Hacker News

Chained PHP2Shell exploit roots 25 servers, including US Government servers

PAN-OS 관리 인터페이스 취약점, 방화벽 장악 뒤 내부 AD 공격으로 이어져

Dream은 취약한 PAN-OS 관리 인터페이스를 겨냥한 PHP 원격 코드 실행과 리눅스 커널 권한 상승을 연결해 방화벽과 관리 서버 25대를 침해한 작전을 공개했습니다. 공격자는 미국 정부 관련 환경의 내부망에 터널을 만들고 Active Directory 정보를 수집했으며, 후속 계정 침해 시도의 성공 여부는 확인되지 않았습니다.

본문

이번 사례에서 공격자는 취약한 PAN-OS 버전의 인터넷 노출 관리 인터페이스를 통해 PHP 명령 실행을 얻은 뒤 별도의 리눅스 커널 취약점을 연결해 root 권한까지 확보했습니다. 침해된 25대는 일반 PHP 서버 전체의 취약 규모가 아니라 PAN-OS 장비를 겨냥한 특정 작전의 결과입니다.

공격 표면은 PAN-OS 관리 웹 인터페이스입니다

Palo Alto Networks는 취약점 CVE-2026-109618과 CVE-2026-109619가 PAN-OS 및 Panorama의 특정 버전에 영향을 준다고 밝혔습니다. 취약한 구성에서 공격자는 인증 없이 네트워크를 통해 접근할 수 있으며, 벤더는 인터넷에 노출된 관리 인터페이스에서 위험이 가장 크다고 설명했습니다. 영향을 받는 부분은 HTTPS 웹 UI와 XML API를 제공하는 관리 웹 인터페이스입니다. GlobalProtect 포털과 게이트웨이, Clientless VPN은 영향 범위에 포함되지 않습니다.

Dream이 분석한 공격은 PHP의 session.upload_progress 처리 과정에서 메모리 오류를 일으켜 명령 실행을 얻었습니다. 이 단계에서 실행 권한은 nobody였습니다. 공격자는 여기에 XFRM ESP-in-TCP 하위 시스템의 커널 권한 상승 취약점 Fragnesia(CVE-2026-46300)를 연결했습니다. Dream은 이 조합으로 root 권한을 얻고 웹셸을 설치했다고 보고했습니다. PHP 원격 코드 실행과 root 장악은 각각 다른 취약점을 거치는 두 단계입니다.

19,000대 탐색에서 25대 침해까지

Dream에 따르면 공격자는 FOFA를 이용해 인터넷에 노출된 PAN-OS 장비 약 19,000대를 찾았습니다. 약 5,000대에서 버전 정보를 얻은 뒤 미국, 일본, 대만, 한국에 있는 장비 가운데 준비된 공격 프로필에 맞는 240대를 표적으로 골랐습니다. 자동화 공격으로 24대에 침투했고, 이후 미국 정부 관련 환경의 내부 방화벽 관리 서버 한 대를 추가로 공격해 전체 침해 장비가 25대가 됐습니다.

침해된 방화벽 두 대가 미국 정부 관련 조직의 환경에 속한 것으로 Dream은 판단했습니다. 공격자는 그중 한 장비의 설정에서 내부 네트워크 정보를 얻고, 다른 장비를 발판으로 역방향 SSH 터널을 구성했습니다. 이어 내부 방화벽 관리 서버에 침투했습니다. Dream은 이 서버에서 LDAP 서비스 계정 암호를 복호화하고 Active Directory 사용자와 그룹을 열거한 흔적을 확인했습니다.

암호 대입, 백도어 계정 생성, SAML 서명 키 추출도 시도했지만 성공 여부는 회수된 자료에 담기지 않았다고 Dream은 밝혔습니다. 공격자가 이들 시도에서 유효한 계정이나 키를 얻었는지는 확인되지 않았습니다. Dream은 나머지 침해 방화벽 22대에도 웹셸이 설치됐다고 보고했으며, 지속 접근 여부는 추정으로 제시했습니다.

Dream은 공격 인프라에서 Claude Code 설치 흔적과 DeepSeek·Kimi를 설정한 보안 도구를 발견했습니다. 하지만 해당 AI 도구가 익스플로잇이나 후속 스크립트를 실제로 작성했다는 직접 증거는 없다고 밝혔습니다.

Palo Alto Networks의 2026년 10월 29일 권고는 PAN-OS 10.2, 11.1, 11.2, 12.1, 12.2의 취약 버전과 수정 버전을 열거합니다. 예를 들어 PAN-OS 12.2는 12.2.4-h1 이상으로 업그레이드하도록 안내하며, 12.1은 설치된 세부 버전에 따라 12.1.4-h13, 12.1.7-h11 또는 12.1.10-h3 이상을 제시합니다. 정확한 수정 경로는 분기와 설치 버전에 따라 다릅니다. 벤더는 관리 인터페이스 접근을 신뢰된 내부 IP로 제한하는 조치도 권고합니다.

자료: Dream Research, Palo Alto Networks / 정리·해설: Trawling

참고 자료

원문 보기 ↗토론 보기 ↗