PHP2Shell Exploitation Started Days Before Patches

핵심 요약

PHP 기반 시스템에서 'PHP2Shell'로 명명된 취약점 악용 시도가 패치 공개 전부터 시작되었으며, 패치 공개 직후 대규모 공격 활동이 관찰되었습니다. 공격자들은 공개적으로 노출된 애플리케이션의 취약점(T1190 - Exploit Public-Facing Application)을 악용하여 초기 접근을 확보하고, 웹 셸(T1505.003 - Web Shell)을 설치하여 시스템에 대한 지속적인 접근 권한을 확보하려 한 것으로 분석됩니다. 이는 패치 관리의 시급성과 제로데이 또는 N-데이 취약점 악용에 대한 방어 전략의 중요성을 시사합니다. IT 감사인은 조직 내 PHP 기반 시스템의 패치 적용 현황 및 웹 셸 탐지·대응 체계를 긴급 점검하여 잠재적 침해 위험을 최소화해야 함을 권고합니다.

개선 권고안

• ✔기술적 조치조직 내 운영 중인 모든 PHP 기반 웹 서버 및 웹 애플리케이션에 대해 최신 보안 패치를 즉시 적용하고, 패치 적용 후에는 시스템의 무결성 및 정상 동작 여부를 철저히 점검할 것을 권고함.
• ✔기술적 조치웹 방화벽(WAF), 침입 방지 시스템(IPS), EDR(Endpoint Detection and Response) 등 보안 솔루션의 웹 셸 탐지 및 차단 규칙을 최신 위협 정보에 기반하여 즉시 업데이트하고, 웹 셸로 의심되는 비정상적인 파일 생성, 실행, 외부 통신 시도에 대한 실시간 모니터링 및 자동 차단 기능을 강화할 것을 권고함.
• ✔기술적 조치웹 서버 및 웹 애플리케이션의 파일 시스템 무결성 모니터링(FIM) 솔루션을 도입하거나 기존 솔루션의 설정을 강화하여, 웹 셸과 같은 비정상적인 파일 생성 및 변경 행위를 즉시 탐지하고 관리자에게 통보하는 체계를 구축할 것을 권고함.
• ✔관리적 조치제로데이 및 N-데이 취약점 악용에 대비하여, 보안 취약점 정보 수집 채널을 다각화하고, 위협 인텔리전스(TI)를 활용하여 잠재적 위협에 대한 사전 예측 및 대응 역량을 강화할 것을 권고함.
• ✔관리적 조치웹 서버 및 웹 애플리케이션 개발 및 운영 담당자를 대상으로 웹 셸 공격 기법 및 방어 전략에 대한 정기적인 보안 교육을 시행하고, 안전한 코딩 가이드라인 준수 여부를 점검할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기