드림 리서치, PHP2Shell 악용 공격 확인…방화벽 24대 침해

드림 리서치가 PHP 취약점 PHP2Shell을 악용한 실제 공격이 발생했다고 확인했다. 공격으로 방화벽 24대와 내부 관리 서버 1대가 침해당했다고 byline.network가 보도했다.

공격자는 PHP 결함에 리눅스 권한 상승 취약점을 연계해 서버의 최고 관리자 권한을 얻었다. 이후 약 1만9000대의 외부 노출 방화벽을 스캔한 뒤 한국, 미국, 일본, 대만에 있는 240대의 장비를 겨냥했다. 침해된 장비 가운데는 미국 정부 관련 기관의 방화벽과 내부 관리 서버도 포함됐다.

국내 취약 버전 노출 규모도 드러났다. 센시스는 10월 27일 취약한 PHP 버전을 사용한 이력이 있는 한국 서비스가 50만8709개이며, 이 가운데 1만9737개(3.9%)만이 수정 버전으로 옮겨갔다고 밝혔다. 비트사이트는 10월 29일 공식 지원 중인 PHP 8.2~8.5 호스트의 68.6%가 일주일 안에 패치 버전으로 이동한 반면, 지원 종료된 PHP 8.1 이하 호스트는 6.4%에 그쳤다고 분석했다.

내부망 상황은 더 취약하다. 지니언스는 내부 네트워크에서 PHP를 구동하는 장비의 96%가 PHP2Shell에 취약한 것으로 분류했으며, 78%가 PHP 8.1 이하, 48%가 PHP 5.x 이하를 사용하는 것으로 집계됐다.

대응도 이어지고 있다. 가비아는 10월 22일 새벽부터 웹 호스팅 서버 긴급 패치에 들어갔고, 한국인터넷진흥원(KISA)은 10월 29일 팰러앨토 네트웍스 PAN-OS와 일부 시놀로지 NAS 패키지에 대한 보안 업데이트를 권고했다.