최근 인증 없이 원격으로 시스템 제어권을 탈취할 수 있는 치명적 보안 취약점 'PHP2Shell'이 공개된 가운데, 외부 인터넷에 노출된 웹서버보다 기업 내부망에 숨어 있는 장비의 보안 위협이 더 심각하다는 경고가 나왔다.
보안 플랫폼 기업 지니언스는 자사 클라우드 NAC 플랫폼에 연동된 장비로부터 축적된 식별 데이터를 분석한 결과, 내부망에서 PHP 환경을 구동 중인 장비 중 96%가 PHP2Shell 취약점에 직접 노출돼있다고 30일 밝혔다. 취약 장비 중 78%는 PHP 공식 지원이 중단된 8.1 이하 구버전이었고, 2018년에 지원이 종료된 5.x 이하 버전을 구동 중인 장비도 48%에 달했다.
장비 구성도 전통 서버는 24%에 불과했으며, CCTV·영상저장장치·보안 솔루션(20%), RFID 리더 등 IoT 기기(17%), 장비 유형조차 식별되지 않은 미확인 자산(27%) 등 보안 사각지대에 놓인 기기가 많았다. 특히 확인된 장비의 89%는 외부 인터넷 검색엔진 스캐너로는 접근이 불가능한 사설 IP(내부망) 대역에 있었다. 관리자가 해당 장비 내부에 PHP가 탑재되어 구동 중이라는 사실 자체를 인지하지 못해 장기간 방치되는 구조적 문제를 안고 있는 셈이다.
지니언스는 인터넷 접점이나 기업 내부망에 연결된 NAS(네트워크 연결 스토리지)·공유기 등 네트워크 장비, 방화벽 등이 사이버 공격의 다음 핵심 타깃이 될 가능성이 높다고 경고했다. 지니언스는 기업·기관의 즉각적인 내부 자산 점검과 선제 조치가 필요하다고 덧붙였다. 현재 대다수 기업·기관의 보안 조치는 취약점 진단 엔진이나 외부 스캔으로 식별된 공용 웹서버 중심의 패치 권고에 머물러 있다.
실제로 PHP2Shell 취약점은 지난 26일 미국 사이버안보·인프라보안국(CISA)의 '알려진 악용 취약점(KEV)' 목록에 공식 등재됐다. 특히 공격자들은 외부에서 보이지 않는 내부 사설 IP 대역의 취약 장비를 장악한 뒤, 이를 내부 침투 확산(Lateral Movement)의 교두보로 삼거나 랜섬웨어를 유포하는 방식을 취하고 있다. 최근 국내에서도 취약한 스토리지 기기를 노린 랜섬웨어 감염 피해가 연이어 보고됐다.
지니언스는 외부 스캔 툴에 의존해 IP를 일일이 수동으로 대입하는 방식으로는 내부망의 사각지대를 찾아낼 수 없으며, 내부망 전체 자산의 정확한 '가시성 확보(식별)'가 선행돼야 한다고 설명했다.
지니언스는 '지니안 NAC'가 보유한 자산 식별 기술을 에이전틱 AI 기반으로 고도화해 차세대 자산·위협 인텔리전스 플랫폼을 개발하고 있다. 플랫폼의 핵심인 CAASM(사이버 자산 공격 표면 관리)은 기업이나 기관이 보유한 모든 내부 IT 자산을 실시간 파악하고 통합 관리하는 사이버 보안 기술 및 전략이다.
김계연 지니언스 미국법인장·CTO(최고기술책임자)는 "내부망에 위치한 관리형 장비는 웹 콘솔 응답 데이터 및 내장 구성요소를 정밀 식별해야만 PHP 구동 여부를 파악할 수 있다"며 "제조사 지원이 종료돼 공식 패치가 존재하지 않는 구형 장비나 패치 배포 전 단계의 장비는 교체 전까지 네트워크 접근을 즉시 차단·격리하는 선제적 통제가 필수적"이라고 밝혔다.