허니팟서 메모리 유출·원격코드실행 포착... 기존 공격 실패와 대조

PHP 서버를 겨냥한 치명적 보안 취약점 ‘PHP2셸’(PHP2Shell)이 단순 공격 시도를 넘어 실제 원격코드실행(RCE)으로 이어진 정황이 확인됐다. 인터넷에 노출된 PHP 서버가 510만대를 웃도는 가운데 패치가 없는 별도의 취약점까지 공개되면서 서버 보안에 대한 우려가 커지고 있다.

27일 보안 업계에 따르면 아델 카리미 퍼플렉시티 탐지·대응 책임자는 공격자들의 활동을 관찰하기 위해 구축한 허니팟에서 PHP2셸 취약점을 이용한 원격 명령 실행을 확인했다고 밝혔다. 그동안 공개된 공격 코드와 침투 시도가 실제 악용으로 이어졌다는 증거는 확인되지 않았지만 이번에는 서버 메모리 유출과 명령 실행을 뒷받침하는 기록이 확보됐다.

(출처: 연합)

PHP2셸은 PHP 보안팀이 21일 보안 업데이트를 통해 수정한 원격코드실행 취약점 2개를 통칭한다. 여기엔 취약점 CVE-2026-109618과 CVE-2026-109619가 포함된다.

취약점에 노출될 수 있는 서버 규모도 상당하다. 악성코드 분석 서비스 바이러스토털은 인터넷에 공개된 PHP 서버를 510만대 이상으로 추산했다. 이 가운데 약 380만대는 공격에 활용될 수 있는 포트를 최소 1개 이상 개방한 상태다.

앞서 보안 업계에서는 PHP2셸을 겨냥한 공격 움직임이 잇따라 관측됐지만 실제 침해 사례는 확인되지 않았다. 공식 패치가 배포되기 전 취약점 식별번호와 일부 기반시설 사업자를 대상으로 한 대응 지침이 유출됐으며 개념증명(PoC) 코드도 공개됐다. 다만 PHP 보안팀은 당시 등장한 공격 코드들이 정상적으로 작동하지 않는다고 설명했다.

실제로 여러 보안업체가 포착한 공격도 성공하진 못한 것으로 파악됐다. 보안정보업체 데이터마이너 역시 기존 활동이 서버 탐색과 식별, 불완전한 공격 코드 실행 수준에 머물렀으며 확인된 침해 사례는 없다고 분석했다.

이번에 발견된 공격은 서버 메모리 정보를 확보한 뒤 이를 활용해 명령을 실행하는 방식으로 이뤄졌다. 카리미가 운영한 허니팟은 PHP 8.4.26 버전을 아파치 웹서버에 모듈 형태로 결합한 ‘mod_php’ 환경이었다.

공격자는 먼저 서버의 메모리 내용을 외부로 유출했다. 서버 응답에 포함된 쿠키 데이터를 해독한 결과 약 800KiB에 달하는 정보가 확인됐으며 여기에서 추출한 함수 주소가 후속 공격 요청에 사용됐다. 메모리에서 확보한 정보를 토대로 코드 실행에 필요한 위치를 찾아낸 것이다.

카리미는 이번 사례에 대해 "서버가 멈춘 뒤 수상한 프로세스가 뜬 정도가 아니라 쓸 만한 메모리 유출을 동반한 RCE가 확인된 것"이라고 설명했다.

이 분석은 다른 보안 전문가의 검토도 거쳤다. PHP2셸 공격 성공 여부를 추적해 온 마커스 허친스 익스펠 위협 연구원은 카리미의 분석을 확인하고 지금까지 살펴본 실제 악용 사례 중 증거 신뢰도가 가장 높다고 평가했다.

다만 이번 공격이 모든 PHP 서버 환경에서 동일하게 성공한다는 의미는 아니다. 카리미는 허니팟에서 요청을 처리하는 작업 프로세스를 의도적으로 1개만 운영했다고 밝혔다. 공격에 유리하게 구성된 환경인 만큼 프로세스 수와 PHP 빌드, 애플리케이션 구성이 다른 서버에서의 성공 가능성은 검증되지 않았다.

미국 사이버보안·인프라보안청(CISA)도 신중한 입장을 유지하고 있다. CISA는 23일 PHP2셸 관련 공격을 식별할 수 있는 시그마(SIGMA) 형식의 탐지 규칙을 배포했지만, 실제 악용이 확인된 취약점으로 공식 분류하지는 않았다.

여기에 보안 패치가 제공되지 않은 또 다른 원격코드실행 취약점도 확인됐다. PHP 보안팀은 23일 CVE-2026-115560에 대한 임시 대응 지침을 별도로 발표했다.

이 취약점은 특정 설정과 애플리케이션 코드가 결합된 제한적인 환경에서 악용될 수 있다. PHP 보안팀은 정식 수정 버전이 나오기 전까지 ‘session.upload_progress.enabled’ 설정값을 0으로 변경하도록 권고했다.

PHP2셸의 실제 악용 정황이 확보됐지만 공격 성공이 확인된 환경은 제한적이다. 공식적인 악용 여부 분류도 이뤄지지 않은 데다 별도의 미패치 취약점까지 남아 있다. 서버 운영 환경별 공격 가능성을 확인하고 기존 취약점의 패치 적용과 추가 결함의 임시 완화 조치를 병행하는 것이 과제다.

출처 : 보안뉴스(https://www.boannews.com)