중국 해커, 미 정부 서버 25대 루팅
원제: Chained PHP2Shell exploit roots 25 servers, including US Government servers
왜 중요한가
인증 없이 단일 요청으로 방화벽을 루팅하는 체이닝 익스플로잇이 실제 정부 네트워크 침투에 활용됐다는 점에서, 관리 인터페이스 인터넷 노출 위험성이 재확인됐다.
2026년 10월 25일, 보안업체 Dream Research는 Palo Alto Networks PAN-OS 방화벽의 취약점(CVE-2026-109618/CVE-2026-109619, CVE-2026-46300)을 연쇄 악용한 공격을 발견했다. 공격자는 미국·일본·대만·한국의 서버 25대를 루팅했으며, 미 정부 연계 환경 3개 시스템에 집중 침투해 Active Directory 자격증명을 탈취했다.
Dream Research 연구팀은 자사의 자율 위협 탐지 제품 Hero를 활용한 능동적 위협 헌팅을 통해 이번 공격 작전 전체를 재구성했다. 공격자는 PAN-OS 관리 웹서버(GlobalProtect 포털과 동일 엔드포인트)를 진입점으로 삼아, PHP2Shell 취약점(CVE-2026-109618/CVE-2026-109619)과 커널 권한 상승 익스플로잇 Fragnesia(CVE-2026-46300)를 단일 HTTP 요청으로 체이닝했다. 인증 없이 인터넷에 노출된 취약 버전 방화벽을 원격에서 즉시 루팅할 수 있는 구조다.
확보된 아티팩트에는 커스텀 PHP2Shell 익스플로잇, 표적 목록, 익스플로이테이션 로그, 약 40개의 사후 침투 스크립트가 포함돼 있었다. 피해 범위는 미국·일본·대만·한국에 걸친 25개 PAN-OS 방화벽·관리 서버이며, 이 중 미 정부 연계 환경 3개 서버에서 Active Directory 자격증명 추출과 디렉터리 열거가 확인됐다.
공격 인프라에서 AI 활용 흔적도 포착됐다. Claude Code 설치 기록, 중국산 LLM(DeepSeek, Kimi)을 설정한 AI 기반 공격 보안 플랫폼 aiscan, 중국 정보 수집 플랫폼 FOFA의 API 키가 발견됐다. 코드 구조와 주석 스타일의 일관성을 근거로 연구팀은 AI 보조 개발 가능성을 제기했으나, 완전한 자율 국가 주도 공격으로 단정하지는 않았다. 회수된 PHP2Shell 구현체는 기존에 공개된 익스플로잇의 복사본이 아닌, 독자적으로 개발된 커스텀 빌드로 확인됐다. Palo Alto Networks Unit 42는 공격자 툴링과 결과를 독립적으로 검증했으며, 영향을 받는 PAN-OS 브랜치 전반에 걸쳐 패치를 배포 중이다.