이론적 위협을 넘어선 실질적 침투 사례 발생
전 세계 웹사이트의 약 70%가 사용하는 프로그래밍 언어인 PHP의 결함이 단순한 이론적 위험을 넘어 실제 사이버 공격의 도구로 활용되고 있다는 경고가 나왔다. 당초 보안 업계에서는 해당 취약점을 실제 해킹 무기로 가공하는 작업이 매우 까다롭다는 점을 들어, 실제 서버 침투로 이어질 가능성은 낮다는 분석이 지배적이었다. 취약점의 존재를 입증하는 것과 이를 활용해 실제 시스템을 장악하는 것은 차원이 다른 문제였기 때문이다. 실제로 결함 공개 이후 실질적인 공격 사례는 거의 보고되지 않았다.
그러나 최근 상황이 급변했다. 공격자가 취약점에 최적화된 독자적인 공격 도구를 제작하고, 인공지능(AI) 기술까지 동원한 것으로 의심되는 정황이 포착되면서 여러 국가의 서버가 실제로 장악된 사실이 확인됐다. 기술적 난도가 공격을 막는 방패 역할을 해왔으나, 공격자가 막대한 자원과 시간을 투입할 경우 그 장벽이 무너질 수 있다는 점이 실증된 것이다.
맞춤형 공격 코드로 방화벽 최고 권한 탈취
보안 기업 드림(Dream Security)은 지난 28일(현지시간) 'PHP 투셸(PHP Two-Shell)'로 불리는 신규 취약점과 리눅스 운영체제의 권한 상승 결함을 결합해 전 세계 25대의 서버를 장악한 정황을 공개했다. 공격 대상은 한국, 미국, 일본, 대만에 위치한 특정 업체의 방화벽 시스템이었다. 피해 서버 중에는 미국 정부 기관의 서버 3대도 포함되어 있으나, 해당 조직의 내부 시스템이 어느 범위까지 침해되었는지는 아직 명확히 밝혀지지 않았다.
이번 공격에 사용된 'PHP 투셸' 취약점은 특정 처리 과정에서 발생하는 메모리 오류를 이용해 해커가 원격에서 임의 명령을 실행할 수 있게 한다. 별도의 인증 과정 없이도 공격이 가능해 위험도가 매우 높다. 지난 21일 공개된 두 취약점의 심각성은 각각 9.8점과 8.8점에 달했다. 전문가들은 그동안 공격 코드를 완성하기가 어려워 실제 피해가 없었다고 진단해 왔다. 서버의 OS 버전, 프로그램 구성, 메모리 내 데이터 배치 등이 환경마다 다르기 때문에 범용적인 공격 도구를 만들기가 쉽지 않았기 때문이다.
실제로 크라우드스트라이크의 분석에 따르면, 초기 공격 코드들은 시스템을 중단시키거나 취약점 존재를 확인하는 수준에 그쳤을 뿐 광범위한 침투 도구로 발전하지는 못했다. 하지만 이번 사례는 달랐다. 해커는 범용 코드가 아닌 특정 방화벽 운영체제와 버전에 맞춘 맞춤형 도구를 개발했다. 특히 PHP 결함으로 얻은 제한된 권한을 리눅스 커널의 권한 상승 취약점과 결합해, 일반 사용자 권한을 시스템 전체를 통제하는 최고 관리자 권한으로 격상시키는 데 성공했다.
AI 활용 의심과 보안 대응의 중요성
해커의 공격 방식은 치밀했다. 먼저 검색 엔진을 통해 관리가 취약한 방화벽 1만 9,000대를 선별한 뒤, 자체 스캐너를 활용해 한국과 미국, 일본, 대만의 최신 방화벽 240대를 최종 타깃으로 정했다. 이후 자동화 도구를 통해 25대의 서버에서 최고 권한을 확보했다. 이 과정에서 앤트로픽의 '클로드 코드'나 중국의 '딥시크' 기반 AI 모델이 사용되었을 가능성도 제기된다. 드림의 분석 결과, 공격에 쓰인 40여 개의 스크립트에서 일관된 코드 구조와 작성 방식이 발견되었기 때문이다.
다만 이번 사건이 PHP 결함의 대규모 악용이 시작되었음을 의미하는 것은 아니다. 공격 코드가 특정 소프트웨어 버전과 설정에만 국한되어 있기 때문이다. 보안업체 위즈(Wiz) 역시 지난 27일 보고서를 통해 투셸 결함을 이용한 공격 시도는 관측했으나, 최종적인 침투 성공 사례는 확인하지 못했다고 밝혔다.
보안업계 관계자는 기술적 난도가 높더라도 공격자가 맞춤형 도구와 자동화 기술을 결합하면 장벽을 뚫을 수 있다는 점을 이번 사례가 보여준다고 설명했다. 따라서 기업과 기관은 단순히 취약점 존재 여부를 파악하는 데 그치지 말고, 공격자가 실제로 악용할 수 있는 환경을 얼마나 신속하게 제거하느냐에 보안 역량을 집중해야 한다고 강조했다.