아마존웹서비스(AWS)가 웹 스크립트 언어 PHP의 치명적 취약점 'PHP2Shell'에 대한 공격 시도가 공식 패치 공개 나흘 전인 10월 17일 이미 시작됐다고 밝혔다. AWS는 21일(현지시간) 저녁 공개한 연구 결과에서 자사 허니팟(취약한 서버로 위장한 탐지용 미끼 시스템) 기록을 분석하다 이같은 정황을 확인했다고 설명했다.
공개 전 허니팟에 공격 포착
PHP2Shell은 PHP에서 발견된 두 건의 치명적 취약점을 통칭하는 이름이다. 패치는 21일 오전 10시(미국 동부시간) 공개됐고, 관리자와 보안 담당자들은 취약한 웹사이트와 앱을 찾아 서둘러 패치를 적용했다. 일부 정부와 기관은 공격을 피하기 위해 주요 웹사이트를 미리 내리기도 한 것으로 알려졌다.
AWS에 따르면 10월 17일 공격은 '상용 익명화 네트워크', 즉 프록시나 VPN과 연결된 IP 주소에서 들어왔다. AWS의 최고정보보안책임자(CISO) CJ 모지스(CJ Moses)는 비공개 유예(엠바고) 기간 중 익명화된 IP가 허니팟을 노린 점으로 볼 때 위협 행위자의 소행으로 보이지만, 공개 이전에 어떻게 익스플로잇 정보를 입수했는지는 불분명하다고 밝혔다.
공개 직전 다수 행위자 시도
PoC 익스플로잇은 21일 공개 전후로 퍼지기 시작했으며, 일부는 공식 공개 몇 시간 전에 나타난 것으로 보인다. AWS는 공개 직전 몇 시간 동안 여러 익명화 서비스를 거친 다양한 목적의 공격 시도가 허니팟에 이어졌고, 서로 다른 여러 행위자가 움직였을 가능성이 높다고 분석했다. 다만 이런 시도가 실제 시스템에서 성공했을지는 기술 분석이 진행 중이라 알 수 없다고 선을 그었다. 모지스는 PHP2Shell이 현재 실제 환경에서 광범위하게 악용되고 있다고 덧붙였다. PHP 재단(PHP Foundation)은 와이어드의 논평 요청에 즉각 응답하지 않았다.
AI가 바꾸는 취약점 공개 방식
AWS는 이번 사례가 협조적 취약점 공개(coordinated disclosure) 체계의 진화와 가속이 필요함을 보여준다고 강조했다. 모지스는 과거에는 소수의 숙련된 공격자가 만든 PoC가 공개된 뒤에야 대다수 공격이 시작됐지만 이런 의존 관계가 약해지고 있다고 진단했다. 그는 AI 기반 분석이 패치 차이(diff)나 보안 권고문을 실제 익스플로잇으로 바꾸는 비용을 낮춰, 기술 정보가 공개된 뒤 수 시간, 심지어 수 분 안에 더 많은 공격자가 움직일 수 있다고 설명했다.
PHP는 국내 웹사이트와 쇼핑몰, 공공 서비스에도 널리 쓰이는 만큼, 국내 기업과 기관도 패치 공개 즉시 적용할 수 있는 점검·배포 체계를 갖출 필요가 있어 보인다.
