Dream, 25대 서버를 침해한 PHP2Shell 공격 체인 보고

Dream은 미국 정부 관련 환경의 시스템을 포함해 서버 25대를 침해했다고 주장하는 PHP2Shell 공격 체인을 보고했다. 10월 26일 조사 보고서에서는 외부에 노출된 방화벽 관리 인터페이스가 내부 신원 인프라로 이어지는 경로가 된 과정을 설명한다.

보고된 피해 규모는 경계 방화벽 24대와 내부 관리 서버 1대를 합한 것이다. Dream은 영향을 받은 공급업체와 소프트웨어 버전은 공개하지 않았으며, 공급업체에 통보했다고 밝혔다.

두 보안 경계를 넘은 공격 체인의 작동 방식

이 공격 체인은 CVE-2026-109618 및 CVE-2026-109619로 추적되는 PHP2Shell과 Linux 권한 상승 취약점 Fragnesia(CVE-2026-46300)를 결합했다.

이 취약점들은 서로 다른 장벽을 공략한다. 원격 코드 실행을 통해 공격자는 접근 가능한 서비스를 이용해 코드를 실행할 수 있다. 이어서 로컬 권한 상승을 이용하면 제한된 접근 권한을 운영체제 전체에 대한 제어 권한으로 확대할 수 있다. 두 취약점을 결합하면 사고 대응의 양상도 달라진다. 조사관은 침해된 어플라이언스가 자체 관리 인터페이스를 넘어 어떤 시스템에 접근할 수 있었는지 살펴봐야 한다.

Red Hat은 Fragnesia를 Linux 커널의 XFRM ESP-in-TCP 하위 시스템에 존재하는 결함으로 설명한다. 안전하지 않은 암호화 처리로 인해 낮은 권한을 가진 로컬 공격자는 읽기 전용 파일의 페이지 캐시를 변경하고, 높은 권한으로 실행되는 바이너리를 덮어쓰며, root 권한을 획득할 수 있다. 따라서 이는 인증 없이 최초 침입을 가능하게 하는 진입점이 아니라 별개의 권한 상승 수단이다.

Dream은 LDAP 서비스 계정 자격 증명이 탈취되고 디렉터리 열거가 이뤄진 사실을 확인했다. 그러나 비밀번호 스프레이 공격, 백도어 계정 생성 시도, SAML 서명 키 탈취가 성공했는지는 확인하지 못했다. 이러한 한계는 중요하다. 디렉터리 정보에 접근한 사실이 확인됐다고 해서 Active Directory 전체가 장악됐다고 단정할 수는 없다.

AI 관련 증거로 확인할 수 있는 사실

조사관은 Claude Code가 설치돼 있고, 공격용 플랫폼이 DeepSeek 및 Kimi로 구성된 사실을 발견했다. Dream은 해당 도구들이 익스플로잇이나 침해 후 스크립트를 작성했다는 직접적인 증거는 없다고 밝혔으며, 이번 작전을 완전히 자율적으로 수행된 것으로 규정하지 않았다. 중국과의 연계 가능성에 대한 추정은 잠정적인 수준이며, 특정 위협 행위자를 지목하지 않았다.

방어 담당자에게 이러한 구분은 관찰 가능한 도구와 작성 주체, 작전 수행자, 자율성에 관한 결론을 분리해 준다. 코딩 보조 도구의 존재는 작업 방식에 대한 가설을 뒷받침할 수 있지만, 모델이 어떤 결정을 내렸는지 또는 누가 작전을 지휘했는지를 그것만으로 확인할 수는 없다.

PHP 보안 패치와 그보다 앞선 악용 시점

PHP 프로젝트가 10월 21일 발표한 권고문은 두 가지 치명적인 원격 코드 실행 취약점을 수정한 보안 업데이트 버전으로 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 명시한다. 한 취약점은 메모리 부족 처리 과정에서 내부 요청 데이터가 부분적으로만 초기화된 상태로 남는 문제와 관련이 있다. 다른 취약점은 이를 뒷받침하는 메모리가 해제된 뒤에도 내부의 오래된 상태가 남는 문제와 관련이 있다.

프로젝트는 웹 요청을 처리하는 PHP 설치 환경이 위험에 노출돼 있으며, Apache의 mod_php 구성에서 위험이 가장 높다고 평가했다. 부분적인 완화 조치로는 완전한 보호를 제공할 수 없으므로 사용자는 업데이트해야 한다고 안내했다. 패키지 형태의 어플라이언스에서는 런타임 버전 문자열만 확인할 것이 아니라 공급업체가 지원하는 펌웨어와 백포트된 수정 사항에 따라 실제 대응 방법을 결정해야 한다.

Unite.AI는 앞서 PHP 패치와 결함 발견 과정에서 최첨단 AI가 한 역할을 다뤘다. 이번 보고서는 결함 발견에서 노출된 시스템 배포가 초래하는 결과로 초점을 옮긴다.

별도로 Amazon Threat Intelligence는 공개되기 전인 10월 17일부터 자사의 MadPot 허니팟 네트워크에서 PHP2Shell 악용 시도를 포착했다고 보고했다. 그러나 이 원격 측정 데이터만으로는 Dream이 설명한 공격을 동일한 작전 수행자가 벌였다고 단정할 수 없다.

AWS는 인터넷에 노출된 중요 취약점의 완화에 걸리는 시간을 시간 단위로 측정하고, 공개 날짜가 아니라 가장 이른 악용 시점부터 조사를 시작하며, CVE별 시그니처에만 의존하지 않는 탐지 체계를 개발할 것을 권고한다. PHP2Shell의 경우 최소한 10월 17일까지 거슬러 올라가 조사할 것을 권고한다.

Dream의 기술이 차지하는 위치

Dream은 회사 웹사이트에서 Hero를 취약점 조사, 악성코드 역공학, 포렌식 분석, 검증된 수정 작업을 지원하는 자율형 사이버 연구 시스템으로 소개한다. 이와 연계된 Sphere 플랫폼은 정부 및 중요 인프라 환경 전반의 노출 지점을 파악하고 방어 우선순위를 정하는 데 초점을 둔다.

기술적으로는 특정 취약점을 조사하는 일과 운영 네트워크 전반에서 그 취약점이 중요한 지점을 파악하는 일을 구분해야 한다. 경계 어플라이언스와 해당 장비의 관리 서버, 신원 디렉터리는 소유 주체와 패치 주기가 서로 다를 수 있지만, 공격자는 이들을 하나의 경로로 연결할 수 있다. 효과적으로 공격을 억제하려면 관련 업데이트를 설치하는 것과 함께 그 경로도 조사해야 한다.