지니언스 "PHP2Shell, 공유기·방화벽 등 내부망 장비 위험"…96% 취약점 노출

지니언스 "외부 공개 웹서버 점검만으론 부족…다음 타깃은 기업 내부망 장비"

취약 장비 78%는 지원 종료된 구버전…89%는 외부 접근 어려운 사설 IP

NAS·공유기·보안 장비 등 점검 필요…패치 불가 장비는 격리 권고

지니언스 CI [사진=지니언스]

인증 없이 원격에서 시스템 제어권을 탈취할 수 있는 보안 취약점 'PHP투쉘(2Shell)'이 공개된 가운데 외부 웹서버뿐 아니라 기업 내부망에 연결된 네트워크 장비의 보안 점검 필요성이 제기됐다. 특히 네트워크 연결 스토리지(NAS)와 공유기, 방화벽 등 내부 장비가 사이버 공격의 주요 표적이 될 수 있다는 지적이다.

지니언스는 기업 내부망에 연결된 네트워크 장비의 보안 위협이 커지고 있다며 기업과 기관에 내부 자산 점검과 선제적인 보안 조치를 권고한다고 30일 밝혔다.

지니언스는 공격자들의 침투 경로가 이미 웹서버를 넘어 내부망의 NAS, 공유기, 보안 장비로 이동하고 있다고 봤다. 하지만 현재 대다수 기업과 기관의 보안 조치가 취약점 진단 엔진이나 외부 스캔을 통해 식별된 공용 웹서버 중심의 패치 권고에 머물러 있다는 지적이다. 

실제로 PHP2Shell 취약점은 지난 10월 26일 미국 사이버안보·인프라보안국(CISA)의 '알려진 악용 취약점(KEV)' 목록에 공식 등재되며 실제 악용이 확인됐다. 공격자들은 외부에서 보이지 않는 내부 사설 IP 대역의 취약 장비를 장악한 뒤, 이를 내부 침투 확산의 교두보로 삼거나 랜섬웨어를 유포하는 방식을 이용하고 있다.

지니언스는 이번 취약점의 주요 위험 요인으로 공격 대상이 외부에 공개된 웹서비스뿐 아니라 기업 내부망의 장비 관리 인터페이스까지 확대됐다는 점을 꼽았다.

지니언스는 최근 국내에서도 취약한 스토리지 기기를 노린 랜섬웨어 감염 피해가 연이어 보고되는 등 위험이 구체화되고 있다고 설명했다. 

회사에 따르면 실제 기업 고객 환경에서 수집한 장비 식별 데이터를 분석해 내부망의 보안 취약 현황이 확인됐다. 

지니언스가 클라우드 기반 네트워크 접근제어(NAC) 플랫폼에 연동된 장비 식별 데이터를 분석한 결과, 내부망에서 PHP를 구동하는 장비의 96%가 PHP2Shell 취약점에 노출된 것으로 나타났다. 취약 장비의 78%는 공식 지원이 종료된 PHP 8.1 이하 구버전을 사용하고 있었다. 2018년 지원이 종료된 PHP 5.x 이하 버전을 사용하는 장비도 48%에 달했다.

장비 유형별로는 전통적인 일반 서버가 24%에 그쳤다. CCTV·영상저장장치와 보안 솔루션이 20%, RFID 리더 등 사물인터넷(IoT) 기기가 17%를 차지했다. 장비 유형을 식별하지 못한 자산도 27%로 집계됐다.

특히 확인된 장비의 89%는 외부 인터넷 검색엔진이나 스캐너로 접근할 수 없는 사설 내부망(IP) 대역에 위치했다. 지니언스는 관리자가 내부 장비에 PHP가 설치돼 있다는 사실을 인지하지 못해 취약점이 장기간 방치될 가능성이 있다고 설명했다.

회사는 또 이에 따라 외부 스캔 도구만으로는 내부망의 취약 장비를 파악하는 데 한계가 있으며, 기업 내부망에 연결된 전체 자산을 정확히 식별하는 작업이 우선돼야 한다고 설명했다. 

김계연 지니언스 미국법인장·최고기술책임자(CTO)는 "내부망에 위치한 관리형 장비들은 웹 콘솔 응답 데이터 및 내장 구성요소를 정밀 식별해야만 PHP 구동 여부를 파악할 수 있다"며 "특히 제조사 지원이 종료돼 공식 패치가 존재하지 않는 구형 장비나 패치 배포 전 단계의 장비는 교체 전까지 네트워크 접근을 즉시 차단·격리하는 선제적 통제가 필수적"이라고 말했다.