Amazon, 공개 4일 전에 PHP2Shell 제로데이 공격을 포착하다
Amazon identifies Oct 17 PHP2Shell exploitation prior to public disclosure
Amazon Threat Intelligence가 MadPot 허니팟 텔레메트리에서 CVE-2026-109618과 CVE-2026-109619의 공개일인 10월 21일보다 나흘 앞선 10월 17일의 PHP2Shell 익스플로잇 시도를 확인했다. 공격은 상용 익명화 네트워크 IP에서 비롯됐으며, 엠바고 해제 직후 몇 시간 안에 다수의 PoC가 등장해 곧바로 실제 공격에 쓰였다. AWS는 패치 기한을 시간 단위로 재고, 공개일이 아닌 최초 익스플로잇 시점부터 조사할 것을 권고한다.
엠바고는 누군가 같은 버그를 먼저 찾아낼 때까지만 방어자를 보호한다. 조율된 공개는 여전히 옳은 모델이지만, 방어자는 공개일이 곧 최초의 익스플로잇 날짜라고 가정해서는 안 된다.
HN 토론
86- andyvanosdale
만약 이게 10월 17일에 프로빙되거나 익스플로잇되고 있었다면, 이는 PHP 팀이 공개 성명에서 Chainguard를 깎아내린 것에 의문을 제기하게 만든다.
본질적으로 PHP 팀은 자신들이 만든 이 엉망진창 속에서 책임을 회피하고 자신들의 책임을 포기하고 있다. "Chainguard가 엠바고를 깼다", "돈으로 우리를 지원해달라", "우리는 그저 자원봉사자일 뿐이다", "우리는 몇 년 전에 알고 있었지만 보안 수정이 아니라 기능 출시를 하고 싶어서 POC가 없었다". 전부 다 책임 회피일 뿐이다.
이 사태는 내가 참여하는 어떤 프로젝트에도 PHP를 절대 쓰지 않겠다는 것을 보여준다. PHP 팀은 완전히 일을 망쳤고, 사방팔방으로 비난을 떠넘기고 있다.
- hyperpape
Matthew Prince의 트윗도 있는데, Cloudflare가 발표 전에 수천 건의 시도를 목격했고, https://x.com/eastdakota/status/2113079352682570051 이후 발표 후에는 수만 건, 그리고 지금은 수백만 건을 목격했다고 한다.
안타깝게도, 발표문을 14:00 UTC를 가리키는 것으로 읽는다면, 그건 Chainguard가 이미지를 공개한 지 몇 시간 후다. 사람들이 Chainguard 빌드를 보고 그것들로부터 문제를 이해하고 익스플로잇을 만들었을 가능성이 있는지는 모르겠지만, 정확한 타임라인이 있으면 더 잘 이해하는 데 도움이 될 것이다.
- VladVladikoff
서버 로그에서 이것에 대한 프로빙은 봤지만 실제 익스플로잇은 못 봤다. 봇넷들이 취약점 스캐너에 이걸 추가한 것 같은데, 실제로 동작하는 익스플로잇 사례는 아직 못 봤다. github에는 바이브 코딩된 시도가 수백 개 있지만 내가 아는 한 동작하는 건 없다. 누가 내가 틀렸다는 걸 증명해주면 좋겠다.
그리고 Amazon의 이 게시물은 창피하다. 그들은 17일부터 이걸 알고 있었는데도 엠바고 일정을 지키지 못했고 Amazon Linux를 패치하지 못했다(그들의 패치는 10월 22일인 오늘 공개될 예정이다).
- decidu0us9034
"익스플로잇 시도"라는 표현은 명확성이 부족하다. 봇 스캐너들은 끊임없이 엄청난 양의 이상한 트래픽을 생성한다. 실험실 환경이 아니라 실제 이기종 환경에서 동작하는, 이식 가능하고 신뢰할 수 있는 익스플로잇을 가진 사람이 있나, 그리고 그게 애초에 실현 가능한가? 그런 것 같지 않다. LLM은 실용적인 익스플로잇 개발을 자동화하지만, 애초에 그것들을 어렵게 만드는 모든 제약을 없애주지는 않는다. 사람들이 이걸 놓치고 있는 것 같다, 잘 모르겠다
- menomatter
그들은 시도와 성공적인 침투를 구분하고 있나? 이 익스플로잇이 사용하기 쉬운지 아닌지 이해하려고 한다. 어제 여기 올라온 글에서는 이 익스플로잇이 사용하기 쉽지 않고 LFI가 필요하다고 주장했다.