- 공격자들은 PHP2Shell을 사용하여 Mirai 기반의 Potassium DDoS 봇넷을 설치하려고 시도하고 있습니다.
- 연구자들은 광범위한 취약점 공격 시도를 목격했으나, 10월 23일 기준 공개적으로 확인된 대규모 침해 사례는 없습니다.
- 실제 운영 환경에서 작동하는 익스플로잇이 존재함에 따라, 관리자들이 취약한 PHP 설치를 패치해야 하는 압박이 커지고 있습니다.
“실효성이 있으며 매우 심각한 수준입니다.”
— 존 할트퀴스트, 구글, 더 레코드 인용.
호스팅 및 암호화폐 운영자가 DDoS 봇넷을 우려하는 이유
더 광범위한 위협은 이미 상당합니다. 클라우드플레어는 2026년 상반기 동안 초당 1테라비트를 초과하는 935건의 DDoS 공격을 기록했습니다.
해당 공격들은 Potassium으로 귀속되지 않았습니다. 그럼에도 불구하고 이는 호스팅 제공업체, 결제 처리 업체 및 암호화폐 플랫폼이 직면한 혼란을 보여줍니다. PHP2Shell과 관련된 재무적 손실은 아직 보고되지 않았습니다.
PHP의 새로운 권고사항 및 주의 사항
10월 23일, PHP는 비정상적인 애플리케이션 구성과 관련된 또 다른 문제 CVE-2026-115560를 공유했습니다. 정식 수정이 제공되기 전까지 session.upload_progress.enabled=0을 권장하며, 이는 CVE-2026-109619에 대한 완화 조치이기도 합니다.
관리자는 PHP 8.5.12, 8.4.27, 8.3.36 또는 8.2.35를 설치하고, 워커를 재시작하며, 의심스러운 다운로드를 모니터링해야 합니다.
코발트의 CISO 앤드류 오바디아루는 이러한 조용한 기간이 다음과 같다고 경고했습니다.
“빌린 시간입니다.”
— 앤드류 오바디아루, 코발트, 더 레코드 인용.
“쓰레기이며 기능하지 않습니다.”
— 스펜서 맥나이트, 벌넥크, 더 레코드 인용.
그 보호 장치는 완벽하지 않습니다. 벌넥크는 프로덕션 환경에서 구성된 PHP 8.4.26에서 ASLR을 우회하는 개인 익스플로잇을 개발했으며, 이후 선택된 8.4 및 8.5 빌드에 대한 지원을 확장했습니다.
구글의 존 훌트퀴스트는 해당 위협을 다음과 같이 평가했습니다:
“실효성이 있으며 매우 심각한 수준입니다.”
— 존 할트퀴스트, 구글, 더 레코드 인용.
호스팅 및 암호화폐 운영자가 DDoS 봇넷을 우려하는 이유
더 광범위한 위협은 이미 상당합니다. 클라우드플레어는 2026년 상반기 동안 초당 1테라비트를 초과하는 935건의 DDoS 공격을 기록했습니다.
해당 공격들은 Potassium으로 귀속되지 않았습니다. 그럼에도 불구하고 이는 호스팅 제공업체, 결제 처리 업체 및 암호화폐 플랫폼이 직면한 혼란을 보여줍니다. PHP2Shell과 관련된 재무적 손실은 아직 보고되지 않았습니다.
PHP의 새로운 권고사항 및 주의 사항
10월 23일, PHP는 비정상적인 애플리케이션 구성과 관련된 또 다른 문제 CVE-2026-115560를 공유했습니다. 정식 수정이 제공되기 전까지 session.upload_progress.enabled=0을 권장하며, 이는 CVE-2026-109619에 대한 완화 조치이기도 합니다.
관리자는 PHP 8.5.12, 8.4.27, 8.3.36 또는 8.2.35를 설치하고, 워커를 재시작하며, 의심스러운 다운로드를 모니터링해야 합니다.
코발트의 CISO 앤드류 오바디아루는 이러한 조용한 기간이 다음과 같다고 경고했습니다.
“빌린 시간입니다.”
— 앤드류 오바디아루, 코발트, 더 레코드 인용.
공격자들은 취약한 PHP 서버를 Mirai 계열 네트워크의 일부인 Potassium 봇으로 전환하려 하고 있으며, 이는 분산 서비스 거부(DDoS) 공격을 목적으로 합니다. 하지만 지금까지 그들은 어려움을 겪고 있습니다. 더 해커 뉴스 10월 23일 현재 서버 침해 사례는 확인되지 않았다고 보도했습니다.
사이버 공격의 주요 표적이 된 두 가지 주요 PHP 취약점 — CVE-2026-109618 및 CVE-2026-109619 — 은 모두 심각도 기준으로 10점 만점에 9.2점을 받았습니다. PHP는 패치를 10월 21일에 제공했지만, 그 시점에는 해커들이 이미 이러한 취약점을 대상으로 공격을 시작하고 있었습니다.
Sophos가 처음 보고했다가 철회한 내용
아틱 울프는 시도된 명령 실행 및 악성코드 다운로드가 Potassium에 기인한다고 보고했습니다. 샌드박스 환경에서 수행된 또 다른 평가는 134.199.154[.]64 IP를 통해 TCP 포트 50792에서 thunder.godofthunder[.]st로 연결하고 두 개의 우크라이나 호스트를 공격한 서로 다른 샘플을 발견했습니다.
이는 악성코드의 잠재력을 보여주었을 뿐, 공격자가 프로덕션 서버에 침투했음을 의미하지는 않습니다. 10월 22일, Sophos는 이전의 성공 발표를 철회하며 더 레코드(The Record)에 실패한 공격 시도만 관찰했다고 밝혔습니다.
수백만 건의 탐지 시도, 확인된 침입은 제로
하지만 이러한 수치는 공격자들이 얼마나 광범위하게 탐색하고 있는지를 나타냅니다. 임페르바(Imperva)는 24시간 동안 103개국의 21,998개 사이트에 대한 122,311세션에서 총 482,342회의 요청 시도를 기록했습니다.
동시에, 센서스(Censys)는 10월 22일까지 영향을 받는 버전을 실행 중인 인터넷 공개 PHP 서비스가 4,100만 개 이상 감지되었으며, 패치된 버전의 소프트웨어 배포 사례는 약 100만 건에 불과하다고 보고했습니다. 스캔 incidents 또는 노출된 개인 수를 반영하는 이러한 숫자는 실제 침해 사고가 발생했음을 입증하기에는 불충분합니다.
24 폭풍 명령어와 대기 상태의 ENS 스위치
Arctic Wolf이 24가지의 Flood 명령어에는 모든 유형의 ICMP, TCP, UDP 및 Open VPN이 포함됨을 밝혔습니다. 또한 ARM 및 x86-64 Potassium 버전 모두에서 Ethereum Name Service(ENS) 조회 기능이 존재하지만, 두 경우 모두 비활성화되어 있습니다.
이더리움과 ENS는 침해되지 않았습니다. 그러나 ENS 조회 기능을 활성화하면 기존 DNS 및 IP 제어 방식을 사용한 명령 서버 차단이 더 어려워질 수 있습니다.
쓰레기 수준의 PoC versus 실제 작동하는 개인 익스플로잇
많은 공개 proof-of-concept(PoC) 익스플로잇은 특히 주소 공간 레이아웃 무작위화(ASLR)와 같은 프로덕션 방어 시스템에서 실패합니다. VulnCheck의 Spencer McIntyre는 유포 중인 많은 샘플들을 다음과 같이 설명했습니다:
“쓰레기이며 기능하지 않습니다.”
— 스펜서 맥나이트, 벌넥크, 더 레코드 인용.
그 보호 장치는 완벽하지 않습니다. 벌넥크는 프로덕션 환경에서 구성된 PHP 8.4.26에서 ASLR을 우회하는 개인 익스플로잇을 개발했으며, 이후 선택된 8.4 및 8.5 빌드에 대한 지원을 확장했습니다.
구글의 존 훌트퀴스트는 해당 위협을 다음과 같이 평가했습니다:
“실효성이 있으며 매우 심각한 수준입니다.”
— 존 할트퀴스트, 구글, 더 레코드 인용.
호스팅 및 암호화폐 운영자가 DDoS 봇넷을 우려하는 이유
더 광범위한 위협은 이미 상당합니다. 클라우드플레어는 2026년 상반기 동안 초당 1테라비트를 초과하는 935건의 DDoS 공격을 기록했습니다.
해당 공격들은 Potassium으로 귀속되지 않았습니다. 그럼에도 불구하고 이는 호스팅 제공업체, 결제 처리 업체 및 암호화폐 플랫폼이 직면한 혼란을 보여줍니다. PHP2Shell과 관련된 재무적 손실은 아직 보고되지 않았습니다.
PHP의 새로운 권고사항 및 주의 사항
10월 23일, PHP는 비정상적인 애플리케이션 구성과 관련된 또 다른 문제 CVE-2026-115560를 공유했습니다. 정식 수정이 제공되기 전까지 session.upload_progress.enabled=0을 권장하며, 이는 CVE-2026-109619에 대한 완화 조치이기도 합니다.
관리자는 PHP 8.5.12, 8.4.27, 8.3.36 또는 8.2.35를 설치하고, 워커를 재시작하며, 의심스러운 다운로드를 모니터링해야 합니다.
코발트의 CISO 앤드류 오바디아루는 이러한 조용한 기간이 다음과 같다고 경고했습니다.
“빌린 시간입니다.”
— 앤드류 오바디아루, 코발트, 더 레코드 인용.
이 글을 읽고 계신다면, 이미 앞서 나가고 있습니다. 뉴스레터로 그 위치를 유지하세요.
자주 묻는 질문
Potassium란 무엇인가?
Potassium는 Synthient가 2026년 3월에 처음 발견한 Mirai 계열 봇넷 변종으로, Sophos에 따르면 이제 다운로드어 및 네트워크 방해 코드를 탑재하고 ICMP, TCP, UDP, OpenVPN 등 다양한 프로토콜을 통해 DDoS 공격을 수행할 수 있습니다.
PHP2Shell을 통해 실제로 서버가 침해당한 사례가 있나요?
아니요. Sophos는 10월 22일 성공적인 악용에 대한 이전 주장을 철회했으며, Google, VulnCheck 및 기타 연구자들은 시도 사례는 확인되었으나 원격 코드 실행의 성공적인 사례는 아직 확인되지 않았다고 밝혔습니다.
어떤 PHP 버전에서 해당 결함이 수정되었나요?
PHP는 8.5.12, 8.4.27, 8.3.36, 8.2.35 버전에서 10월 21일 패치를 출시했으며, 관리자는 인터넷에 노출된 시스템을 우선적으로 패치하고 웹 서버 프로세스가 패치된 런타임을 실행하는지 확인해야 합니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
마이아 비오둔
미카 아비오둔은 탈린 공과대학교 (TalTech) 에서 환경공학 및 관리 석사 학위를 바탕으로 크립토폴리탄에서 콘텐츠와 가격 예측 뉴스를 다듬고 있습니다. 현재 암호화폐 미디어 업계 7년 차인 그는 주요 암호화폐, 알트코인, DeFi, 스테이블코인, 거시 동향 및 신기술을 다루고 있습니다.
