지니언스, PHP 취약점 경고…“내부망 장비 96% 위험 노출”

최근 고위험 보안 취약점 'PHP투셸(PHP2Shell)'이 공개된 이후 위험 평가가 이뤄졌고, 그 결과 외부 웹서버보다 내부망 장비의 잠복 위협이 더 심각하다는 분석이 나왔다.

현재 보안 조치는 외부 스캔으로 식별된 공용 웹서버를 중심으로 이뤄지고 있지만, 내부망 네트워크 장비는 사이버 공격의 표적이 될 가능성이 높은 것으로 지목됐다.

지니언스는 30일 내부망의 NAS·공유기 등 네트워크 장비를 대상으로 주의를 당부했다.

지니언스는 공격자 침투 경로의 초점이 웹서버를 넘어 내부망 장비로 이동하고 있다는 점을 우려했다.

PHP투셸은 26일 미국 사이버안보·인프라보안국(CISA)의 '알려진 악용 취약점(KEV)' 목록에 등재됐으며, 이는 실제 악용 사례가 발견됐다는 의미다.

지니언스는 클라우드 NAC 플랫폼과 연동한 장비 식별 데이터를 분석한 결과, 내부망 PHP 운영 장비의 96%가 PHP투셸 취약점에 노출된 것으로 확인됐다고 경고했다. 또 확인된 장비의 89%는 외부 인터넷 스캐너로 접근할 수 없는 사설 IP 대역에 위치해 있어, 외부에서 보이지 않는 내부 사설 IP 대역의 취약 장비가 장악된 뒤 교두보로 활용되거나 랜섬웨어 유포에 악용될 가능성이 있다고 봤다.

취약 장비의 버전 분포를 보면 78%가 기술지원이 종료된 8.1 이하 구버전이었고, 48%는 2018년 지원이 종료된 5.x 이하 버전을 사용하고 있었다. 지니언스는 이처럼 구버전 PHP 사용 비중이 큰 점을 확인했다.

장비 구성에서는 전통적 서버의 비중이 24%였고, CTV·영상저장장치와 보안 솔루션의 비중이 20%, RFID 리더 등 IoT 기기의 비중이 17%로 집계됐다. 장비 유형이 미식별된 미확인 자산의 비중도 27%로 나타났다.

지니언스는 이 같은 분포를 토대로 보안 관리 사각지대의 기기가 다수 존재한다고 판단했다. 아울러 관리자들이 장비 내부에 PHP가 탑재된 사실을 인지하지 못한 채 방치하는 경우가 있었고, 이로 인해 관리 공백이 발생한 것으로 분석했다.

지니언스는 외부 스캔 도구로는 내부망에 숨은 사각지대를 식별할 수 없어 내부망 전체 자산 가시성 확보를 우선해야 한다고 강조했다. 지니언스는 외부 스캔만으로는 내부망 자산의 취약 노출 상태를 온전히 확인할 수 없다고 봤다.

김계연 지니언스 미국법인장·최고기술책임자(CTO)는 내부망의 관리형 장비는 웹 콘솔 응답 데이터와 내장 구성요소 확인을 통해서만 PHP 구동 여부를 파악할 수 있다고 설명했다. 이어 제조사 지원 종료로 공식 패치가 없는 구형 장비, 또는 패치 배포 전 단계 장비는 교체 전까지 네트워크 접근을 즉시 차단하고 격리할 필요가 있다고 밝혔다.

출처: 아이티데일리 (IT DAILY) · 김호준 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=242583

참고자료

• https://www.itdaily.kr/news/articleView.html?idxno=242583