CISA, PHP2Shell 공격 진행 확인... 연구진 성공적 악용 사례 포착

무슨 일이 있었나

CISA는 PHP2Shell 취약점 두 개(CVE-2026-109618, CVE-2026-109619)를 '이미 공격당한 취약점 목록(KEV)'에 추가했습니다. 지난주에는 위험하다고만 경고하고 실제 공격은 아직 확인하지 못했다고 했지만, 이번에는 실제 공격을 확인한 것입니다. 두 취약점 모두 로그인 없이 PHP 서버에서 악성 코드를 실행할 수 있게 해 줍니다.

주요 숫자와 사실

• 취약점 심각도 점수: 두 가지 모두 CVSS 9.2 (10점 만점에 가까운 아주 높은 위험)
• 수정 패치 공개일: 10월 21일 (AWS는 10월 17일에 이미 공격 시도를 발견)
• 연방 기관 수정 마감일: 10월 29일
• 허니팟 실험: 10월 24일 한 연구원이 3개 시스템에서 35번 공격 성공 기록
• 전 세계 탐지: 델프트 공과대학 연구팀이 60만 개가 넘는 IP가 아닌 600여 개 IP 주소에서 5만 건 이상 시도를 추적, 그중 171개 주소는 실제 공격 코드나 악성코드를 보냄

배경 설명

PHP는 많은 웹사이트가 사용하는 프로그래밍 언어입니다. 그래서 PHP 취약점 하나가 많은 사이트를 위험에 빠뜨릴 수 있습니다. 허니팟은 일부러 약하게 만든 가짜 서버로, 해커를 유인해 그들의 방법을 관찰하는 데 쓰입니다. 앞선 일부 보고는 나중에 틀린 것으로 드러났습니다. Sophos는 자신들이 본 활동이 단순 스캔과 실패한 시도였다고 정정했고, Palo Alto Networks도 유럽 정부 기관 침입과 이 취약점을 연결했던 주장을 철회했습니다.

왜 중요한가

해커들이 이미 실제로 서버를 뚫고 들어가려 하고 있다는 뜻입니다. 특히 PHP를 쓰는 서버 관리자는 빨리 패치해야 합니다. CISA는 어떤 기관이 공격당했는지, 몇 대의 서버가 실제로 뚫렸는지는 밝히지 않았습니다. 그래서 아직 얼마나 큰 피해인지는 분명하지 않습니다. 연방 기관이 아닌 조직에도 같은 수정을 서두르라고 권고했습니다.

앞으로 지켜볼 점

• 10월 29일 연방 기관의 패치 완료 여부
• 관리자들이 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 중 맞는 버전으로 업데이트하는지 여부
• 오래되어 지원이 끝난 PHP 버전을 쓰는 서버가 어떻게 대응하는지
• CISA나 보안 업체가 피해를 입은 조직을 추가로 밝히는지 여부