Dream Research 보고서: PHP2Shell로 PAN-OS 방화벽 24대 루트 침해, 22대에 웹셸 잔류

본문

Dream Research는 PHP 취약점과 리눅스 커널 권한 상승 취약점을 연결해 PAN-OS 방화벽 24대에 루트 권한을 얻고 내부 방화벽 관리 서버까지 침투한 공격을 보고했습니다. 2026년 10월 29일 갱신한 조사 보고서에는 침해된 방화벽 22대에 웹셸이 남아 있고, 정부 연계 조직으로 이어진 터널도 당시 계속 작동할 가능성이 있다고 적혔습니다. Palo Alto Networks의 Unit 42는 Dream Research가 보고한 공격 도구와 결과를 확인했다고 밝혔습니다.

관리 인터페이스에서 루트 권한까지

공격자는 PHP2Shell로 불리는 두 취약점, CVE-2026-109618과 CVE-2026-109619를 이용해 PAN-OS 관리 웹 서버에서 명령을 실행했습니다. Dream Research가 복구한 공격 코드는 공개된 범용 공격 코드가 아니라 PAN-OS에 맞춰 만든 구현이었습니다. PHP 취약점으로 확보한 권한은 시스템 계정 nobody 수준이었고, 공격자는 여기에 리눅스 커널 권한 상승 취약점 Fragnesia(CVE-2026-46300)를 연결해 루트 권한을 얻었습니다.

Palo Alto Networks의 보안 권고는 취약한 표면을 관리용 HTTPS 웹 UI와 XML API로 설명합니다. GlobalProtect 포털과 게이트웨이는 영향받지 않는다고 밝혔습니다. 인터넷에서 관리 인터페이스에 접속할 수 있는 장비가 주요 위험 대상이며, Palo Alto Networks는 외부 IP의 관리 접속이 허용된 경우 위험이 가장 크다고 설명했습니다.

Dream Research는 미국, 일본, 대만, 한국에서 PAN-OS 방화벽 24대가 루트 침해를 당했다고 집계했습니다. 이 가운데 22대에서는 웹셸을 설치한 뒤의 추가 활동이 관찰되지 않았습니다. 보고서에 따르면 나머지 공격 경로는 미국 정부와 연계된 것으로 판단한 한 조직의 환경으로 이어졌습니다. Dream Research는 해당 기관의 이름은 특정하지 못했다고 밝혔습니다.

방화벽에서 내부 관리 서버와 AD로

공격자는 침해한 방화벽을 발판으로 내부 네트워크에 역방향 터널을 만들었습니다. 터널은 시스템 서비스와 부팅 시 실행되는 설정에 연결돼 재부팅 뒤에도 다시 접속하도록 구성됐다고 Dream Research는 보고했습니다. 공격자는 이 경로로 외부에서 직접 접근할 수 없던 내부 방화벽 관리 서버에 도달한 뒤 PHP2Shell과 Fragnesia를 다시 사용했습니다. 이로써 공격 대상은 방화벽 24대와 내부 관리 서버 1대, 총 25개 서버로 늘었습니다.

관리 서버에 루트 권한을 얻은 공격자는 장비 설정에 암호화돼 저장된 LDAP 서비스 계정 암호를 복호화했습니다. Dream Research는 공격자가 이 계정을 이용해 Active Directory의 사용자와 그룹을 열람한 사실을 확인했습니다. 침해한 네트워크 장비의 설정과 자격 증명이 조직 내부 디렉터리에 접근하는 발판이 됐습니다.

공격자는 전체 사용자 계정에 암호 대입을 시도하고, 사용자 계정과 머신 계정 형태의 백도어 생성, SAML 서명 키 추출도 시도했습니다. 그러나 Dream Research가 복구한 자료에는 이 시도들의 결과가 남아 있지 않았습니다. 확인된 것은 LDAP 서비스 계정 암호 복호화와 디렉터리 열람까지이며, 다른 시도가 성공했는지는 알 수 없습니다.

Dream Research는 10월 29일 보고서를 갱신하면서 방화벽 22대에 웹셸이 남아 있다고 적었습니다. 미국 정부 연계 조직으로 이어진 내부 터널도 당시 계속 작동할 가능성이 있다고 판단했습니다. 보고서는 Palo Alto Networks의 장비 텔레메트리에서 인터넷에 노출된 PAN-OS 장비를 겨냥한 악용 시도가 계속 관측됐다고 전했습니다. 보고서가 전한 것은 갱신 당시의 관측과 연구진의 판단이며, 이후 각 장비의 접근 상태는 다루지 않습니다.

Dream Research는 자사 위협 연구 제품 Hero를 활용한 선제 위협 사냥에서 공격 흔적을 찾았다고 밝혔습니다. 공격 인프라에는 AI 플랫폼 aiscan과 DeepSeek, Kimi가 설정돼 있었고 Claude Code가 설치된 흔적도 발견됐습니다. 다만 AI 도구가 익스플로잇이나 사후 침투 스크립트를 작성했다는 직접 증거는 확보하지 못했다고 했습니다. Dream Research는 특정 위협 행위자를 지목하지 않았습니다. Unit 42는 이 활동을 중국어를 사용하는 공격자로 추적한다고 밝혔으며, Dream이 제시한 중국어 프롬프트와 도구 등은 귀속 판단의 단서입니다.

Palo Alto Networks는 자사 방화벽 설치 기반 중 약 0.02%에서 관리 인터페이스가 인터넷에 노출돼 이번 캠페인의 영향을 받을 가능성이 있었다고 밝혔습니다. 이는 회사가 밝힌 인터넷 노출 비율이며 Dream Research가 확인한 공격 대상 25개 서버와는 다른 집계입니다. 10월 30일 갱신된 Palo Alto Networks 보안 권고에는 PAN-OS 계열별 수정 버전이 실렸고, 회사는 관리 인터페이스를 신뢰할 수 있는 내부 IP로 제한하고 해당 계열의 수정 버전을 적용하라고 권고했습니다.

자료: Cybersecurity Dive / 정리·해설: Trawling