韓·美·日방화벽 25대 뚫렸다…PHP투셸 대규모 악용 시작됐나

PHP 취약점 악용해 한국·미국·일본·대만 방화벽 25대 뚫은 사이버 공격 포착

PHP투셸에 리눅스 결함 결합해 방화벽 맞춤형 침투 코드 제작…최고권한 획득 성공

"실전 무기화 까다롭다" 통념 뒤집혔다…"범용 공격코드 나오기 힘들 것" 의견도

[서울=뉴시스] 사진은 해킹 사고 컨셉. 기사의 이해를 돕기 위한 이미지. (사진=유토이미지) 2026.10.10. [email protected] *재판매 및 DB 금지

[서울=뉴시스]박은비 기자 = 전 세계 웹사이트의 70%에 쓰이는 프로그래밍 언어 'PHP'의 치명적 보안 결함(PHP2Shell)을 둘러싸고 사이버 보안업계의 경고가 현실로 나타났다.

당초 이 결함은 실제 해킹 무기로 가공하기가 매우 까다로워 '이론상 위험'에 그칠 것이라는 분석이 우세했다. 취약점이 존재한다는 사실을 확인하는 것과 이를 실제 서버에 적용해 공격에 성공하는 것은 전혀 다른 문제이기 때문이다. 취약점 공개 이후 실제 해킹으로 이어지는 사례도 사실상 전무했다.

하지만 상황이 달라졌다. 해커가 취약점에 맞춰 자체 공격 도구를 개발하고 인공지능(AI)을 활용한 것으로 의심되는 정황과 함께 여러 국가의 서버를 실제로 장악한 사례가 확인됐다.

취약점의 기술적 난도가 공격을 막는 장벽으로 작용했지만, 공격자가 시간과 자원을 투입해 이를 넘어설 경우 피해가 현실화할 수 있다는 점이 드러난 것이다.

'무기화 어렵다'던 PHP 결함, 결국 실전 무기됐다

사이버 보안 기업인 드림은 28일(현지시간) PHP투셸(PHP2Shell; PHP 신규 취약점)'과 리눅스 운영체제의 권한 상승 취약점을 결합해 전 세계 서버 25대를 장악한 사이버 공격 정황을 폭로했다.

공격 대상은 미국과 일본, 대만, 한국에 있는 특정 업체의 방화벽 시스템. 25 피해 서버 가운데 미국 정부 기관 서버 3대도 포함됐다. 다만, 해당 조직의 내부 시스템이 어디까지 침해됐는지는 아직 명확히 확인되지 않았다.

PHP투셸은 PHP의 특정 처리 과정에서 발생하는 메모리 오류를 악용해 해커가 원격에서 임의 명령을 실행할 수 있도록 하는 취약점이다. 로그인 등 별도의 인증 절차 없이도 공격이 가능할 수 있어 위험도가 높다. 지난 21일 공개된 두 취약점의 심각도는 각각 CVSS 9.2점으로 평가됐다.

전세계 웹사이트의 약 70%가 위험에 노출되는 치명적 결함임에도 23일 공개 직후 이렇다 할 실제 피해 사례가 보고되진 않았다.

해당 취약점이 실전에 활용할 수준으로 공격코드를 완성하기 쉽지 않았기 때문이라는 것이 보안 전문가들의 진단이다.

가령, 취약점이 있다고 해서 모든 서버를 같은 방식으로 뚫을 수 있는 것은 아니다. 해커는 대상 서버가 어떤 PHP 버전과 프로그램 구성으로 운영되는지 파악해야 한다. 메모리 내부의 특정 데이터가 어디에 배치되는지도 알아내야 한다. 소프트웨어 버전과 빌드 환경에 따라 달라질 수 있다. 한 시스템에서 성공한 공격 방법이 다른 시스템에서는 작동하지 않을 수 있다는 얘기다.

취약점 공개 시점을 전후로 수많은 취약점 공격 행위가 포착됐음에도 불구하고 미국 보안기업 크라우드스트라이크가 당시 분석한 공격 코드 상당수가 취약점의 존재를 보여주거나 프로그램을 멈추게 하는 데 머물렀고, 광범위한 시스템을 공격할 수 있는 공격 도구는 확인되지 않았다.

해커가 취약점을 실제 무기로 만들려면 대상 시스템과 최대한 비슷한 환경에서 반복적으로 시험하고 공격 방법을 조정해야 한다는 것이다.

AI 만나자 가공할 해킹 무기로 변신 vs "대규모 공격 징후 아직 아냐"

이번에 적발된 미국·일본·대만·한국 방화벽 공격 사례는 달랐다.

해커는 범용 공격 코드 대신 특정 방화벽 운영체제와 PHP 버전에 맞춰 공격 도구를 별도로 개발했다. PHP 결함만을 쓸 경우 제한된 권한만 얻을 수 있는 점을 고려해 리눅스 커널의 권한 상승 취약점까지 결합했다. 이를 통해 일반 사용자 권한을 시스템 전체를 통제할 수 있는 최고 관리자 권한으로 둔갑시키는데 성공했다.

해커는 검색 엔진을 돌려 관리가 허술한 전 세계 방화벽 1만9000대를 먼저 가려냈다. 이어 자체 스캐너로 실제 공격이 먹혀들 만한 한국, 미국, 일본, 대만의 최신 방화벽 240대를 최종 표적으로 선별했다. 이후 자동화된 공격 도구를 이용해 서버를 차례로 공략했고, 최종적으로 25대에서 최고 관리자 권한을 확보했다.

이같은 공격 준비와 개발 과정에서 AI가 활용됐을 가능성도 제기됐다. 드림에 따르면, 앤트로픽 '클로드 코드'와 중국 '딥시크' 기반의 AI 보안 플랫폼을 쓴 흔적이 발견됐다. 공격에 활용된 40여개의 자체 제작 스크립트에서 코드 구조와 주석, 작성 방식이 일관되게 나타난 점도 AI 보조 개발 가능성을 뒷받침하고 있다. 결과적으로 AI 기술을 활용해 PHP 결함을 실전 무기화하는 데 성공한 것 아니냐는 분석이 나온다.

보안 전문가들은 그렇다고 이번 사례가 PHP 결함의 대규모 악용이 시작됐다는 의미는 아니라고 말한다.

취약점을 이용한 공격이 특정 소프트웨어 버전과 설정에 국한돼 있어서다. 공개된 공격 코드 상당수는 실제 침투에 필요한 조건을 충족하지 못하고 있다. 보안업체 위즈(Wiz)도 지난 27일 보고서에서 자사 관측망에서 PHP2셸 결함을 이용한 공격 시도는 확인했지만, 포착된 시도 가운데 공격이 끝까지 성공한 사례는 확인하지 못했다고 밝혔다.

보안업계 관계자는 "처음에는 기술적 난도 때문에 실전 공격이 제한되더라도 공격자가 맞춤형 도구와 자동화 기술을 결합해 그 장벽을 깰 수 있다는 점을 보여준 사례가 될 것"이라며 "기업과 기관의 보안 대응은 취약점이 공개됐는지를 확인하는 데서 멈추지 않고, 공격자가 실제로 악용할 수 있는 환경을 얼마나 빨리 줄이느냐에 달려 있다"고 지적했다.


◎공감언론 뉴시스 [email protected]