Amazon: PHP2Shell 공격은 패치 4일 전에 시작되어 현재 광범위하게 악용되고 있습니다.

전체 보고서

Amazon의 위협 인텔리전스 팀은 10월 22일 보안 블로그 게시물에서 자사의 MadPot 허니팟 네트워크가 10월 17일에 첫 번째 PHP2Shell 익스플로잇 시도를 기록했지만 해당 취약점은 여전히 금지되어 있다고 밝혔습니다(공개 릴리스는 10월 21일 14:00 UTC). 해당 시도는 상업용 익명화 네트워크에 연결된 IP 주소에서 이루어졌습니다. Amazon의 최고 정보 보안 책임자인 CJ Moses는 "해커가 공개되기 전에 어떻게 익스플로잇 정보를 획득했는지는 불분명합니다"라고 말했습니다.

10월 21일 Amazon은 패치 출시 약 12시간 전 가장 이른 시점에 여러 개념 증명 공격을 목격했습니다. 페이로드와 익명화된 인프라는 다양하여 여러 별개의 행위자가 있음을 시사합니다. 패치가 출시된 지 몇 시간 만에 Amazon 센서에 대한 새로운 공격이 시작되었습니다. Amazon은 이제 PHP2Shell을 "야생에서 광범위하게 악용되고 있다"고 설명하고 있으며 Cloudflare에서 확인한 시도는 수백만 건에 달했습니다.

Dataminr는 같은 날 관찰된 활동이 스캐닝, 지문 채취 및 작동하지 않는 익스플로잇으로 제한되어 있으며 알려진 손상은 없지만 작동하는 익스플로잇은 시간 문제일 뿐이라고 밝혔습니다.

배경

이 결함은 모든 PHP 7.x 및 8.x 릴리스에 영향을 미치며 Calif, OpenAI 및 Google 소유 Wiz의 연구원들이 발견했습니다. 버그가 있는 코드는 OpenAI가 자금을 지원한 8월 감사에서 AI 모델을 사용하여 실제로 악용할 수 있음을 보여줄 때까지 수년간 PHP에 있었습니다. 이것이 "PHP2Shell" 이름의 유래입니다. 수정된 릴리스: PHP 8.5.12, 8.4.27, 8.3.36 및 8.2.35.

Amazon의 조언: PHP를 업그레이드하는 것이 유일한 완전한 문제 해결 방법입니다. 조사는 10월 17일부터 시작되어야 한다. 아직 패치할 수 없는 시스템은 무엇이 중단되었는지 테스트한 후 멀티파트 파일 업로드 차단을 고려할 수 있습니다.