최근 공개된 PHP 보안 취약점 'PHP2Shell'과 관련해 외부에 노출된 웹서버보다 기업 내부망에 숨은 네트워크 저장장치(NAS)·공유기·방화벽이 더 위험하다는 지적이 나온다.
국내 보안업체 지니언스는 자사 클라우드 네트워크 접근제어(NAC) 플랫폼에 쌓인 장비 식별 데이터를 분석한 결과 내부망에서 PHP를 구동하는 장비의 96%가 이 취약점에 노출된 것으로 나타났다고 29일 밝혔다.
취약 장비 중 78%는 PHP 공식 지원이 중단된 8.1 이하 구버전이었다. 2018년에 지원이 종료된 5.x 이하 버전을 구동 중인 장비도 48%에 달했다.
장비 구성을 살펴보면 전통적인 서버는 24%에 그쳤다. CCTV·영상저장장치, 보안 솔루션(20%), RFID 리더 등 사물인터넷(IoT) 기기(17%), 유형조차 식별되지 않은 미확인 자산(27%) 등 보안 관리의 사각지대에 놓인 기기가 대다수였다.
확인된 장비의 89%는 외부 인터넷 검색엔진 스캐너로는 접근할 수 없는 사설 인터넷주소(IP) 대역에 있었다. 관리자가 장비 안에서 PHP가 돌아간다는 사실조차 몰라 장기간 방치되는 구조적 문제를 안고 있는 것이다.
PHP2Shell은 26일 미국 사이버안보·인프라보안국(CISA)의 '알려진 악용 취약점(KEV)' 목록에 오르며 실제 악용이 확인됐다. 공격자들은 외부에서 보이지 않는 내부 사설 IP 대역의 취약 장비를 장악한 뒤, 이를 내부 침투 확산의 교두보로 삼거나 랜섬웨어를 유포하는 방식을 취하고 있다. 최근 국내에서도 취약한 스토리지 기기를 노린 랜섬웨어 감염 피해가 연이어 보고됐다.
대만 NAS 제조사 시놀로지도 최근 PHP2Shell이 자사 제품에서 구동되는 일부 애플리케이션에 영향을 미친다는 사실을 확인하고 보안 업데이트를 발표했다. NAS는 네트워크에 연결해 여러 사용자가 데이터를 저장하고 공유할 수 있도록 하는 장치다. 랜섬웨어 등 사이버 공격으로 원본 데이터가 손상됐을 때 이를 복구하기 위한 백업 저장소로도 쓰인다. 문제는 NAS 자체가 공격받으면 백업 데이터까지 훼손돼 피해 복구에도 차질이 생길 수 있다는 것이다.
시놀로지가 공개한 영향 대상은 워드프레스와 웹스테이션, 메일스테이션 등 PHP 기반 애플리케이션 10종이다. 시놀로지는 자사 NAS 운영체제인 '디스크스테이션 매니저(DSM)'의 버전별 보안 업데이트를 제공하고 이용자들에게 신속한 패치 적용을 권고했다.
한국인터넷진흥원(KISA)도 이날 시놀로지 캘린더와 메일스테이션, PHP에서 발생하는 취약점 2건을 안내하고 영향을 받는 버전의 이용자에게 최신 버전으로 업데이트할 것을 권고했다.
지니언스는 외부 스캔 툴에 의존해 IP를 일일이 수동으로 대입하는 방식으로는 내부망의 사각지대를 찾아낼 수 없다며 내부망 전체 자산의 정확한 ‘가시성 확보(식별)’가 선행돼야 한다고 강조했다.
김계연 지니언스 미국법인장 겸 최고기술책임자(CTO)는 "내부망에 위치한 관리형 장비들은 웹 콘솔 응답 데이터 및 내장 구성요소를 정밀 식별해야만 PHP 구동 여부를 파악할 수 있다"며 "특히 제조사 지원이 종료돼 공식 패치가 존재하지 않는 구형 장비나 패치 배포 전 단계의 장비는 교체 전까지 네트워크 접근을 즉시 차단·격리하는 선제적 통제가 필수적"이라고 말했다.
