PHP 취약점으로 침투한 해커, 중앙 서버까지 장악
글로벌 보안 전문 기업인 팔로알토네트웍스가 웹 개발 언어인 PHP의 보안 결함을 이용해 자사 방화벽을 공격한 사례를 공식적으로 인정했다. 이번 공격은 한국을 포함한 여러 국가를 겨냥해 전 세계적으로 25대의 서버를 장악한 것으로 알려졌으며, 이 과정에서 팔로알토의 방화벽과 관리용 서버가 침투 대상이 된 것으로 확인되었다.
팔로알토는 지난 29일(현지 시간)을 기점으로, 관리 화면이 인터넷상에 노출되어 있는 상태에서 PHP 취약점이 실제로 악용되고 있다는 사실을 발표했다. 해당 결함은 팔로알토 방화벽 등에 탑재되는 운영체제인 PAN-OS에서 발생하는 문제다. 운영자가 장비의 보안 정책을 설정하거나 상태를 점검할 때 사용하는 관리 화면이 공격의 통로가 된 것이다. 공격자는 별도의 로그인 절차 없이도 메모리 처리 과정의 오류를 이용해 서버 내에서 임의의 명령을 수행할 수 있는 상태였다.
이스라엘 보안업체 분석과 일치하는 공격 경로
앞서 이스라엘의 보안 기업 드림은 한국과 미국, 일본, 대만 등의 방화벽 240대를 타깃으로 삼은 공격 정황을 포착했다고 보고했다. 드림의 분석에 따르면 해커는 방화벽 24대와 내부 관리용 서버 1대를 포함해 총 25대의 장비를 장악했다. 드림은 추가 조사를 통해 공격 대상이 된 장비들이 특정 버전의 PAN-OS를 사용하고 있다는 점을 밝혀냈으며, 현재 팔로알토와 협력하여 상세 내용을 조사 중이라고 덧붙였다.
공격자는 PHP를 통해 명령 실행을 위한 발판을 마련한 뒤, 리눅스 커널의 핵심적인 결함까지 추가로 악용하는 치밀함을 보였다. 이를 통해 시스템 전체를 통제할 수 있는 최고 관리자 권한을 획득했으며, 일부 방화벽에서는 내부 네트워크로 연결되는 통로를 확보해 중앙 관리 서버까지 침투하는 데 성공했다. 팔로알토 측은 드림이 보고한 공격 수법을 독립적으로 검증했으며, 해당 공격 도구와 결과가 실제와 일치함을 확인했다고 설명했다.
'치명적' 등급 판정…즉각적인 보안 업데이트 권고
팔로알토는 이번 취약점에 대해 CVSS 4.0 기준 10점 만점 중 9.2점에 해당하는 '치명적(Critical)' 등급을 부여했다. 대응의 긴급성 또한 최고 수준으로 분류했다. 회사는 만약 관리 화면에 대한 인터넷 접근을 허용해 두었다면 즉시 이를 차단해야 하며, 신뢰할 수 있는 내부망을 통해 보안 업데이트를 신속히 적용할 것을 강력히 권고했다.
팔로알토의 기본 설정상으로는 관리 화면이 외부에 노출되지 않지만, 설정을 변경해 인터넷에 노출된 제품은 전 세계 설치 기반의 약 0.02% 수준인 것으로 파악되었다. 회사는 해당되는 고객들에게 개별적으로 연락을 취해 조사를 진행하고 있다. 이번 공격의 영향을 받는 대상은 시리즈 방화벽과 중앙 관리 솔루션인 파노라마(Panorama)이다. 팔로알토는 적절한 보안 업데이트를 적용할 경우 관측된 공격 경로를 차단할 수 있다고 밝혔다. 운영자는 사용 중인 제품의 버전에 맞는 수정본을 반드시 확인해야 하며, CISA(미국 사이버보안 및 인프라 보안국) 역시 팔로알토 제품에 대한 신속한 보안 업데이트를 권고했다. 특히 취약점이 영향을 미치는 버전과 수정된 버전을 명확히 구분하여 장비에 적용해야 한다고 강조했다.