지니언스, PHP2Shell 진짜 뇌관은 내부망…"NAS·공유기 즉시 점검·패치 시급"

치명적인 보안 취약점 'PHP2Shell'이 실제 공격에 악용되고 있는 가운데 기업 외부에 공개된 웹서버뿐 아니라 내부망에 연결된 NAS(네트워크 연결 스토리지), 공유기, 방화벽 등 네트워크 장비에 대한 점검이 시급하다는 분석이 나왔다.

AI 보안 통합 플랫폼 기업 지니언스 는 30일 기업 및 기관의 내부망에 존재하는 PHP 기반 장비가 사이버 공격의 새로운 표적이 될 수 있다며 내부 자산에 대한 즉각적인 점검과 선제적 조치를 촉구했다.

현재 기업과 기관의 취약점 대응은 외부 스캔 등을 통해 확인되는 공용 웹서버 중심으로 이뤄지는 경우가 많다. 그러나 공격자들이 웹서버를 넘어 외부에서는 확인하기 어려운 내부망의 NAS와 공유기, 보안 장비 등을 침투 경로로 활용할 가능성이 커지고 있다는 게 지니언스의 설명이다.

PHP2Shell 취약점은 지난 26일 미국 사이버안보·인프라보안국(CISA)의 '알려진 악용 취약점(KEV)' 목록에 공식 등재됐다. 실제 공격에 악용되고 있다는 의미다. 특히 공격자가 외부에서 직접 접근하기 어려운 내부 사설 IP 대역의 취약 장비를 장악한 뒤 이를 내부 침투 확산(Lateral Movement)의 거점으로 활용하거나 랜섬웨어를 유포할 가능성이 있다는 설명이다.

지니언스가 클라우드 NAC 플랫폼에 연동된 실제 장비 식별 데이터를 분석한 결과도 이 같은 우려를 뒷받침한다. 내부망에서 PHP 환경을 구동하는 장비 가운데 96%가 PHP2Shell 취약점에 직접 노출된 것으로 나타났다.

취약 장비 가운데 78%는 PHP 공식 지원이 종료된 8.1 이하 버전을 사용하고 있었다. 특히 2018년 지원이 종료된 5.x 이하 버전을 사용하는 장비도 48%에 달했다.

문제는 취약 장비의 상당수가 일반적인 서버가 아니라는 점이다. 전체 장비 가운데 전통적인 서버는 24%에 불과했다. CCTV·영상저장장치와 보안 솔루션이 20%, RFID 리더 등 사물인터넷(IoT) 기기가 17%를 차지했다. 장비 유형조차 확인되지 않은 미확인 자산도 27%에 달했다.

외부에서 발견하기 어려운 내부망 장비라는 점도 위험을 키우는 요인이다. 확인된 장비의 89%가 외부 인터넷 검색엔진 스캐너로 접근할 수 없는 사설 IP 대역에 위치한 것으로 나타났다. 관리자가 해당 장비에 PHP가 탑재돼 구동되고 있다는 사실 자체를 파악하지 못한 채 장기간 방치될 가능성이 있다는 것이다.

지니언스는 외부 스캔 도구에 의존해 IP를 개별적으로 확인하는 방식만으로는 내부망에 존재하는 보안 사각지대를 찾아내기 어렵다고 지적했다. 내부망에 연결된 전체 자산을 정확하게 식별하고 가시성을 확보하는 것이 우선이라는 설명이다.

김계연 지니언스 미국법인장·최고기술책임자(CTO)는 "내부망에 위치한 관리형 장비들은 웹 콘솔 응답 데이터 및 내장 구성요소를 정밀 식별해야만 PHP 구동 여부를 파악할 수 있다"며 "특히 제조사 지원이 종료돼 공식 패치가 존재하지 않는 구형 장비나 패치 배포 전 단계의 장비는 교체 전까지 네트워크 접근을 즉시 차단·격리하는 선제적 통제가 필수적"이라고 말했다.

지니언스는 자사의 '지니안 NAC' 자산 식별 기술을 에이전틱 인공지능(Agentic AI) 기반으로 고도화해 차세대 자산 및 위협 인텔리전스 플랫폼을 개발하고 있다.

핵심 기술인 CAASM(사이버 자산 공격 표면 관리·Cyber Asset Attack Surface Management)은 기업과 기관이 보유한 내부 IT 자산을 실시간으로 파악하고 통합 관리하는 보안 기술이다.

지니언스는 인공지능 에이전트가 제조사의 보안 권고와 패치 정보, 취약점 동향을 수집·분석하고 고객 자산과 실시간으로 매핑하는 방식으로 외부 스캔만으로 파악하기 어려운 내부망 공격 표면의 사각지대를 줄인다는 방침이다. 이를 통해 기업과 기관의 사이버 위협을 선제적으로 예방하고 차단한다는 계획이다.

장효원 기자 specialjhw@asiae.co.kr

기자가 작성하고 AI가 부분 보조한 기사입니다.