PHP2Shell Exploitation Attempt Detected by Amazon Four Days Before Vulnerability Disclosure

핵심 요약

Amazon에서 PHP2Shell 취약점 공개 나흘 전부터 대규모 PHP 취약점 악용 시도가 탐지되었습니다. 공격자들은 공개적으로 노출된 애플리케이션의 취약점(T1190)을 악용하여 시스템에 초기 접근을 시도하고, 서버 소프트웨어 구성 요소(T1505)를 통해 지속적인 접근을 확보하려 한 것으로 분석됩니다. 이는 웹 셸(web shell) 설치 등을 통해 원격 코드 실행(Remote Code Execution, RCE)으로 이어질 수 있는 심각한 위협입니다. IT 감사인은 조직 내 PHP 기반 시스템의 해당 취약점 패치 여부와 웹 셸 탐지 및 제거 체계의 효과성을 즉시 점검하여 잠재적 침해 위험을 최소화해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치운영 중인 모든 PHP 기반 시스템에 대해 PHP2Shell 등 알려진 취약점에 대한 최신 보안 패치를 즉시 적용하고, 패치 적용이 어려운 경우 가상 패치(Virtual Patching) 또는 웹 방화벽(WAF) 규칙 강화를 통해 공격을 차단할 것을 권고함.
• ✔기술적 조치웹 셸 탐지 및 차단 시스템(WAF, EDR, 백신 등)의 웹 셸 탐지 규칙을 최신 위협 정보에 기반하여 주기적으로 업데이트하고, 웹 셸 업로드 및 실행 시도를 실시간으로 모니터링하며 즉각적인 차단 및 격리 조치가 이루어지도록 시스템을 고도화할 것을 권고함.
• ✔기술적 조치외부 공개 웹 서비스에 대한 정기적인 취약점 스캐닝 및 모의해킹을 수행하여 잠재적 취약점을 사전에 식별하고, 발견된 취약점에 대해서는 우선순위를 설정하여 신속하게 조치하는 프로세스를 강화할 것을 권고함.
• ✔관리적 조치CISO는 PHP 기반 시스템의 취약점 관리 및 패치 적용 현황을 주기적으로 검토하고, 웹 셸 공격 등 주요 위협에 대한 대응 절차를 포함하는 정보보호 정책 및 지침을 수립 및 시행할 것을 권고함.
• ✔관리적 조치개발 및 운영 담당자를 대상으로 안전한 코딩 가이드라인 및 최신 웹 취약점 동향에 대한 보안 교육을 정기적으로 실시하여 보안 의식을 제고하고, 안전한 개발 문화를 정착시킬 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기