PHP2Shell 악용이 유럽 정부기관을 겨냥하고 전 세계 탐색 확산

PHP2Shell 악용이 유럽 정부기관을 겨냥하고 전 세계 탐색과 AI 지원 해킹 징후로 확산

• PHP2Shell 취약점 CVE-2026-109618·CVE-2026-109619가 악용돼 유럽 정부기관에서 비밀번호 해시와 다중인증 비밀정보가 탈취됐다.
• 이 공격은 PHP 서버의 원격 코드 실행 뒤 AI 에이전트가 인증DB·Active Directory를 탐색하고 NTLM 릴레이 터널을 만든 방식이다.
• Unit 42는 최초 침투 2시간 안에 비밀정보 접근과 도메인 관리자 권한 상승 시도가 이어졌다고 밝혔고, CVSS 점수는 9.2다.
• 그 결과 PHP2Shell 탐색 대상은 미국·일본·한국·태국·인도네시아·호주·대만·인도·싱가포르·UAE·사우디아라비아·유럽연합의 미패치 또는 부분 완화 호스트 216곳이며, 정부·금융·물류·공항·항공·제조·온라인 결제 분야가 포함됐다.
• 이에 따라 CYFIRMA는 북한 연계 의심 운영자가 21개 침해 노드와 폐쇄형 I2P 채널로 저강도 탐색을 지속하며, 차단 징후마다 노드를 교체해 임계치 기반 탐지를 피한다고 분석했다.
• 한국 조직도 PHP2Shell의 직접 탐색 범위에 포함된 만큼, 국내 보안산업에는 PHP 자산 식별·행위 탐지·AI 기반 침해대응을 결합한 수요가 확대되고 국가안보에는 공공·핵심산업의 패치 지연이 공격 경로가 될 수 있다.

전문가 코멘트: 정부는 PHP 운영자산과 외주 시스템의 버전을 즉시 대조하고, 500 오류·메모리 고갈·Apache 작업자 종료를 연계 탐지하며, 인증정보 탈취를 전제로 합동 대응체계를 가동해야 한다.

주요 용어: PHP2Shell(PHP의 메모리 처리 결함을 악용하는 공격명), 에이전틱 AI(목표에 따라 명령을 연속 실행하는 인공지능), NTLM 릴레이(인증 응답을 중계해 내부 권한을 얻는 방식), I2P(통신 경로를 숨기는 분산형 네트워크)

출처: The Hacker News