PHP 취약점 PHP2Shell, 패치 공개 4일 전부터 악용 시도를 AWS가 확인

PHP의 중대한 취약점 2건에 대한 수정 사항은 수요일에 공개됐고, 관리자와 보안 담당자들은 취약한 사이트와 앱을 찾아내고 패치를 적용하느라 분주했다. 공격자가 수정 내용을 역분석해 악용 방법을 찾아내는 것도 피할 수 없었으며, 일부 정부 등은 패치 적용 전에 공격당하지 않도록 주요 사이트를 미리 중단했다.

AWS가 수요일 밤 공개한 조사에 따르면, PHP2Shell의 악용을 시도한 주체는 10월 17일에 이미 나타나 있었다. AWS의 분석 담당자가 과거 허니팟 기록을 다시 살펴보다 발견한 것으로, 공격 출처는 '상용 익명화 네트워크'와 연결된 IP 주소였다. Moses는 금수 기간 중 익명화된 IP가 허니팟을 노렸다는 것은 공격자의 활동을 시사하지만, 사전에 어떻게 정보를 얻었는지는 불명이라고 말했다.

공개 당일 오전 10시 ET(동부 시간) 공개보다 몇 시간 전부터 개념 증명(PoC) 익스플로잇도 유포되기 시작했다. AWS에 따르면 그 시간대 허니팟에는 여러 사업자를 통해 익명화되고 목적이 다른 공격 시도가 잇따랐으며, 여러 공격자가 관여했을 가능성이 있다. 다만 실제 시스템에서 성공할 수 있었는지는 불명이며, 기술 분석은 계속되고 있고 PHP2Shell은 현재 널리 악용되고 있다고 밝혔다.

Moses는 패치에서 실제 작동하는 익스플로잇까지의 시간이 구조적인 이유로 줄고 있다고 말했다. 과거에는 공개 PoC 이후에 악용이 늘었고, 소수의 유능한 공격자에 다른 이들이 의존했지만, 그 의존도가 약해지고 있다. AI를 활용한 분석으로 패치의 차이나 권고문에서 공격 코드를 만드는 비용이 낮아져, 기술적 세부 사항이 공개되고 몇 시간, 경우에 따라서는 몇 분 만에 움직일 수 있는 공격자가 늘어난다는 시각이다. PHP Foundation은 WIRED의 취재에 즉각 답변하지 않았다.