[서울=뉴시스]윤정민 기자 = 글로벌 보안기업 팔로알토네트웍스가 웹 개발 언어 'PHP'의 보안 결함을 악용한 자사 방화벽 공격을 공식 확인했다. 앞서 한국 등을 표적으로 삼아 전 세계 서버 25대를 장악한 것으로 분석된 공격에 자사 방화벽과 관리 서버가 뚫린 것이다.

팔로알토는 29일(현지 시간) 인터넷에 관리 화면이 노출된 'PAN-OS'를 겨냥해 'PHP2Shell' 취약점이 실제 악용되고 있다고 밝혔다.

PAN-OS는 팔로알토의 방화벽 등에 쓰이는 운영체제(OS)다. 관리 화면은 운영자가 장비 설정과 보안 정책을 확인하거나 바꾸는 데 이용한다. PHP2Shell은 로그인하지 않은 공격자가 메모리 처리 오류를 악용해 서버에서 원하는 명령을 실행할 수 있는 결함이다.

앞서 이스라엘 보안기업 드림은 공격자가 한국, 미국, 일본, 대만의 방화벽 240대를 표적으로 선정한 뒤 방화벽 24대와 내부 관리 서버 1대 등 총 25대를 장악한 정황을 분석했다.

드림은 추가 조사 결과 29일 공격받은 장비가 특정 버전의 PAN-OS를 사용하는 제품이라고 밝혔다. 팔로알토와 조사에 협력하고 있다는 내용도 추가했다.

공격자는 PHP2Shell로 명령을 실행할 발판을 확보하고 리눅스 OS의 핵심 프로그램인 '커널' 결함까지 악용했다. 이를 통해 시스템 전체를 통제할 수 있는 최고 관리자 권한을 얻었다. 일부 방화벽에서는 내부망으로 연결 통로를 만든 뒤 중앙관리 서버까지 침투했다.

팔로알토는 드림이 보고한 공격과 관련해 동일 공격자의 도구를 독립적으로 검증하고 보고된 공격 결과를 확인했다고 설명했다.

이어 인터넷에서 관리 화면에 접근할 수 있는 환경의 위험도를 'CVSS 4.0' 기준 10점 만점에 9.2점인 '치명적' 등급으로 평가했다. 대응 긴급성도 최고 수준으로 제시했다.

팔로알토는 관리 화면에 대한 인터넷 접근을 허용했다면 즉시 차단하라고 권고했다. 신뢰할 수 있는 내부 IP 주소에서만 접속하도록 제한하고 PAN-OS 보안 업데이트도 적용해야 한다고 안내했다.

팔로알토에 따르면 기본 설정에서는 관리 화면이 인터넷에 노출되지 않는다. 관리 화면을 인터넷에 노출하도록 설정해 영향을 받은 비중은 전 세계 자사 제품 설치 기반의 약 0.02%다. 회사는 해당 고객들에게 개별 연락했으며 조사를 계속하고 있다고 밝혔다.

운영자는 일반 웹서버의 PHP 업데이트와 별개로 보안장비에 설치된 PAN-OS 버전도 확인해야 한다. 이번 취약점은 PA 시리즈·VM 시리즈 방화벽과 중앙관리 제품 '파노라마'에 적용되는 PAN-OS에 영향을 미친다.

팔로알토는 제공된 보안 업데이트를 적용하면 이번에 관측한 공격 경로를 차단할 수 있다고 설명했다. 운영자는 사용 중인 제품과 버전에 맞는 수정본을 확인해 적용해야 한다.

한편 한국인터넷진흥원(KISA)도 팔로알토 제품의 보안 업데이트를 권고했다. PAN-OS에 포함된 PHP 취약점 두 건의 영향을 받는 버전과 수정 버전을 안내했다. 장비에 적용할 업데이트는 PHP 개발팀이 배포하는 일반 PHP 버전과 구분해 확인해야 한다고 강조했다.


◎공감언론 뉴시스 alpaca@newsis.com