[해외보안뉴스] Amazon "PHP2Shell 취약점, 패치 배포 4일 전부터 제로데이 공격에 악용"
· 2026-10-23 05:00
· 조회 12
· 원문 ↗
Amazon Threat Intelligence의 보안 연구원들에 따르면, 공격자들이 공식 보안 패치가 배포되기 나흘 전부터 PHP2Shell 취약점을 겨냥한 실전 공격을 시작한 것으로 확인되었습니다. 이는 보안 담당자들이 취약점의 존재를 인지하고 패치를 적용하기 전부터 공격자들이 제로데이(Zero-day) 상태를 악용해 무단 침입을 시도했음을 보여줍니다.
PHP2Shell 취약점은 공격자가 영향을 받는 웹 서버에서 권한 없이 임의의 코드를 실행하거나 시스템 셸(Shell) 제어권을 획득할 수 있게 합니다. 패치가 제공되지 않았던 기간 동안 시스템들이 방치되면서, 공격자가 서버 제어권을 탈취하거나 내부 네트워크로 침투를 확대하는 등 광범위한 보안 피해가 발생했을 위험이 큽니다.
해당 제품 및 관련 환경을 사용하는 기업과 보안 담당자는 추가 피해를 막기 위해 공식 배포된 최신 보안 패치를 즉시 적용해야 합니다. 또한 패치 배포일 기준 최소 4일 이전의 웹 서버 접속 로그와 시스템 기록을 면밀히 조사하여 비정상적인 명령 실행이나 침입 흔적(IoC)이 있는지 확인하고, 웹 애플리케이션 방화벽(WAF) 규칙을 업데이트하는 조치가 필요합니다.
♥ 추천 0
패치가 공개되기도 전에 공격이 시작된 전형적인 제로데이 사례로, 단순히 제때 패치를 적용하는 사후 대응만으로는 시스템을 보호할 수 없음을 보여줍니다.
코드 레벨에서 엄격한 입출력 검증을 적용하고 업로드 디렉터리의 execution 권한을 박탈하는 등 기본에 충실한 '심층 방어(Defense-in-Depth)' 아키텍처가 선행되어야 합니다.
나아가 런타임 환경에서 비정상적인 파일 생성이나 스크립트 실행 시도를 즉시 감지하고 차단할 수 있는 모니터링 가시성을 확보하는 것이 시급합니다.
패치 배포 4일 전부터 실전 공격이 확인됐다는 것은 공격자들이 해당 제로데이(0-Day) 취약점을 이미 확보하고 조직적으로 악용하고 있었음을 의미합니다. 특히 PHP 환경에서의 RCE(원격 코드 실행) 취약점은 단번에 서버 제어권을 탈취하고 웹쉘을 생성할 수 있어 공격자 입장에서 가장 매력적인 벡터입니다. 이처럼 패치 전 '공격 창(Attack Window)'을 노리는 위협이 거세진 만큼, 단순 패치 관리를 넘어 이상 징후 탐지와 행위 기반 블로킹 등 선제적인 공격 표면 관리가 필수적입니다.
패치 공식 출시 전 제로데이 공격이 이미 시작되었다는 점은 사후 대응 위주의 패치 관리 정책만으로는 한계가 있음을 명확히 보여줍니다.
조직 관점에서는 이러한 '위험 공백기'를 최소화하기 위해 가상 패치(Virtual Patching) 및 행위 기반 탐지 등 다층 방어(Defense-in-Depth) 정책을 즉시 재점검해야 합니다.
거버넌스 차원에서도 위협 인텔리전스(CTI) 기반의 선제적 리스크 평가 프로세스를 강화하고, 패치 미비 시 대안적 보안 통제안을 즉각 시행할 수 있는 대응 체계를 고도화하겠습니다.