Amazon, 공개 전인 10월 17일 PHP2Shell 악용 시도 확인

Amazon Threat Intelligence가 MadPot 허니팟에서 2026년 10월 17일 PHP2Shell 악용 시도를 확인함. CVE-2026-109618과 CVE-2026-109619 공개보다 4일 앞선 시점임 공개 당일에도 엠바고 해제 전부터 추가 공격 시도가 관측됐으며, 패치 공개 후에는 개념 증명 코드가 거의 즉시 공격에 사용됨. 현재 PHP2Shell 악용이 광범위하게 진행 중임 공개 전 공격은 익명화 인프라에서 발생했으며, 공격자가 취약점 정보를 미리 확보한 경로는 불명확함. 해당 시도들이 실제 시스템에서 성공했을지도 아직 확인되지 않음 AI 지원 분석으로 패치 차이나 보안 권고를 작동하는 공격 코드로 바꾸는 비용이 낮아지고 있음. 인터넷에 노출된 시스템의 치명적 취약점은 패치와 완화 대응 시간을 시간 단위로 관리해야 함 두 취약점을 모두 완전히 해결하려면 수정된 PHP 버전으로 업그레이드해야 함. 설정 변경만으로는 부족하며, 침해 조사는 최소 10월 17일부터의 활동을 대상으로 해야 함 공개 전후 공격 타임라인 2026년 10월 17일, MadPot 수집 데이터에서 PHP2Shell 악용 시도가 확인됨 출발지 IP는 상용 익명화 네트워크와 연결돼 있었음 엠바고 기간에 익명화 IP로 허니팟을 겨냥했다는 점은 위협 행위자의 활동일 가능성을 시사하지만, 공개 전 공격 정보를 확보한 경로는 불명확함 10월 21일 02:00 UTC경부터 Amazon Threat Intelligence가 여러 개념 증명 공격 코드를 확인함 같은 날 02:00~08:00 UTC에는 다른 익명화 인프라에서도 MadPot을 겨냥한 추가 악용 시도가 관측됨 페이로드와 익명화 인프라 선택이 달라 여러 행위자가 활동했을 가능성이 있음 기술 분석은 진행 중이며, 이 시도들이 실제 시스템에서 성공했을지는 불명확함 10월 21일 14:00 UTC, 예정대로 엠바고가 해제되고 패치가 공개됨 수 시간 내 추가 개념 증명 코드가 등장했고, 거의 즉시 센서를 겨냥한 공격에 사용됨 PHP2Shell은 현재 실제 환경에서 광범위하게 악용되고 있음 엠바고의 한계와 빨라지는 공격 코드 개발 조율된 취약점 공개는 여전히 적절한 모델이지만, 엠바고의 보호 효과는 다른 누군가가 같은 버그를 발견하기 전까지만 유지됨 공개일이 최초 악용일이라고 가정해서는 안 되며, PHP2Shell 침해는 보안 권고 이전에 발생했을 수 있음 패치 공개부터 작동하는 공격...