아마존은 PHP2Shell 공격이 공개 전 시작됐다고 밝혔다

아마존 위협 인텔리전스는 PHP 취약점 PHP2Shell을 겨냥한 공격 시도가 공개보다 나흘 앞선 2026년 10월 17일 허니팟 MadPot에서 관측됐다고 밝혔다. 다만 해당 시도가 실제 시스템 침해에 성공했는지는 불분명하다.

아마존에 따르면 CVE-2026-109618과 CVE-2026-109619의 공개 유예는 2026년 10월 21일 14시(UTC)에 해제될 예정이었다. 공개 당일 02시께 개념증명(PoC) 익스플로잇이 처음 확인됐고, 02시부터 08시까지 익명화 인프라를 통해 추가 공격 시도가 관측됐다. 페이로드와 익명화 인프라가 서로 달라 여러 공격자가 관여했을 가능성이 있지만, 기술 분석은 진행 중이다. 공개 유예 해제와 패치 배포 뒤에는 몇 시간 안에 추가 PoC가 등장했고, 아마존은 PHP2Shell이 현재 광범위하게 악용되고 있다고 밝혔다.

아마존은 공개일이 가장 이른 공격 시점이라고 가정하지 말고, 조사 범위를 확인된 최초 공격 시점까지 거슬러 올라가라고 권고했다. 인터넷에 노출된 시스템의 중요 취약점은 패치와 완화 조치를 몇 시간 단위로 처리하고, 특정 CVE의 탐지 서명에만 의존하지 않는 탐지 체계를 마련해야 한다고도 제안했다. 아마존은 패치와 권고문을 바탕으로 익스플로잇을 만드는 데 드는 비용이 AI 보조 분석으로 낮아져, 기술 세부 정보 공개 후 공격이 몇 시간 또는 몇 분 안에 이뤄질 수 있다고 설명했다.

두 CVE를 완전히 해결하려면 수정된 PHP 버전으로 즉시 업그레이드해야 한다. 설정 변경만으로 두 취약점을 모두 해결하는 방법은 없다고 아마존은 밝혔다. 당장 패치할 수 없는 PHP 환경에서는 다중 부분 파일 업로드를 차단하는 방안을 고려할 수 있지만, 적용 전에 애플리케이션에 미칠 영향을 확인해야 한다. 또한 업로드 요청의 PHP_SESSION_UPLOAD_PROGRESS 문자열, 웹 서버 로그의 의심스러운 활동, 웹 애플리케이션 서버의 예상치 못한 프로세스 실행이나 파일 변경을 점검하라고 권고했다.

아마존이 공개한 관측 IP와 날짜는 다음과 같다. 이 주소에는 공유 익명화 인프라가 포함돼 있어 해당 공격에만 사용된다고 볼 수 없으므로, 아마존은 차단보다 관측 여부를 조사하라고 당부했다.

아마존은 내부 위협 인텔리전스 시스템이 취약점을 노린 악성 스캔을 자동으로 탐지하고 제한했다고 밝혔다. 회사는 분당 2,000억 건이 넘는 이벤트를 분석하고 MadPot 허니팟 네트워크의 위협 정보를 활용해 알려진 공격 시도를 실시간으로 식별·차단한다고 설명했다.