해커들, CVE-2025-55182 악용하여 766개 Next.js 호스트 침해, 자격 증명 탈취

핵심 요약

해커들이 CVE-2025-55182(React2Shell 취약점)를 악용하여 766개 Next.js 호스트를 침해하고 대규모 자격 증명을 탈취하는 공격이 관찰되었습니다. 공격자들은 공개적으로 노출된 애플리케이션의 취약점(T1190)을 초기 침투 벡터로 사용하여 시스템에 접근한 후, 데이터베이스 자격 증명, SSH 개인 키, AWS 비밀, Stripe API 키, GitHub 토큰 등 안전하지 않게 저장된 자격 증명(T1552)을 대규모로 수집했습니다. 이러한 공격은 자격 증명 접근을 위한 취약점 악용(T1212) 전술에 해당하며, 국내 금융·공공·IT서비스 조직이 널리 사용하는 웹 프레임워크 및 클라우드 서비스의 취약점 관리와 자격 증명 보안에 대한 심각한 감사 시사점을 제공합니다.

💡 개선 권고안

• ✔기술적 조치Next.js 애플리케이션 및 관련 라이브러리의 최신 보안 패치를 즉시 적용하고, CVE-2025-55182와 같은 공개된 취약점에 대한 상시 모니터링 및 신속한 대응 체계를 구축할 것을 권고함.
• ✔기술적 조치데이터베이스, SSH, AWS, Stripe, GitHub 등 핵심 시스템 및 서비스의 자격 증명을 안전한 비밀번호 관리 시스템(PMS) 또는 자격 증명 볼트(Vault)에 저장하고, 하드코딩 또는 평문 저장을 엄격히 금지할 것을 권고함.
• ✔기술적 조치모든 중요 시스템 및 서비스에 대해 다단계 인증(MFA)을 의무화하고, API 키 및 개인 키에 대한 접근 권한을 최소 권한 원칙에 따라 관리하며, 정기적으로 키를 교체할 것을 권고함.
• ✔관리적 조치공개적으로 노출된 웹 애플리케이션에 대한 정기적인 취약점 점검(모의 해킹, 웹 취약점 스캐닝)을 수행하고, 발견된 취약점에 대한 패치 관리 프로세스를 강화하여 신속하게 조치할 것을 권고함.
• ✔관리적 조치자격 증명 탈취 및 비정상적인 접근 시도를 탐지하기 위한 SIEM, EDR 솔루션의 로그 분석 규칙을 고도화하고, 관련 보안 사고 발생 시 신속하게 대응할 수 있는 비상 계획 및 절차를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문