아마존 위협 정보 팀 'Amazon Threat Intelligence'는 PHP 취약점 'PHP2Shell'을 악용하려는 공격을 취약점이 공개된 4 일 전에 감지했다고 발표했습니다. 정보 공개 이후 공격이 광범위하게 확인되었고, 아마존은 긴급한 보안 업데이트와 과거 공격 이력 조사를 요청하고 있습니다. 아마존 위협 정보 팀은 MadPot 에서 PHP2Shell 악용을 공개 이전으로 식별했습니다 | AWS 보안 블로그 https://aws.amazon.com/jp/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/ 동적 웹사이트 및 웹 애플리케이션 개발에 널리 사용되는 프로그래밍 언어 'PHP'의 취약점이 2 건 발견되어, 2026 년 10 월 21 일에 긴급 보안 업데이트 프로그램이 공개되었습니다. 원래는 개발자와 취약점 발견자가 협력하여 취약점 세부 정보를 은폐할 예정이었으나, 수정 패치 공개 전에 관련 정보가 온라인에 유출되자, 사전 업데이트가 이루어지게 되었습니다. PHP 에 중점도 9.2 의 취약점이 2 건 발견되어, 서버 탈취 우려로 인해 10 월 21 일에 긴급 패치 공개 - GIGAZINE
긴급 업데이트는 21 일 밤 23 시에 이루어졌으나 취약점 정보가 이미 공개되어 보안 리스크가 매우 높아졌고, 많은 웹사이트가深夜 대응에 몰두했습니다. 니코니코나 pixiv 등 다양한 웹사이트 및 앱이 PHP 긴급 패치에 대응하기 위해 유지보수 중입니다 - GIGAZINE.
한편, Amazon 은 자체 운영 중인 해니팟 시스템 'MadPot'이 수집한 기록을 조사한 결과, PHP2Shell 공개보다 4 일 일찍인 10 월 17 일時点で 이미 취약점을 악용하려는 활동이 이루어지고 있었음이 밝혀졌으며, 이에 대응 조치 취했다고 밝혔습니다. 해니팟은 공격자를 유인하기 위해 의도적으로 설치된 함정 시스템으로, 실제 공격을 받음으로써 공격자의 행동과 사용하는 방법을 조사하는 메커니즘입니다. 10 월 17 일에 관측된 공격은 상용 익명화 네트워크와 연결된 IP 주소에서 이루어졌습니다. 당시 PHP2Shell 취약점 관련 정보는 공개 전 비밀 유지 기간에 있었기 때문에, Amazon 은 악의적인 공격자所为라고 판단했습니다. 다만, 공격자가 취약점을 독자적으로 발견했는지, 아니면 어떤 경로로 정보를 획득했는지에 대해서는 이번 보고서에서 명확히 드러나지 않았습니다.
PHP2Shell 정보 공개 관련 비밀 유지 기간은 일본 시간 10 월 21 일 23 시에 종료될 예정이었으나, Amazon 의 조사에 따르면同日 11 시 (일본 시간) 경에는 이미 여러 개념 증명 코드 (PoC) 가 확인되었다고 한다. 또한 10 월 21 일 11 시~17 시 사이에 MadPot 에 대한 추가 공격이 확인되었다. 이러한 공격들도 익명화된 인프라에서 수행되었으나, 사용된 공격 코드와 익명화를 위한 인프라에 차이가 있었기 때문에 Amazon 은 단일 공격자가 아닌 여러 공격자가 관여했을 가능성이 있다고 분석하고 있다. 즉, PHP2Shell 취약성 정보가 공식적으로 공개되기 전에 이미 최소한 여러 종류의 공격 방법이 사용되었고, 다른 공격자들이 취약점을 노리고 있었을 가능성이 있다. 10 월 21 일 23 시에 비밀 유지 기간이 종료되고 취약성 정보 및 수정 프로그램이 공개되면 상황이 급변했다. 공개 후 수 시간 이내에 추가 PoC 가 등장했고, Amazon 의 센서에도 이를 활용한 공격이 거의 즉시 확인되었다고 한다. Amazon 은 PHP2Shell 이 이미 실제 인터넷 환경에서 광범위하게 악용되고 있다고 경고하고 있다.
아마존은 이번 사례를 통해 취약점 정보 공개와 공격 시작 시점에 대한 기존 통념을 재검토해야 한다고 지적했습니다. 일반적으로 소프트웨어 취약점이 발견되면 개발사 등에게 비공개로 보고되고 수정 프로그램 준비 기간이 설정됩니다. 이는 취약점 세부 정보를 일정 기간 비밀로 유지함으로써 수정 프로그램 완성 전 공격자가 정보를 악용할 위험을 줄이는 것을 목표로 합니다.
그러나 개발사나 보안 연구자와 무관한 제 3 자가 동일한 취약점을 독자적으로 발견할 수 있으므로, 이러한 비밀 유지만으로 공격을 완전히 막을 수는 없습니다. 아마존은 이번 PHP2Shell 사례가 취약점이 일반 공개된 날을 '공격 시작일'로 간주하는 위험성을 보여준다고 주장했습니다. 또 다른 문제점으로 아마존이 지적한 것은 수정 프로그램 공개부터 실제 공격 시작까지의 시간이 단축되고 있다는 점입니다. 과거에는 기술력이 뛰어난 소수의 공격자가 악용 코드를 작성하고 다른 공격자가 이를 공개를 기다리는 구조가 일반적이었기 때문에, 취약점 공격의 대부분이 PoC(증명개념)가 공개된 후 발생했습니다.
그러나 최근에는 AI 를 활용한 분석을 통해 수정 프로그램의 변경 부분이나 취약점 관련 정보로부터 실제 작동하는 공격 코드를 생성하는 부담이 줄어든 것입니다. 그 결과, 고급 전문 지식을 갖춘 일부 공격자뿐만 아니라 더 많은 공격자가 취약점 정보 공개 후 수 시간, 경우에 따라 수 분 이내에 공격을 시작할 수 있게 되었습니다. 이러한 변화를 고려하여 Amazon 은 기업 및 조직의 보안 담당자에게 인터넷에 공개된 시스템에서 중대한 취약점이 발견된 경우 대응까지의 시간을 '일'이 아닌 '시간'으로 생각하도록 요청하고 있습니다. 또한 침해 유무를 조사할 때는 취약점 공개일이 아니라 공격이 처음 확인된 날까지 거슬러 올라가는 것이 중요합니다. PHP2Shell 의 경우 Amazon 은 적어도 10 월 17 일 이후의 기록을 확인하도록 권장하고 있습니다.
원문 보기 | 출처: Gigazine