기업 내부망 장비 96% PHP 취약점 노출…"패치 불가 장비 즉시 격리"

취약 장비 78%는 지원이 종료된 구버전 사용
89%는 외부 탐지 어려운 사설 IP 대역에 위치

[파이낸셜뉴스] 전세계 기업 내부망의 PHP 구동 장비 중 96%가 치명적인 보안 취약점 'PHP2Shell'에 노출돼 있다는 분석이 나왔다. 더구나 취약 장비 상당수가 지원이 종료된 구형 소프트웨어를 사용하고 외부에서 탐지하기 어려운 사설망에 위치해있어, 기존 보안 점검만으로는 대응에 한계가 있다는 지적이다.

보안 전문업체 지니언스는 30일 클라우드 네트워크 접근제어(NAC) 플랫폼에 축적된 장비 식별 데이터를 분석한 결과, 기업 내부망에 연결된 각종 네트워크 장비에서 PHP2Shell 취약점이 광범위하게 확인됐다고 밝혔다.

분석 결과 PHP를 구동하는 내부망 장비 중 96%가 PHP2Shell 취약점에 노출된 것으로 조사됐다. 취약 장비의 78%는 공식 지원이 종료된 PHP 8.1 이하 버전을 사용하고 있었으며, 이 가운데 PHP 5.x 이하 버전을 구동하는 장비도 전체 취약 장비의 48%에 달했다.

취약 장비는 일반적인 웹서버 외에도 다양한 네트워크 기기에 분포했다. 전통적인 서버는 24%였으며 CCTV·영상저장장치와 보안 솔루션이 20%, RFID 리더 등 사물인터넷(IoT) 기기가 17%를 차지했다. 장비 유형조차 파악되지 않은 미확인 자산도 27%에 달했다.

특히 확인된 장비의 89%는 외부 인터넷 검색엔진이나 스캐너로 접근할 수 없는 사설 인터넷프로토콜(IP) 대역에 위치했다. 외부에 공개된 웹서버를 중심으로 취약점을 점검하는 기존 방식으로는 내부망에 숨어 있는 취약 장비를 식별하기 어렵다는 의미다.

PHP2Shell은 별도 인증 없이 원격에서 시스템 제어권을 탈취할 수 있는 치명적인 보안 취약점이다. 지난 26일 미국 사이버안보·인프라보안국(CISA)의 '알려진 악용 취약점(KEV)' 목록에 등재되면서 실제 공격에 악용된 사실이 확인됐다.

지니언스는 공격 대상이 외부 웹서버를 넘어 내부망의 네트워크 연결 스토리지(NAS), 공유기, 방화벽 등으로 확대될 가능성을 경고했다. 공격자가 취약 장비를 장악하면 이를 거점으로 내부망의 다른 시스템에 침투하거나 랜섬웨어를 유포할 수 있다는 설명이다.
이에 외부 스캔과 웹서버 패치에 집중된 기존 보안 대응에서 벗어나 내부망 전체 자산에 대한 식별과 관리가 필요하다고 강조했다. 특히 제조사 지원이 종료돼 패치가 불가능한 구형 장비는 교체 전까지 네트워크 접근을 차단하거나 격리해야 한다고 권고했다.

김계연 지니언스 미국법인장 겸 최고기술책임자(CTO)는 "내부망에 위치한 관리형 장비들은 웹 콘솔 응답 데이터 및 내장 구성요소를 정밀 식별해야만 PHP 구동 여부를 파악할 수 있다"며 "특히 제조사 지원이 종료돼 공식 패치가 존재하지 않는 구형 장비나 패치 배포 전 단계의 장비는 교체 전까지 네트워크 접근을 즉시 차단·격리하는 선제적 통제가 필수적"이라고 강조했다.

[email protected] 최혜림 기자