유닛42 "PHP2Shell 공격에 AI 에이전트 동원"

팔로알토네트웍스의 위협 분석 조직 유닛42(Unit 42)가 10월 23일(현지시간)까지 갱신한 위협 보고서에서 PHP 긴급 취약점 'PHP2Shell'을 악용한 공격자들이 침투 이후 단계에 AI 에이전트 공격 플랫폼을 쓰고 있다고 밝혔다. 한 유럽 정부 기관 사례에서는 첫 침투 후 2시간 만에 비밀번호 해시와 다중인증(MFA) 비밀값이 탈취됐다.

핵심 정리

• 유닛42는 PHP2Shell(CVE-2026-109618·CVE-2026-109619) 악용 이후의 후속 작업을 사람이 아닌 AI 에이전트가 수행한 정황을 확인했다.
• 근거는 "==SHELLUSER==", "==PASSWD==" 같은 구분자로 묶은 명령 묶음, 짧게 이어지는 작업, 실패 직후의 빠른 방향 전환이다.
• 팔로알토 Cortex Xpanse는 잠재적 취약 노출 인스턴스를 2,260만 개 이상으로 집계했다. 해법은 PHP 8.5.12·8.4.27·8.3.36·8.2.35 업데이트다.

AI 에이전트 공격, 무엇으로 알아냈나

유닛42 보고서에 따르면 단서는 명령의 형태였다. 공격자는 셸 명령을 "==SHELLUSER==", "==PASSWD==" 같은 머리글로 구분해 한꺼번에 보냈다. 언어 모델이 결과를 기계적으로 읽어 들이기 쉬운 출력 형식이다.

짧은 작업이 순서대로 이어지고, 한 단계가 실패하면 곧바로 다른 경로로 바꾸는 패턴도 관찰됐다. 유닛42는 이를 사람이 직접 키보드를 두드린 것이 아니라 AI 에이전트 공격 플랫폼이 침투 후 작업을 맡은 증거로 봤다.

침투 2시간 만에 액티브 디렉터리까지

유닛42가 공개한 사례에서 공격 대상은 유럽의 한 정부 기관이었다. 공격자는 첫 침투 후 2시간 안에 비밀번호 해시와 MFA 비밀값을 확보하고, 액티브 디렉터리로 향하는 NTLM 릴레이 터널을 만든 뒤 도메인 관리자 권한 상승을 시도했다.

유닛42는 "최소 한 곳의 유럽 정부가 예방 차원에서 웹사이트를 내렸다"고도 밝혔다. 해당 정부의 이름이나 권한 상승 성공 여부는 공개하지 않았다.

PHP2Shell 취약점이란

두 취약점은 모두 CVSS 4.0 기준 9.2점이다. CVE-2026-109618은 메모리 부족 오류를 longjmp()로 처리하는 과정에서 요청 메모리가 초기화되지 않은 채 남는 문제이고, CVE-2026-109619는 치명적 오류 뒤 전역 메모리가 해제된 영역을 가리키는 문제다. 둘 다 원격 코드 실행으로 이어질 수 있다.

PHP 프로젝트는 10월 21일 8.5.12·8.4.27·8.3.36·8.2.35 버전으로 수정했다. 테너블 FAQ에 따르면 7.4~8.1은 최소 소스 백포트만 나왔고 5.4~7.3은 수정이 없다.

패치 전부터 시작된 공격

미국 보안 매체 시큐리티위크에 따르면 아마존은 공개 나흘 전인 10월 17일 허니팟에서 첫 공격 시도를 포착했고, 이후 "PHP2Shell이 실제 환경에서 광범위하게 악용되고 있다"고 밝혔다. 취약점 세부 내용은 10월 20일 온라인에 유출됐다.

보안 기업 워치타워는 10월 21일 자사 허니팟에서 두 CVE의 실제 악용을 관측했다. 같은 날 센시스는 PHP 버전이 식별되는 약 158만 개 호스트 중 약 157만 개가 패치되지 않은 상태라고 집계했다. 테너블은 10월 23일 기준 이 취약점이 미국 CISA의 '알려진 악용 취약점(KEV)' 목록에 아직 오르지 않았다고 전했다.

AI가 공격 속도를 바꾼다

PHP2Shell은 처음부터 Wiz와 Calif 연구진이 AI 모델의 도움을 받아 찾아낸 취약점이다. 유닛42 보고서는 공격자 역시 비슷한 도구로 첫 거점 확보부터 도메인 장악까지의 시간을 줄이고 있음을 보여 준다. AI 감사 에이전트 사례처럼 방어 쪽 AI 활용도 늘고 있지만, 탐지에 쓸 수 있는 시간은 그만큼 짧아졌다.

유닛42는 즉시 패치, 웹 서버·PHP 워커 프로세스의 침투 후 흔적 점검, 방화벽 로그의 공격 시도 검색을 권고했다.

전망

CISA가 두 CVE를 KEV 목록에 올리면 미국 연방기관에 패치 기한이 생긴다. 유닛42는 10월 21일 이후 보고서를 여러 차례 갱신해 왔어 추가 침해 사례가 공개될 수 있다.

자주 묻는 질문

PHP2Shell은 지금 실제로 악용되고 있나?
그렇다. 아마존·워치타워·유닛42가 실제 악용이나 공격 시도를 보고했고, 유닛42는 유럽 정부 기관 침해 사례를 공개했다.

AI가 쓰인 공격인지 어떻게 알 수 있나?
유닛42는 "==SHELLUSER==", "==PASSWD==" 같은 구분자로 나뉜 명령 묶음과 빠르게 이어지는 연속 작업을 징후로 꼽고, 자사 제품용 탐지 쿼리를 공개했다.

어떤 버전으로 올려야 하나?
PHP 8.5.12·8.4.27·8.3.36·8.2.35다. 그보다 오래된 버전은 소스 백포트나 배포판 패키지를 쓰거나 지원 버전으로 옮겨야 한다.

참고 자료

• Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 — Unit 42, 팔로알토네트웍스(2026년 10월 23일)
• PHP Remote Code Execution ("PHP2Shell" CVE-2026-109618 & CVE-2026-109619) — watchTowr(2026년 10월 21일)
• php2shell (CVE-2026-109618, CVE-2026-109619): Critical PHP RCE FAQ — Tenable(2026년 10월 23일 갱신)
• PHP2Shell Exploitation Started Days Before Patches — SecurityWeek(2026년 10월 22일)