PHP2Shell 정부 해킹 연결 보고 철회…패치 권고 유지
3줄 요약
- Unit 42는 최초 침입과 특정 취약점의 연결을 확인하지 못했다고 밝혔다.
- 별도 허니팟 기록에는 3대의 서버에서 셸이 35번 실행된 근거가 담겼다.
- PHP 개발팀은 수정 버전과 추가 결함의 적용 조건을 공지했다.
팔로알토네트웍스의 보안 연구팀 Unit 42가 10월 25일 유럽 정부기관의 해킹을 PHP2Shell 취약점과 연결한 보고를 철회했다. AI 에이전트의 침입 후 활동을 다뤘던 보고로, 최초 침입이 해당 취약점을 거쳤는지는 확인할 수 없다는 설명이다.
이 정정은 PHP 서버 운영자가 참고할 침해 근거의 범위를 바꾼다. PHP 개발팀은 웹 요청을 처리하는 설치 환경 전반을 위험 대상으로 보고, 애플리케이션 코드 실행 전에 공격이 가능한 Apache의 mod_php 환경을 가장 높은 위험군으로 명시하고 있다. 보안 업데이트 권고는 유지된다.
Unit 42는 23일 AI 에이전트의 침입 후 활동과 탐지 질의를 추가했다가 25일 이를 철회했다. 현재 안내문은 두 취약점의 심각도를 CVSS 4.0 기준 9.2로 제시한다.
허니팟에서 확인한 실제 코드 실행
별도의 관측 자료에서는 공격 성공의 근거가 공개됐다. 연구자 아델 카리미가 공개한 24일 기록은 공격을 관찰하도록 만든 서버인 허니팟 3대에서 명령 실행용 셸이 35번 시작된 과정을 담았다. 대상은 PHP 8.4.26과 Apache mod_php를 사용하는 단일 작업자 환경이었다.
연구자는 서버가 받은 통신 패킷과 실제로 시작된 프로세스, 오류 기록을 시간·요청 순서와 대조했다. 확인된 요청은 두 출발지 주소 집단에서 왔다. 보고서는 이 주소 수로 공격자 수를 추정할 수 없다고 명시했으며, 분석한 경로를 두 취약점 중 CVE-2026-109618과 일치하는 것으로 설명했다. 35회는 이 관측 환경의 셸 실행 횟수다.
앞선 23일 크라우드스트라이크는 당시 자체 관측과 허니팟에서 탐색·실패한 공격 시도를 확인했다고 밝혔다. 공개된 개념증명 가운데 상당수는 프로그램 충돌을 보여주는 수준이었다. 회사는 안정적인 원격 코드 실행을 위해 대상 PHP 버전과 애플리케이션에 맞춘 조정이 필요하다고 분석했다. 이 발표의 관측 시점은 카리미의 24일 자료보다 앞선다.
보안업체 업윈드가 26일 공개한 자체 실험은 초기에 유통된 공개 공격 도구와 실제 결함의 차이를 짚었다. 기본 설정의 PHP-FPM 실험에서 해당 도구를 반복 실행해도 충돌이나 코드 실행이 발생하지 않았다는 결과다. 도구가 남기는 요청 흔적은 탐색을 식별하는 데 쓰이며, 성공 여부는 후속 동작에서 확인해야 한다고 설명했다.
업윈드는 조사한 ‘패치 우회’ 주장도 각각 대조했다. 별도의 애플리케이션 결함이 필요한 사례와 충돌만 재현한 사례가 포함돼 있었다. 새 보안 릴리스에 함께 들어간 다른 수정에서는 XML 처리 기능의 메모리 해제 오류가 발생했다. 회사는 이를 직접 재현한 뒤, PHP2Shell 패치의 우회와는 별도 회귀 결함으로 분류했다.
PHP 재단의 21일 설명에 따르면 메모리 부족 처리 문제의 첫 단서는 2024년 외부 감사를 후속 처리하던 개발자가 찾았다. 2026년 8월 Calif의 원격 코드 실행 보고와 OpenAI·Wiz의 추가 분석으로 영향 범위가 분명해졌다. 재단은 여러 수정안 사이에서 호환성·성능·확장 기능에 미칠 영향을 조율하느라 해결이 지연됐다고 밝혔다.
재단은 AI를 보고 검증과 같은 근본 원인을 가진 제보의 분류에 사용한다고 설명한다. Claude Mythos를 활용한 점검 이후에는 OpenAI의 Daybreak Red와 여러 재현 환경도 도입했다. 제보에 대한 판단과 패치 작업은 사람이 맡는다. 이 설명은 취약점의 발견·검증 과정에 관한 것으로, 개별 침입의 공격 도구를 밝힌 자료는 아니다.
PHP2Shell의 두 결함을 수정한 버전은 21일 나온 PHP 8.5.12·8.4.27·8.3.36·8.2.35다. 배포판과 장기지원 업체는 사전에 패치를 받아 자체 패키지를 제공할 수 있다. PHP 개발팀은 지원이 끝난 구버전에도 일부 소스 수준의 최소 수정안을 제공했으며, 구버전 사용자의 적용 여부는 공급업체와 지원 방식에 따라 달라진다고 안내했다.
23일에는 세션 처리 설정과 애플리케이션 코드가 특이하게 조합될 때 발생하는 추가 원격 코드 실행 경로도 공지됐다. PHP 개발팀은 이를 CVE-2026-115560으로 추적하며 다음 정기 버그 수정 릴리스에서 전체 권고문을 공개할 계획이라고 밝혔다.
출처
- Threat Brief: Critical Vulnerabilities in PHP (Updated October 25) — Palo Alto Networks Unit 42
- PHP2Shell exploitation observed: packet-to-process RCE evidence — Adel Karimi
- PHP2Shell: Inside the Two Critical PHP RCE Flaws — Upwind
- Security and informational advisories, October 21 and 23 — The PHP Group
- Today’s PHP Security Release, and How We’re Strengthening PHP Security — The PHP Foundation
- Obstacles to Weaponizing PHP2Shell Likely Constrain Immediate Widespread Exploitation — CrowdStrike
- RCE via OOM corruption — GHSA-w8hw-w9fx-j79w — PHP security team
