PHP 취약점 공격 시도와 패치 현황
원제 PHP2Shell: Exploitation attempts and remediation trends
158 포인트댓글 53
Key Point
공격이 실제로 대규모 피해를 입히지 못하고 있는 이유와 조직들의 패치 현황을 파악하면, 이 취약점에 대한 실제 위협 수준과 대응 우선순위를 정확히 판단할 수 있다.
핵심 요약
- PHP의 CVE-2026-109618, CVE-2026-109619 공개 후 위즈 보안팀은 실제 공격 시도를 모니터링하고 공개된 익스플로잇 코드를 분석했다.
- 공개 후 약 일주일 만에 인터넷 노출 취약 머신이 67% 감소했으며, PHP 7.3 이상 버전 운영 조직이 47.9% 줄었다.
- 포착된 공격은 두 가지 유형으로 나뉜다: PHP2Shell 익스플로잇을 사용한 공격과 '세션 중독'이라는 관련 없는 기법을 PHP2Shell 이름으로 위장한 공격이다.
- PHP2Shell 익스플로잇을 사용한 공격은 메모리 고갈 단계(Stage A1)까지는 성공했으나, 그 이후 메모리 주소 추출(Stage B1) 단계에서 모두 실패했다.
- 실패 원인은 공격자가 동일한 Apache 워커에 연속된 요청을 도달시켜야 하는데, PHP 버전·메모리 제한·워커 가용성 등 배포 환경 차이로 인해 신뢰할 수 있는 익스플로잇 구축이 어렵다는 점이다.
- 세션 중독 방식 공격은 응용 애플리케이션의 로컬 파일 포함(LFI) 취약점이 있을 때만 작동하며, 실제 코드 실행 성공 사례는 포착되지 않았다.
- 공개 PoC를 그대로 대규모로 실행하는 것만으로는 일반화된 익스플로잇으로 전환되지 않으므로, 공격자는 추가 개발 작업이 필요하다.
- Adel Karimi의 공개 보고서가 유일한 성공적 말단간 익스플로잇 증거를 제시했으나, 그는 특정 Apache 단일 워커 환경을 사용했으므로 다른 배포의 신뢰성은 미확인 상태다.