CISA, PHP2Shell 취약점 악용 확인… 연방기관에 패치 지시

CISA가 PHP2Shell로 묶인 PHP 취약점 CVE-2026-109618과 CVE-2026-109619를 실제 공격에 악용된 취약점 목록(KEV)에 추가했습니다. 미패치 시스템에서 원격 코드 실행이 가능하지만, 공격 시도와 침해 성공은 구분해야 합니다. CISA는 연방 민간기관에 10월 29일까지 조치하라고 지시했습니다.

주제: 보안 PHP 취약점

에디터 노트

패치 우선순위와 특정 침해의 원인 규명은 별개입니다. CISA의 KEV 등록과 허니팟에서 나온 RCE 증거는 실제 악용을 뒷받침하지만, Unit 42는 유럽 정부기관 침해의 최초 접근 경로가 두 PHP2Shell 취약점이었다는 주장을 철회했습니다. 따라서 취약점 악용 사례가 있다는 사실을 해당 기관 침해의 원인까지 확정한 것으로 읽으면 안 됩니다. 댓글에서도 공격 시도와 침해 성공을 구별하자는 반론이 나옵니다. CVSS 점수는 심각도를 나타내며 모든 서버에서의 악용 난도를 말해주지 않습니다. 반면 KEV 등록은 연방기관의 패치 기한을 발생시키고 다른 조직에도 우선 조치 근거를 줍니다. 원문은 취약점별 성공 규모나 영향받는 구성의 범위를 제시하지 않으므로 광범위한 침해 여부는 판단할 수 없습니다.

AI 요약

PHP 보안팀은 10월 21일 CVE-2026-109618과 CVE-2026-109619 패치를 공개했습니다. 두 취약점은 권한이 없는 공격자가 복잡한 조건을 거쳐 미패치 시스템에서 원격 코드 실행(RCE)을 얻을 수 있는 문제입니다. 취약점 세부 정보와 CVE 번호, 완화책 일부가 패치 전 유출됐고 PoC도 공개됐지만, PHP 보안팀은 공개된 PoC가 작동하지 않았다고 밝혔습니다.

Cloudflare, Amazon, Hadrian, watchTowr, Previdian, Patchstack 등은 공개 전부터 공격 시도를 포착했으나 성공하지 못한 것으로 분류했습니다. Amazon Threat Intelligence는 패치 공개 나흘 전부터 공격자들이 취약점을 노렸다고 전했습니다. 반면 Perplexity의 애델 카리미는 허니팟에서 Apache mod_php와 PHP 8.4.26을 구동하는 시스템을 대상으로 한 RCE 증거를 확인했다고 밝혔습니다. CISA도 취약점을 실제 악용 사례가 확인된 KEV 목록에 추가했습니다.

연방기관 패치 기한

CISA는 연방 민간 행정부 기관(FCEB)에 10월 29일까지 취약점을 해결하라고 지시했습니다. 근거는 구속력 있는 운영 지침 BOD 26-04입니다. CISA는 이 지침이 연방기관에만 적용되지만 모든 조직도 위험 기반 취약점 관리를 적용하고 KEV 취약점을 우선 처리하라고 권고했습니다.

PHP의 노출 범위와 추가 취약점

본문은 VirusTotal 추정치를 인용해 PHP가 전체 웹사이트의 약 70%에서 사용되며, 인터넷에 노출된 PHP 호스트가 510만 개 이상이라고 전합니다. 이 가운데 약 380만 개 인스턴스는 공격에 노출된 포트를 하나 이상 열어 둔 것으로 추정됩니다. PHP 보안팀은 별도로 CVE-2026-115560도 공개했습니다. 특정 구성과 애플리케이션 코드가 이례적으로 조합된 시스템을 겨냥하면 RCE가 가능하지만, 아직 패치는 없습니다.

Reddit 반응

@BTC-brother2018 — CISA는 CVE-2026-109618과 CVE-2026-109619를 알려진 악용 취약점 목록에 추가했습니다. 연방 민간기관은 10월 29일까지 취약점을 해결하라는 지시를 받았습니다. 이전 보도에 중요한 정정이 있습니다. Palo Alto Networks Unit 42는 PHP2Shell이 유럽 정부기관 침해를 일으켰다는 주장을 철회했습니다. 연구진은 취약한 PHP 애플리케이션을 겨냥한 공격은 확인했지만, 두 PHP2Shell CVE 중 하나가 최초 침투 경로였는지는 확인하지 못했습니다. 허니팟과 실제 운영환경 침해의 차이를 어제 논의한 것과 직접 관련이 있습니다. CISA는 실제 악용을 인정했지만, 특정 정부기관 침해를 PHP2Shell 악용으로 확정해선 안 됩니다.
@TallTelevision4121 — 당연한 얘기죠.
@tresharley — 취약점이 있다고 세상에 알리면, 사람들이 패치하기 전에 악용하려 들 수도 있다는 거군요. 놀랍네요.
@throbbin___hood — 저도 딱 그 생각이 들었어요.
@Ov3rdose_EvE — 솔직히 지금까지 이 취약점을 패치하지 않았다면 그건 본인 책임이죠.
@AlmostEphemeral — 광범위한 악용을 보도한 곳은 저기뿐이고 다른 곳은 아무 일도 없었다고 하는 게 이상하네요.
@Livid_Incident_9732 — 제가 이해한 바로는 예상보다 악용이 어려웠습니다. PoC에 2,000달러 포상금이 걸렸고 일요일에야 수령자가 나왔습니다. 누군가 그 PoC를 가져가 공개 네트워크를 상대로 곧바로 시험했을 거라고 봅니다. CVSS 9.2라면 상당히 신뢰할 만한 악용 방법이 있어야 합니다. 비교하자면 EternalBlue는 8.8이었습니다. 하지만 아직 일반에 공개된 악용 방법은 없는 것 같습니다. 사람들이 계속 연구할 테고 두 달쯤 뒤 더 범용적인 PoC가 나오면 다시 등장할 겁니다.
@BTC-brother2018 — 2,000달러 포상금은 특정 조건에서 RCE가 가능하다는 점을 입증하며 지급됐습니다. 하지만 AWS가 광범위한 악용 시도를 보고한 것은 광범위한 침해 성공을 확인했다는 뜻이 아닙니다. CrowdStrike와 CrowdSec은 신뢰할 만한 대규모 악용이 여전히 어렵다고 밝혔습니다. CVSS 9.2는 취약점 심각도를 나타내며 모든 서버에서 얼마나 쉽게 악용되는지를 뜻하지 않습니다.
@cowmonaut — CrowdStrike의 설명은 일관되지 않습니다. 자사 도구는 Cloudflare 게시물과 AWS의 허니팟 관련 마케팅 글을 근거로 이를 활발히 악용되는 취약점으로 표시합니다.
@cowmonaut — Cloudflare는 공개 전에 공격이 일어났다고 했습니다. CISA는 지금 입증되지 않은 보고를 목록에 올리는 것뿐입니다.
@cyberguy2369 — 제 허니팟 네트워크에서도 확인했습니다. 오늘 공개된 CISA Sigma 규칙에 있는 IP 중 약 9개입니다. 모두 같은 스크립트 두세 개를 실행하는 것 같습니다.
@CitronSpirited9681 — 제 생각엔 KEV 등록이 중요한 부분입니다. PoC가 까다롭더라도 CISA가 목록에 올렸다면 누군가 스캔하고 있다고 보고 실제 취약점처럼 패치해야 합니다. 정정 보도는 실제 운영하는 사람에게 큰 차이가 없습니다.
@BTC-brother2018 — 동의합니다. KEV 등록으로 패치 우선순위가 높아졌습니다. 취약점을 가볍게 보자는 뜻이 아니라 Unit 42가 정부기관 침해에 PHP2Shell을 연결한 주장을 철회했다는 점을 분명히 하려는 겁니다. 악용 확인과 특정 침해 사건의 원인 확인은 서로 다른 문제입니다.
@Cormacolinde — 퀘벡의 유명 상업 웹사이트가 지난 금요일 공격을 받았고, 보도에 따르면 PHP2Shell 공격이었다고 합니다.
@first_lvr — 링크를 찾을 수는 없지만, 처음 탐지됐을 때부터 제로데이였고 상황이 심각했던 것 같습니다. Fireship이 일주일 전에 실제 공격에서 취약점이 어떻게 악용됐는지 설명하는 유튜브 영상을 올렸습니다.

원문: BleepingComputer / 번역·요약: Trawling

원문 보기 ↗토론 보기 ↗