웹 서버와 애플리케이션은 심각한 PHP2Shell 취약점을 겨냥한 대규모 집중 공격 물결에 직면해 있으며, 사이버 보안 기업들은 공격 시도의 규모에도 불구하고 성공적인 침해 비율은 여전히 매우 제한적이라고 확인했습니다.
이번 캠페인에서 팔로 알토 네트워크스(Palo Alto Networks)의 방화벽이 두각을 나타냈으며, 중국과 연계된 해킹 그룹이 PHP2Shell 취약점 악용과 Fragnesia로 알려진 리눅스 커널 권한 상승 취약점을 결합하여 이들 중 일부를 침해하고 루트 권한으로 악성코드를 배포하는 데 성공했습니다.
팔로 알토 장비 타겟팅 세부 정보
팔로 알토 네트워크스는 보안 기관들이 밝혀낸 결과를 확인해주며, 공격자들이 인터넷에 노출된 관리 인터페이스와 관련된 PAN-OS 장비의 (CVE-2026-109618) 및 (CVE-2026-109619) 코드 취약점을 인공지능 도구의 도움을 받아 악용했다고 설명했습니다. 회사는 PA-Series 및 VM-Series 방화벽 시리즈와 Panorama 시스템의 취약한 버전에 있는 결함을 해결하기 위해 긴급 소프트웨어 업데이트를 발행했습니다.
회사는 기본 관리 인터페이스가 본질적으로 인터넷에 노출되어 있지 않다고 설명하며, 글로벌 고객 기반의 약 0.02%에 달하는 매우 적은 비율만이 이러한 노출된 인터페이스의 영향을 받았으며 필요한 패치를 적용하기 위해 해당 고객들에게 직접 연락을 취했다고 밝혔습니다.
PHP 서버에 미치는 광범위한 영향과 워드프레스에서의 실패
회사의 원격 측정 데이터에 따르면, 워드프레스, 드루판, 줌라와 같은 콘텐츠 관리 시스템에서 이 언어가 광범위하게 사용되기 때문에 2,260만 개 이상의 PHP 인스턴스가 PHP2Shell 취약점으로 인해 잠재적인 위험에 노출되어 있는 것으로 나타났습니다.
워드프레스 등의 플랫폼을 겨냥한 수천 건의 스캔 요청과 공격이 기록되었음에도 불구하고, 사이버 보안 기업 디파이언트(Defiant)는 대상 서버 환경, 메모리 설정, PHP 버전에 맞추기 위해 악용 코드를 지속적으로 수정해야 하는 점을 이유로 현재까지 워드프레스 사이트에 대한 성공적인 침해 사례는 기록되지 않았다고 확인했습니다.
시스템 관리자에게 중요한 점은 무엇인가?
이번 캠페인은 현재의 사이버 공격이 민감한 인프라에서 완전한 권한을 얻기 위해 여러 취약점의 결합(Chaining)에 점점 더 의존하고 있음을 확인시켜 줍니다. 카토 네트워크스(Cato Networks) 등의 기업이 문서화한 대부분의 악용 시도가 원격 코드 실행(RCE)에 초점을 맞추고 의료 및 기술 등 다양한 부문을 겨냥한 반면, 최소한의 성공적인 침해는 즉각적인 업데이트와 인터넷을 통한 관리 인터페이스 직접 접근 제한의 중요성을 강조합니다.