2026.10.25 일요일
검색
'사이퍼마' 검색결과
기간검색
-
~
검색영역
검색어
-
본사 서버 막아도 협력사가 뒷문 될라…PHP 사태, 탈취 계정까지 점검해야 [경제일보] PHP 보안 취약점 사태의 대응 범위가 서버 업데이트에서 협력사와 외주 시스템, 계정 인증정보로 넓어지고 있다. 주요 대기업들은 현재까지 침해 사례가 확인되지 않았다고 밝혔지만, 협력업체가 관리하는 웹사이트와 업무 연동 계정까지 점검했는지가 중요해졌다. 이미 탈취된 인증정보나 설치된 악성파일은 패치만으로 제거되지 않기 때문이다. 25일 재계에서 공개한 대응 현황을 보면 삼성전자·SK·현대차·LG·HD현대 등은 이번 취약점을 악용한 침해 사례가 확인되지 않았다고 밝혔다. 포스코는 긴급대응반을 구성해 패치를 진행했고, GS도 일부 PHP 웹사이트에 업데이트를 적용했다. 이 같은 설명을 평가하려면 점검 대상부터 확인해야 한다. 주력 웹서비스를 자바 등 다른 언어로 운영하더라도 외주 제작 사이트와 이벤트·테스트 서버, 장비 관리화면에는 PHP가 남아 있을 수 있다. 한국인터넷진흥원(KISA)도 자산관리 목록에만 의존하지 말고 실제 작동하는 서버를 기준으로 PHP 사용 여부를 확인하라고 권고했다. 협력사 서버에 원청 접속용 계정이나 외부 서비스 연동 키가 저장돼 있다면 위험은 해당 업체에 머물지 않을 수 있다. 공격자가 확보한 권한을 다른 시스템 접근에 이용할 가능성 때문이다. 인터넷에 노출된 공격 대상도 광범위하다. 팔로알토네트웍스는 자체 관측망을 통해 잠재적으로 취약할 수 있는 인터넷 노출 인스턴스를 전 세계 2260만개 이상 식별했다고 밝혔다. 패치 이전 기록을 조사해야 하는 근거도 확인됐다. 아마존웹서비스(AWS)는 공격 유인 시스템인 ‘매드팟’에서 공개 나흘 전인 지난 17일 공격 시도를 관측했다. 공개일인 21일부터만 로그를 살피면 그 이전 활동을 놓칠 수 있다는 의미다. AWS는 최소 17일까지 거슬러 조사하라고 권고했다. 해외에서는 초기 침입 이후 인증정보를 노린 활동까지 보고됐다. 팔로알토네트웍스의 위협분석 조직 유닛42는 PHP2Shell 대응 보고서에서 유럽 정부기관을 겨냥한 공격 사례를 공개했다. 공격자는 초기 침입 후 2시간 안에 비밀번호 해시와 다중인증 비밀값에 접근했고, 내부 계정관리 시스템으로 접근을 확대하며 관리자 권한 획득을 시도했다. 유닛42는 명령 실행 패턴 등을 근거로 AI 에이전트 기반 공격 도구가 활용된 것으로 판단했다. 특정 국가와 산업을 겨냥한 공격 준비 정황도 나왔다. 싱가포르 보안업체 사이퍼마는 23일 보고서에서 한국어 사용 공격자들이 익명 네트워크 I2P에서 PHP2Shell 공격 계획을 논의했다고 밝혔다. 한국·미국·일본 등의 정부·금융기관이 우선 대상으로 거론됐으며 제조·물류·항공·건설 분야도 포함됐다. 사이퍼마는 북한 라자루스 계열과의 연계 가능성을 ‘중간’ 신뢰도로 평가했다. 해당 조직의 공격 성공은 확인하지 못했다고 명시했다. 이는 유닛42가 공개한 유럽 사례와 별개의 분석으로, 두 활동을 같은 조직의 공격으로 연결할 근거는 제시되지 않았다. 구버전 대응도 정확히 구분해야 한다. PHP 8.1 이하는 정규 보안 지원이 종료됐지만 패치 수단이 전혀 없는 것은 아니다. PHP 보안팀은 사안의 심각성을 고려해 7.4·8.0·8.1용 최소 소스 패치를 예외적으로 공개했다. 일부 리눅스 배포판과 장기지원 업체도 보안 수정본을 제공한다. 이를 임시 적용하더라도 지원 버전으로 전환할 계획은 필요하다. PHP 8.2 역시 올해 말 보안 지원이 끝난다. 업데이트 완료 여부는 실제 서비스에서 확인해야 한다. KISA는 패치 후 PHP 실행 프로세스를 재시작하고, 컨테이너는 수정된 이미지로 재배포하라고 안내했다. 한 서버에 여러 PHP 버전이 설치됐거나 배포판이 버전 번호를 유지한 채 패치하는 경우도 있어 설치 명령의 성공 여부만으로 판단해서는 안 된다. PHP 개발팀은 23일에도 특수한 설정과 프로그램 코드 조합에서 발생할 수 있는 별도 원격 코드 실행 위험을 추가 안내했다. 해당 환경에서는 세션 업로드 진행률 기능을 비활성화하도록 권고했다. 21일 패치 적용 이후에도 후속 보안 공지를 확인해야 하는 이유다. KISA는 업데이트 전 인터넷에 노출됐던 서버의 DB 비밀번호, 관리자 비밀번호, 외부 서비스 연동 키 교체를 권고하고 있다. 침해 흔적이 발견됐다면 서버를 먼저 재시작하지 말고 외부 접속을 차단한 뒤 로그와 메모리 등 증거를 보존해야 한다. 이후 패치·재시작과 악성파일 제거, 인증정보 교체를 진행하도록 안내했다.2026-10-25 12:16:10
많이 본 뉴스
영상
Youtube 바로가기
![[데스크칼럼] 거제 조선소의 은퇴 풍경, 숙련이 떠나면 제조업 미래도 흔들린다](https://image.ajunews.com/content/image/2026/10/23/20261023102610396990_518_323.png)