내부망을 덮친 PHP2Shell
최근 보안업계를 긴장시킨 PHP2Shell은 PHP 실행 환경 자체에서 발생한 원격코드실행 취약점입니다. 인증 없이 서버 제어권을 탈취할 수 있고, CVSS v4.0 기준 최고 9.2점으로 평가됩니다. 티오리 연구진은 같은 PHP 런타임을 쓰는 서버 전체가 위험하다고 지적했습니다. 미국 CISA가 지난 26일 실제 악용 취약점 목록에 올리면서 위협은 현실이 됐는데요. 국내에서는 과학기술정보통신부가 사이버위기경보를 '주의'로 상향했지만, 29일 기준 패치 적용률은 5.5%에 머물렀습니다.
사각지대가 된 내부 장비
지니언스가 내부망 장비를 분석해 보니 PHP를 구동하는 장비의 96%가 이 취약점에 노출돼 있었습니다. 78%는 지원이 끝난 PHP 8.1 이하를, 48%는 5.x 이하를 사용했습니다. 확인된 장비의 89%가 사설 IP 대역에 있어 외부 스캐너로는 보이지 않는다는 점이 문제입니다. 서버는 24%뿐이고 CCTV·영상저장장치와 보안 솔루션 20%, RFID 리더 등 IoT 17%, 미확인 자산 27%가 뒤섞여 있습니다. 시놀로지도 워드프레스와 웹스테이션 등 10종 애플리케이션의 영향을 확인하고 DSM 패치를 내놨습니다. 한국인터넷진흥원도 최신 업데이트를 권고했습니다.
패치보다 먼저 볼 것
AI가 보안 권고문을 바탕으로 공격 코드를 빠르게 만드는 환경도 부담입니다. 전문가들은 패치 적용만으로는 내부 확산을 막기 어렵다고 봅니다. 취약 장비를 먼저 찾아내고 임시 패치와 접근 차단, 서브넷 분리 같은 제로트러스트 구조를 함께 가져가야 한다는 겁니다. 지원이 끝난 구형 장비는 교체 전까지 격리하고 로그를 살펴 침해 흔적을 확인해야 합니다. 지니언스는 AI 기반 자산 식별 플랫폼도 개발 중입니다. 이번 사안은 외부 경계보다 내부의 보이지 않는 자산이 더 큰 뇌관이 될 수 있음을 보여줍니다.