PHP 중대 취약점 공개 나흘 전 익스플로잇 포착, Amazon도 경로는 모른다

AI 요약

Amazon은 10월 17일 호주로 위치가 잡힌 익명 IP에서 PHP2Shell 악용 요청을 탐지했습니다. 두 취약점은 각각 심각도 9.2이며 인증 없이 취약한 PHP 시스템에서 원격 코드 실행을 시도할 수 있습니다. 다만 실제 시스템에서 공격이 성공했는지는 확인되지 않았습니다.

공개와 패치

취약점 정보와 패치는 예정대로 10월 21일 14:00 UTC에 공개됐습니다. 공개 뒤에도 02:00~08:00 UTC 사이 Amazon 센서에서 추가 시도가 관측됐고, 여러 공격자가 있었던 것으로 보입니다. 성공한 침해나 정보 탈취는 확인되지 않았습니다. PHP 프로젝트는 지원 중인 8.2.35, 8.3.36, 8.4.27, 8.5.12 버전을 배포했습니다. PHP 8.1 이하 버전은 지원이 끝나 마이그레이션이나 공급업체의 백포트 패치 확인이 필요합니다.

Reddit 반응

• @_ari_c_flemming — 기사에는 유출, 내부자 개입, Amazon 시스템 침해를 입증하는 증거가 없다고 나옵니다. 시점만으로 공격자가 취약점 정보를 일찍 얻었다고 볼 수는 있지만, 독립적으로 발견했거나 공개 전 패치를 살펴본 경우도 허니팟 관측만으로는 구분할 수 없습니다.
• @LLMsMustUpvoteThis — "증거가 없다"는 표현은 늘 쓰입니다. 사이버 보안 업계에는 기밀을 자주 흘리는 허풍꾼과 소문꾼이 많다는 점을 알아야 합니다.
• @Fantastic-Fee-1999 — 해커들은 하나의 집단처럼 정보를 공유하는 게 아닙니다. 한 사람이 취약점을 찾아 보고했다고 해서 다른 열 명도 몰랐으리라는 뜻은 아닙니다.
• @ShittyRedditAppSucks — PHP 역사를 잘 아는 연구자가 2004년에 처음 공개된 여러 PHP 메모리 부족 문제를 GPT 6 등과 함께 연결해 취약점을 찾았고, 비슷한 시기에 다른 연구팀도 발견했을 수 있습니다. 모델이 공격 경로를 찾아낸 뒤 다른 사람들도 같은 결과를 얻었을 가능성을 생각합니다.
  • @TheShabbyAndres — 한 연구자의 대화가 다른 사용자에게 곧바로 학습되는 것은 아닙니다. 여러 팀이 같은 코드와 AI 도구를 살폈다면 비슷한 취약점을 발견할 수 있습니다. 10월 17일 Amazon이 포착한 요청이 어떻게 정보를 얻었는지는 여전히 별개의 문제입니다.
• @biglymonies — PHP 원격 코드 실행 취약점이 발표될 거라는 말을 며칠 전에 들었습니다. PHP 시스템을 관리하지도 않는데 알게 됐습니다. 친구끼리 미리 귀띔하고 사람들이 이야기합니다.
• @schwar2ss — 대형 클라우드 업체와 호스팅 업체, 장비 업체는 업데이트를 일찍 받습니다. 누군가 패치를 역공학하거나 차이를 비교해 문제를 찾고 친구에게 알렸을 수 있습니다.
• @djseto — 공개 시점과 보안 업체나 연구자가 알게 된 시점은 다릅니다. 공개 전부터 알고도 입을 다물어야 하는 사람이 많습니다.
• @Any-Discount-5556 — 공격자가 미리 결함을 안 게 아니라 무작위 퍼징을 하다가 우연히 제로데이를 건드렸을 수도 있습니다.

원문: Tech Times / 토론: Reddit / 번역·요약: Trawling