기업 내부망에서 PHP를 구동하는 장비 상당수가 최근 발견된 고위험 보안 취약점 'PHP2Shell'에 노출돼 있다는 분석이 나왔다. 외부에 공개된 웹서버뿐 아니라 내부망의 네트워크 저장장치(NAS), 공유기, 보안 장비까지 점검해야 한다는 조언이다.
지니언스는 클라우드 네트워크접근제어(NAC) 플랫폼에 연동된 기업 고객의 장비 식별 데이터를 분석한 결과, 내부망에서 PHP를 구동하는 장비의 96%가 PHP2Shell 취약점에 노출된 것으로 나타났다고 30일 밝혔다.
취약 장비 중 78%는 공식 지원이 종료된 PHP 8.1 이하 버전을 사용하고 있었다. 2018년 지원이 끝난 5.x 이하 버전을 사용하는 장비도 48%에 달했다.
장비 유형별로는 일반 서버가 24%에 그쳤다. CCTV·영상저장장치와 보안 솔루션이 20%, RFID 리더 등 사물인터넷(IoT) 기기가 17%를 차지했다. 유형조차 확인되지 않은 미식별 자산도 27%였다.
특히 확인된 장비의 89%는 외부 인터넷 스캔으로 접근할 수 없는 사설 IP 대역에 위치했다. 사설 IP는 기업 내부에서 사용하는 주소로, 외부 인터넷에서 직접 접근할 수 없다는 특징이 있다. 장기간 방치될 수 있다는 의미다.
PHP2Shell은 인증 없이 원격에서 악성 코드를 실행할 수 있는 취약점이다. 미국 사이버안보·인프라보안국(CISA)은 지난 26일 관련 취약점 2건을 실제 악용이 확인된 취약점 목록(KEV)에 등록했다.
지니언스는 외부 스캔만으로는 내부망의 취약 장비를 식별하기 어렵다며 전체 IT 자산을 파악하고 패치 여부를 확인해야 한다고 강조했다.
김계연 지니언스 미국법인장 겸 최고기술책임자(CTO)는 “내부망에 위치한 관리형 장비들은 웹 콘솔 응답 데이터와 내장 구성요소를 정밀 식별해야 PHP 구동 여부를 파악할 수 있다”며 “공식 패치가 없거나 배포 전인 장비는 교체 전까지 네트워크 접근을 차단·격리하는 선제적 통제가 필수적”이라고 말했다.
지니언스는 자산 식별 기술에 에이전틱 AI를 접목해 내부 IT 자산과 취약점·패치 정보를 연계하는 차세대 사이버 자산 공격표면 관리(CAASM) 플랫폼을 개발하고 있다.
박진형 기자 jin@etnews.com
