[해외보안뉴스] 아마존, PHP2Shell 취약점 공식 발표 4일 전 익스플로잇 시도 포착
· 2026-10-22 18:00
· 조회 16
· 원문 ↗
아마존(Amazon) 위협 인텔리전스 팀이 최근 공개된 PHP2Shell 취약점을 겨냥한 제로데이 공격 시도를 공식 발표 나흘 전인 2026년 10월 17일에 포착했다고 발표했습니다. 해당 공격 시도는 아마존의 가상 위협 수집 시스템인 '매드팟(MadPot)' 허니팟 서비스를 통해 탐지되었으며, 보안 패치가 배포되기도 전에 공격자가 이미 취약점을 인지하고 악용하려 했음을 보여줍니다.
분석 결과, 이번 공격 시도는 상용 익명화 네트워크(VPN 및 프록시)와 관련된 IP 주소에서 시작된 것으로 밝혀졌습니다. 보안 패치가 배포된 현재, 해당 PHP2Shell 취약점은 야생(in the wild)에서 자동화된 도구를 통해 광범위하게 악용되고 있어, 취약한 PHP 환경을 사용하는 전 세계 웹 서버와 애플리케이션이 주요 타깃이 되고 있습니다.
PHP2Shell 취약점에 노출될 경우 공격자에게 원격 코드 실행(RCE)이나 서버 제어권을 넘겨줄 수 있는 심각한 위험이 존재합니다. 따라서 관련 소프트웨어를 운용 중인 시스템 관리자는 즉시 개발사가 제공하는 최신 보안 패치를 적용해야 합니다. 아울러 익명화 네트워크를 통한 의심스러운 트래픽을 차단하고 웹 애플리케이션 방화벽(WAF)의 탐지 룰을 최신 상태로 유지하는 등 적극적인 보안 모니터링이 시급합니다.
♥ 추천 0
공개 시점 이전에 이미 제로데이 공격이 발생하고 패치 직후 무차별 스캔으로 이어지는 만큼, 개발 프로세스 내 패치 배포 속도가 곧 보안 수준을 결정합니다.
취약점 공시 후 대응하는 것은 이미 늦기 때문에, CI/CD 파이프라인 기반의 신속한 핫픽스 적용 체계를 상시 가동할 수 있어야 합니다.
아키텍처 관점에서도 PHP 런타임의 위험 함수 제한과 WAF 적용, 최소 권한 원칙을 통한 심층 방어(Defense-in-Depth)가 코드 작성 단계부터 기본 전제로 반영되어야 합니다.
공개 4일 전 실전 공격이 포착됐다는 것은 공식 발표 이전부터 이미 원격 코드 실행(RCE) 엑스플로잇이 완성되어 초기 침투(Initial Access)에 활용되고 있었음을 시사합니다. PHP 기반 서비스에서 쉘 권한을 직접 획득하는 공격 벡터는 타깃 시스템을 즉시 완전 장악할 수 있어 공격자에게 최고의 가치를 가집니다. 패치 공개 직후 대규모 악용이 폭증한 만큼, 패치 디핑(Patch Diffing)을 통한 PoC 재현 및 무기화 난이도 역시 매우 낮았을 것으로 보입니다.
취약점 공식 공개 전 탐지된 공격 시도는 패치 관리 중심의 수동적 대응이 가진 리스크와 한계를 극명히 보여줍니다. 조직은 위협 인텔리전스(TI) 기반의 상시 모니터링을 강화하고, 익명 네트워크를 통한 접근을 제한하는 등 경계 보안 정책을 즉시 재점검해야 합니다. 궁극적으로는 제로데이 위협을 상시 전제로 하는 제로 트러스트 거버넌스를 정착시켜 회복탄력성(Resilience)을 확보하는 것이 핵심입니다.