유럽의 사이버 위기 대응팀은 두 가지 치명적인 PHP 취약점을 패치할 수 없는 웹사이트에 오프라인을 고려하라고 권고했습니다. 두 취약점 모두 공격자가 로그인 없이 웹 서버를 장악할 수 있게 합니다.
PHP는 워드프레스 블로그부터 마젠토 온라인 스토어까지 웹의 많은 부분에서 사용됩니다. 하지만 두 취약점에 대한 상세 정보가 패치가 나오기 전에 온라인에 유출되었습니다.
공격자가 먼저 움직였습니다
헌트리스(Huntress)에 따르면, 유출은 예정보다 앞선 10월 20일에 일어났습니다. PHP 파운데이션 보안팀은 이후 10월 21일 14시 UTC에 공식 공개를 예정했습니다.
헌트리스에 따르면, 보안업체 워치타워(watchTowr)는 두 개의 취약점 중 하나를 재현했습니다. 헌트리스 자체는 고객 시스템에서 악용 사례를 발견하지 못했다고 밝혔습니다.
반면, 클라우드플레어 최고기술책임자인 데인 크네히트(Dane Knecht)는 이미 공격이 시작됐다고 밝혔습니다. 그는 알려진 공격 경로에 대해 전 고객, 무료 사용자 포함 방화벽 규칙을 배포했다고 했습니다.
현재 초기 공격이 나타나고 있으며, 새로운 공격 경로가 등장할 때마다 대응책을 업데이트하고 있습니다. 이는 임시방편일 뿐입니다.
크네히트는 X(구 트위터) 게시글을 통해 이 경고를 알렸습니다.
유럽연합 컴퓨터 비상 대응팀(CERT-EU)과 호주 사이버 기관 모두 PHP 취약점이 PHP 5 버전 이후 모든 릴리스를 영향을 줄 수 있다고 경고했습니다. – 로이터(Reuters) 보도
헌트리스는 일부 연구원이 지원되는 PHP 8 버전에만 패치가 나올 것으로 예상한다고 언급했습니다. 이는 구버전, 지원 종료 버전을 사용하는 사이트에 패치가 제공되지 않을 수도 있다는 의미입니다.
이 경보는 100여 개 기업이 AI 사이버 공격 급증을 몇 달 내에 경고한 후 몇 주 만에 나온 것입니다.
PHP 취약점이 웹사이트 운영자에게 의미하는 것
W3Techs 자료에 따르면, PHP는 서버 측 언어가 알려진 웹사이트의 약 69%에서 사용되고 있습니다. 워드프레스만으로도 전체 웹사이트의 약 40%를 구동합니다.
CERT-EU는 이번 취약점의 심각도 점수 9.2가 인증되지 않은 원격 코드 실행을 의미한다고 밝혔습니다. 즉, 외부인이 자격 증명 없이 서버에서 악성 코드를 실행할 수 있다는 뜻입니다.
웹 호스팅 기업 고대디(GoDaddy)는 공격자가 데이터를 훔치거나, 웹사이트를 훼손하거나, 시스템 전체를 장악할 수 있다고 경고했습니다. 실제로 한국 은행 침해 사태에서 확인됐듯, 탈취된 기록은 실질적인 가치를 가집니다.
보안 플러그인 워드펜스(Wordfence)는 모든 워드프레스 사이트가 PHP 서버에서 동작한다고 지적했습니다. 그러나 워드프레스 자동 업데이트는 PHP 취약점을 해결하지 못합니다. 따라서 웹사이트 운영자는 누가 PHP를 관리하는지 확인해야 합니다.
10월 프랑스 슈퍼마켓 냉장고 해킹 사건에서 보듯, 일상 인프라에 대한 공격이 계속 확산하고 있습니다. 이번 PHP 취약점은 웹의 대부분을 지탱하는 소프트웨어 계층에서 한 번의 서버 업데이트 누락이 문을 열 수 있음을 뜻합니다.
