PHP2Shell, 공개 4일 전 악용 시도 포착… 아마존 "공개일 이전까지 소급 조사해야"

무슨 일이 있었나요?

Amazon의 위협 인텔리전스 팀은 PHP의 "긴급" 등급 취약점 2건을 악용하려는 시도를 10월 17일에 관찰했다고 AWS 공식 블로그에서 알렸습니다. 취약점 공개는 10월 21일이었습니다. 공격자를 유인하는 가짜 시스템인 "MadPot"(허니팟)이 이 시도를 잡아냈습니다. 공격 시도는 상업용 익명화 네트워크와 연결된 IP 주소에서 나왔습니다. Amazon은 공개 전에 공격자가 어떻게 정보를 얻었는지는 아직 모른다고 합니다.

주요 숫자와 사실

• 공격 시도 관찰일: 10월 17일 (공개 4일 전)
• 취약점 공개 및 수정판 배포: 10월 21일 (일본 시간 밤 11시)
• 공개 당일 오전 11시쯤부터 악용 코드가 여러 개 돌기 시작함
• 수정판 공개 후 몇 시간 안에 새 악용 코드가 등장함

왜 이렇게 빨리 공격이 시작될까요?

PHP 개발팀은 수정판을 내놓기 전까지 취약점의 자세한 내용을 숨겼습니다. 보안 회사들은 보통 이런 방식을 써서 공격자가 틈을 노리지 못하게 합니다. 하지만 Amazon의 CISO(최고정보보안책임자) CJ 모지스는 이렇게 숨기는 방법은 다른 사람이 같은 버그를 찾아낼 때까지만 도움이 된다고 말합니다. 또 AI를 쓰면 수정 내용을 보고 공격 코드를 쉽게 만들 수 있어서, 수정판이 나온 뒤 공격이 시작되기까지 걸리는 시간이 몇 시간, 어떤 경우에는 몇 분으로 줄었다고 합니다.

왜 중요한가요?

PHP는 웹사이트와 서버에서 많이 쓰는 프로그래밍 언어입니다. 그래서 이 취약점은 많은 시스템에 영향을 줄 수 있습니다. 이 사건은 보안 담당자들이 "7일이나 30일 안에 고치면 된다"는 생각을 버리고, 몇 시간 단위로 대응해야 한다는 신호입니다. 또 공개일이 아니라 가장 먼저 공격이 확인된 날부터 조사해야 숨은 침해를 놓치지 않습니다. PHP2Shell의 경우 최소한 10월 17일 이후를 봐야 합니다.

앞으로 지켜볼 점

• PHP 사용 시스템이 얼마나 빨리 수정판으로 바뀌는지
• 10월 17일 이후 침해 흔적이 새로 발견되는지
• Amazon이 제시한 것처럼 특정 공격 패턴에 의존하지 않는 탐지 기술이 늘어나는지