아마존, PHP2Shell 공개 전 악용 탐지…보안 대응 시간의 위기

핵심 요약

• 아마존 위협 인텔리전스가 2026년 10월 17일 MadPot 허니팟에서 PHP2Shell 익스플로잇 시도를 탐지했으며, CVE-2026-109618·109619 공개보다 4일 앞서 발견됐다.
• 익스플로잇은 익명화 네트워크 IP에서 시작됐고 임베고 기간 중 활동했으나, 공개 전 익스플로잇 정보를 어떻게 확보했는지는 불명이다.
• 임베고 해제 예정일은 2026년 10월 21일 1400 UTC였으나, 그 전날 0200 UTC부터 이미 여러 개념 증명(PoC) 익스플로잇이 발견됐다.
• 공개 후 0200~0800 UTC 사이 다양한 익명화 인프라에서 추가 익스플로잇 시도가 감지됐으며, 페이로드와 익명화 방식의 차이로 볼 때 여러 공격자의 활동으로 추정된다.
• 임베고 해제 직후 수 시간 내 추가 PoC가 나타났고, 아마존 센서에 즉시 공격이 감지됐으며 현재 PHP2Shell은 광범위하게 악용되고 있다.
• 아마존은 분석 중이며 실제 시스템에서 성공 여부는 불명이나, 임베고가 공격자의 행동을 사전에 막지 못했음을 시사한다.
• 과거에는 PoC 공개 후 악용이 주로 발생했으나, AI 보조 분석으로 패치 차이나 공지로부터 익스플로잇을 더 빠르게 만들 수 있어 더 많은 공격자가 공개 후 수 시간 또는 수 분 내 행동할 수 있게 됐다.
• 보안 리더를 위한 권고: 인터넷 노출 서비스의 중요 취약점은 패치 시간을 시간 단위로 측정해야 하며, 7일 또는 30일 SLA는 더 이상 지연을 가정하지 않아야 한다.
• 조사는 공개 날짜가 아닌 가장 이른 악용 시점(PHP2Shell의 경우 10월 17일)부터 시작해야 한다.
• 특정 CVE 서명에 의존하지 않는 탐지에 투자해야 하며, 첫 악용은 종종 서명 개발 전에 발생한다.
• 아마존은 분석당 2억 건 이상의 이벤트를 처리하고 MadPot 허니팟 네트워크 위협 인텔리전스를 통합하여 실시간으로 악용 시도를 차단한다.
• 즉시 PHP 버전을 업그레이드해야 하며, 우회 방법은 없고 멀티파트 파일 업로드 차단이나 웹 로그 검토 등 추가 조치가 권장된다.