[PHP 비상] 공격 진화하지만 뚫리는 이유는 비슷…'가시성' 과제로 작성일 11-02 18 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="xKhjfAB3Sw"> <figure class="figure_frm origin_fig" contents-hash="698bfcaa5ae93cd7efd4fbc5e91b9da93b72b8e84e0d42e3ef70558f347c5c47" dmcf-pid="ypDJzi3GSD" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202611/02/552796-pzfp7fF/20261102132335383jbkb.jpg" data-org-width="640" dmcf-mid="Q8Sc8kKpyr" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202611/02/552796-pzfp7fF/20261102132335383jbkb.jpg" width="658"></p> </figure> <p contents-hash="9372bc84f04ca8a945410be26a89216cceedea797b58fda0fa74b20071913ab5" dmcf-pid="WUwiqn0HWE" dmcf-ptype="general">[디지털데일리 김보민기자] 원격으로 시스템 제어권을 탈취하는 보안 취약점 'PHP2Shell'을 두고 보안업계 우려가 이어지고 있다. 외부 인터넷에 노출된 웹서버보다 기업 내부망에 설치된 장비가 더 취약하다는 경고가 나오면서 현 보안체계로는 방어가 어렵다는 의견에 힘이 실리고 있다.</p> <p contents-hash="9c139318639d33c58bd970f3e6fc7e4eb0466c4bcb3b12cdee7541d3cb97d940" dmcf-pid="YurnBLpXTk" dmcf-ptype="general">이러한 분위기 속 단기적으로 임시 조치를 취하되, 중장기적으로 가시성을 확보하는 것이 관건이라는 지적도 제기된다. 주요 장비와 자산에 대한 현황을 파악하지 못한다면, 취약점을 악용한 공격이 언제 어디서 발생할지 가늠할 수 없기 때문이다. 이는 해킹 공격으로 대규모 개인정보 유출이 발생할 때마다 반복된 제언으로, 기본 보안체계 점검 요구가 이어질 전망이다.</p> <p contents-hash="4cb25e4771fe48df311d62908906deb9c293725734f872403f209bf310f6562b" dmcf-pid="G7mLboUZlc" dmcf-ptype="general">2일 관련 업계에 따르면 정보보호최고책임자(CISO)를 비롯한 기업 보안 담당자들은 한국인터넷진흥원(KISA) 권고안에 따라 내부 점검을 진행하고 있다. 한 기업 CISO는 "해외에서 문제가 된 네트워크·보안 장비를 운영하고 있는지, 취약한 PHP 버전이 적용돼 있는지 점검 중"이라고 말했다.</p> <p contents-hash="3f8566812e0187f07503e4de1b9c9fe9868366fb3725f6555cf8043a3b91320a" dmcf-pid="HzsoKgu5vA" dmcf-ptype="general">KISA는 지난달 30일 시놀로지 제품에 대한 보안 업데이트 권고 공지를 게시했다. 이날 KISA는 시놀로지 캘린더, 메일스테이션, PHP에서 발생하는 취약점 2건을 안내하며 최신 버전으로 업데이트할 것을 당부했다.</p> <p contents-hash="ab0d61fba8af2c4ecd0ccdcb0f5b37357f314d653576cf688aa2b9795867c086" dmcf-pid="XqOg9a71vj" dmcf-ptype="general">외부 인터넷에 연결된 웹서버를 넘어 내부망에 구축된 사설 인터넷프로토콜(IP) 및 장비에 대한 전반적인 점검이 필요하다는 취지였다. 특히 기업 내부망에 연결된 네트워크연결스토리지(NAS), 공유기 및 네트워크 장비, 방화벽 등이 사이버 공격 대상이 될 가능성이 점쳐지고 있다. 이러한 고비용 장비는 대기업에서 구축해 운영하는 경우가 많아, 전방위적인 2차 피해를 예단할 수 없을 것으로 보인다.</p> <p contents-hash="d29a02dde932504dd52bcddc2784c589d6df0c2daa03c334afac5e071518ded1" dmcf-pid="ZBIa2NzthN" dmcf-ptype="general">실제 PHP2Shell 취약점이 리눅스 커널 취약점인 '프래그네시아(CVE-2026-46300)'와 결합돼 팔로알토네트웍스 방화벽을 무력화하는 공격에 악용되고 있는 것으로 확인됐다. 미국 사이버보안및인프라보안국(CISA)이 해당 결함을 악용 취약점 목록에 추가한 가운데 보안 기업 '드림(Dream)'은 해커들이 한국, 미국, 일본, 대만 등지의 240개 표적을 노려 단 15분 만에 최고 관리자(루트) 권한을 탈취했다고 보고했다.</p> <p contents-hash="466324a09f0b525c330a83a37019375b28556c3fc2bba8f3eaf68a7bb31e0b5b" dmcf-pid="5bCNVjqFSa" dmcf-ptype="general">특히 이번 공격으로 내부망 침투와 활성디렉터리(AD) 정보 유출, 서명 키 탈취 시도 등 2차 피해가 발생할 가능성도 거론된다. 현재 보안업계 내에서 대규모 악용 가능성에 대한 의견이 엇갈리고 있지만 실제 허니팟 시스템을 통한 공격 시도가 지속적으로 포착되고 있다. 글로벌 보안기업 팔로알토네트웍스는 지난달 28일(현지시간) 보안 권고안을 통해 방화벽 관리화면을 노린 PHP 취약점을 발견했다고 인정하기도 했다. 팔로알토는 공식 홈페이지를 통해 클라우드 NGFW, 코어텍스 XCORE 등 주요 제품에 대한 상태 현황을 업데이트하고 있다.</p> <p contents-hash="9b4872674f23398302a1ac8fd226f3f167c357c2bf9a1bece70614123d717995" dmcf-pid="1KhjfAB3Tg" dmcf-ptype="general">보안업계에서는 이번 사태가 단일 이슈에 그치지 않는다고 평가한다. 대규모 정보 유출과 분산서비스거부(DDoS·디도스) 공격이 발생한 과거 사고와 마찬가지로 내부 자산을 파악하고 가시성을 확보하는 것이 첫 단추가 될 수 있다는 취지다.</p> <p contents-hash="1c81a2ba382d63e853def26253c39aac64d1dea25e3daed22d443bdb69709f47" dmcf-pid="tlMBybCEvo" dmcf-ptype="general">문종현 지니언스 시큐리티센터장은 "웹사이트와 달리 장비 내부의 PHP 구성 여부를 파악하는 것은 매우 까다로운 작업"이라며 "규모가 큰 기업일지라도 자산 식별이 늦어지거나 후순위로 밀어뒀을 가능성이 있다"고 말했다. 이어 "이제 공격자들은 '약한 부분'을 잘 찾아내고 있고, 방어가 견고한 정문보다 그렇지 않은 옆문을 속도감 있게 공격하고 있다"고 경고했다.</p> <p contents-hash="04ee6942e3d57586d430a2a328ae70313f7365774ba9d93b49358e064fc7e8c8" dmcf-pid="FSRbWKhDSL" dmcf-ptype="general">PHP 사태를 넘어 인공지능(AI)을 악용한 해킹 공격이 전방위적으로 일어난다는 점을 고려했을 때 가시성을 기반으로 한 대비책은 필수가 될 전망이다. 최근 금융권에서 발생한 연쇄 해킹 또한 공격자가 AI를 악용해 취약한 부가 시스템을 발견해낸 것으로 알려졌다.</p> <p contents-hash="11bc2d8d24ed5cf8f3259fe2fbcb6ecede0277e97161aa19f082babb6bfbb815" dmcf-pid="3veKY9lwvn" dmcf-ptype="general">이와 관련해 애덤 마이어스 크라우드스트라이크 공격대응작전 총괄은 "엔드포인트에서 활동을 보고, 신원(아이덴티티) 내에서 이를 추적하고, 클라우드에서 관찰하는 것이 핵심"이라며 "위협 행위자가 에이전트를 실행할 때 이들이 무엇을 하는지 볼 수 있다면 막을 수도 있다"고 말했다. 그러면서 "위협으로부터 자체 인프라를 테스트하고, 공격자가 등장한 이후에는 그들의 작전을 식별하고 차단해 가시성을 유지할 때"라고 강조했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 KT도 3G 신규가입 중단…서비스 종료 수순 11-02 다음 서울과기대 기술지주 자회사 메디센싱 “한일전기와 폐음 분석 AI 기반 스마트 청진기 개발 나선다” 11-02 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
