UK — The Register
의심되는 중국 공격자들, 맞춤형 PHP2Shell 익스플로잇으로 서버 25대 장악
보안2분 읽기
의심되는 중국 해커들이 PHP2Shell이라는 취약점을 이용해 25대의 서버를 장악했다는 소식입니다. 이 중에는 미국 정부와 연계된 기관의 방화벽도 포함되어 있습니다.
무슨 일이 있었나
보안 회사 Dream의 연구원들은 중국 해커로 의심되는 공격자들이 25대의 서버를 장악했다고 발표했습니다. 대상에는 Palo Alto Networks 방화벽이 포함됐고, 이 방화벽은 미국 정부와 연계된 기관에서 쓰이고 있었습니다. 공격은 10월 23일에 시작됐고 미국, 일본, 대만, 한국의 기관들을 노렸습니다. 공격자들은 PHP2Shell을 직접 만든 맞춤형 공격 도구와 리눅스 커널의 권한 상승 취약점을 함께 썼습니다. 이렇게 해서 서버의 최고 관리자 권한(루트)을 얻었습니다.
핵심 숫자와 사실
- 장악된 서버 수: 25대
- 공격 시작일: 2026년 10월 23일
- 첫 번째 미국 정부 연계 방화벽은 10월 23일에, 두 번째는 10월 24일에 뚫렸습니다.
- PHP2Shell 취약점 번호: CVE-2026-109618, CVE-2026-109619 (둘 다 CVSS 점수 9.2)
- 리눅스 커널 취약점 Fragnesia: CVE-2026-46300
쉽게 보는 배경
PHP2Shell은 PHP라는 웹 프로그래밍 언어로 만든 서버의 약점입니다. 이 약점을 쓰면 로그인 없이도 서버에서 명령을 실행할 수 있습니다. 이번 공격은 공개된 공격 코드를 그대로 베낀 것이 아니라, 대상 방화벽에 맞게 새로 만든 것으로 보입니다. 공격자들은 방화벽을 뚫은 뒤 내부 네트워크로 들어가 다른 서버까지 공격했습니다. 공격자들이 여전히 원격으로 접근할 수 있을 가능성도 있다고 Dream은 말합니다.
왜 중요한가
정부와 연결된 방화벽이 뚫리면 내부 시스템 전체가 위험해질 수 있습니다. 공격은 15분 이내의 짧은 시간 안에 끝날 만큼 빨랐습니다. 또한 한 번의 간단한 요청으로 시작된 공격이어서, 관리 화면을 인터넷에 열어 두면 안 된다는 교훈을 줍니다.
앞으로 지켜볼 점
용어 풀이
- PHP2Shell
- PHP 기반 서버에서 로그인 없이 명령을 실행할 수 있게 해 주는 보안 약점입니다.
- Dream
- 이스라엘의 AI 사이버보안 스타트업으로, 이번 공격을 분석해 보고서를 냈습니다.
- Palo Alto Networks
- 기업과 기관에서 쓰는 방화벽 등 보안 장비를 만드는 회사입니다.
- PAN-OS
- Palo Alto Networks 방화벽을 움직이는 운영체제입니다.
- Fragnesia
- 리눅스 커널의 약점으로, 일반 사용자 권한을 최고 관리자 권한으로 올리는 데 쓰일 수 있습니다.
- CISA
- 미국 사이버보안청으로, 주요 취약점 목록을 관리하고 대응을 안내합니다.