 격차: Qualys의 데이터는 업데이트 관리의 큰 어려움을 드러냈습니다. 수백만 개의 PHP 인스턴스가 보안 패치를 받을 수 없는 매우 오래된 버전(End-of-Life)으로 운영되고 있어 장기적인 위험에 노출되어 있습니다.
보안 맥락
이 취약점들은 지난 8월 Wiz, OpenAI, Calif에 의해 발견되었으며, CVE 식별자가 유출된 후 10월 21일에 업데이트(버전 8.5.12, 8.4.27, 8.3.36, 8.2.35)가 신속하게 발표되었습니다. 10월 17일 Amazon에 의해 초기 악용 시도가 포착되었음에도 불구하고, 현재까지 공격 활동이 확인된 침해로 이어지지는 않았습니다. 이는 시스템 관리자들이 공격자들이 더 효율적인 도구를 개발하기 전에 업데이트를 적용할 수 있는 결정적인 기회를 제공하고 있습니다.