공식 발표 나흘 전에 이미 털리고 있었다? 아마존이 밝혀낸 PHP 보안 대참사

요약 아마존 위협 인텔리전스(Amazon Threat Intelligence)가 자사 글로벌 허니팟 네트워크인 매드팟(MadPot) 텔레메트리를 통해, PHP의 중대 취약점 'PHP2Shell'(CVE-2026-109618 및 CVE-2026-109619)이 공식 발표되기도 전인 10월 17일에 이미 실제 악용 공격 시도가 발생했음을 포착했다고 밝혔습니다. 해당 취약점은 당초 10월 21일 14:00 UTC에 공개 엠바고가 해제될 예정이었으나, 해제 나흘 전 상업용 익명화 네트워크 IP를 통한 익스플로잇 시도가 확인된 것입니다. 공격자가 보안 엠바고 상태의 비공개 취약점 정보를 어떻게 사전에 입수했는지는 아직 규명되지 않았습니다. 또한 엠바고 해제 당일인 10월 21일 오전 02:00 UTC부터 이미 복수의 PoC(개념 증명) 익스플로잇이 발견되었으며, 공식 발표 전인 02:00~08:00 UTC 사이에도 서로 다른 페이로드와 익명 네트워크를 사용하는 다수 공격자의 침투 시도가 이어졌습니다. 공식 패치 공개 후 수 시간 만에 PoC가 쏟아져 나오며 현재는 전 세계적으로 광범위한 공격이 진행 중입니다. 아마존 측은 이번 사태를 통해 AI 기반 취약점 분석 등으로 인해 패치 공개부터 실전 공격 코드 제작까지 걸리는 시간이 시간 단위로 대폭 단축되었다고 지적했습니다. 보안 담당자들에게 패치 SLA 기준을 기존 며칠 단위가 아닌 '몇 시간' 단위로 단축하고, 침해 사고 조사는 취약점 공표일이 아닌 최소 10월 17일부터 소급해 분석할 것을 권고했습니다. 아울러 완전한 해결을 위해서는 보안 패치된 PHP 버전으로 즉각 업그레이드해야 한다고 강조했습니다.