PHP2Shell·프래그네시아 연계 공격, PAN-OS 영향 버전과 대응 방법

PHP2Shell에 리눅스 권한 상승까지…PAN-OS 연계 공격의 위험과 대응 방법

PHP 취약점을 이용한 원격 침투가 리눅스 커널 취약점과 결합하면서, 방화벽의 최고 관리자 권한까지 확보하는 공격으로 이어졌다. 인터넷에 노출된 관리 화면을 줄이고, 제품 보안 업데이트와 침해 여부 점검을 함께 진행해야 하는 상황이다.

2026년 11월 2일 확인 기준. 영향 범위와 패치 정보는 제조사의 최신 보안 권고를 우선한다.

PHP2Shell

원격에서 코드를 실행하는 침투 단계

프래그네시아

침투 이후 권한을 높이는 커널 취약점

관리 인터페이스

이번 PAN-OS 공격에서 우선 확인할 노출 지점

핵심 내용부터 확인하기

• PHP2Shell은 CVE-2026-109618·CVE-2026-109619를 지칭한다.
• 프래그네시아는 리눅스 커널의 로컬 권한 상승 취약점인 CVE-2026-46300이다.
• 두 종류의 취약점을 결합한 PAN-OS 공격 사례가 공개됐다.
• 인터넷에서 관리 화면에 접근할 수 있다면 우선 접근 범위를 제한해야 한다.
• 패치는 취약점을 수정하지만 이미 생성된 백도어나 탈취된 계정까지 자동 복구하지 않는다.

1. 서로 다른 취약점이 어떻게 연결됐나

이번 공격을 이해하려면 원격 코드 실행과 권한 상승을 구분해야 한다. 전자는 외부에서 시스템 내부에 명령을 실행할 기회를 만들고, 후자는 그 명령을 실행하는 계정의 권한을 높이는 역할을 한다.

공격 과정에서 각 취약점이 맡는 역할

구분	CVE 번호	핵심 영향
PHP2Shell	CVE-2026-109618 CVE-2026-109619	PHP의 메모리·예외 처리 문제를 이용한 원격 코드 실행
프래그네시아	CVE-2026-46300	로컬의 낮은 권한에서 루트 권한으로 상승할 가능성

PHP2Shell의 기술적 개요는 팔로알토 네트웍스 Unit 42 분석에서 확인할 수 있다. 메모리 부족 상황의 처리와 해제된 메모리 참조 문제가 코드 실행으로 이어질 수 있다는 설명이다.

프래그네시아는 Red Hat의 CVE 설명에 따르면, 리눅스 커널의 XFRM ESP-in-TCP 처리와 관련된다. 페이지 캐시의 데이터를 변조해 민감한 시스템 파일에 영향을 줄 수 있으며, 일반 사용자 권한에서 루트 권한 탈취로 이어질 수 있다.

커널 취약점 하나만으로 외부 침투가 성립하는 것은 아니다.

로컬 권한 상승에는 시스템 내부에서 코드를 실행할 수 있는 조건이 필요하다. 이번 사례에서는 PHP 취약점이 그 진입점을 제공하고, 커널 취약점이 추가 권한 확보에 사용된 것으로 분석됐다.

2. ‘15분 만에 장악’은 어떤 의미인가

DREAM의 10월 26일 공개·29일 갱신 보고서는 공격자가 노출 자산을 선별하고 버전별 공격을 준비한 뒤, PHP2Shell과 커널 권한 상승을 연계했다고 설명한다. 보고서상 전체 연계 과정은 15분 이내에 완료됐다.

그렇다고 모든 장비가 동일하게 15분 안에 침해된다는 의미는 아니다. 연구진은 버전별 사전 분석과 준비 과정을 함께 제시했다. ‘단일 HTTP 요청’이라는 표현도 전체 정찰·준비가 한 번의 요청으로 끝났다는 뜻으로 확대해서 해석하면 안 된다.

공격 흐름을 단계별로 보면

1. 노출 확인: 외부에서 접근 가능한 관리 서비스를 찾는다.
2. 원격 코드 실행: PHP 취약점으로 웹 서비스 권한의 실행 경로를 확보한다.
3. 권한 상승: 커널 취약점을 결합해 더 높은 권한을 확보한다.
4. 접근 유지: 웹셸 등 재접속 수단을 남긴다.
5. 내부 확산: 장비가 보유한 설정과 접근정보를 이용해 내부 시스템을 탐색한다.

보고서는 방화벽 24대와 관리 서버를 포함해 총 25개 시스템의 침해를 기술한다. AI 도구의 설치·설정 정황도 제시했지만, AI가 공격 코드를 직접 작성했다는 증거는 없다고 구분했다. 도구 사용 정황만으로 완전 자율 공격이나 특정 국가의 관여를 확정해서는 안 된다.

3. 관리 화면과 GlobalProtect는 구분해서 확인

제조사는 인터넷에 노출된 PAN-OS 관리 인터페이스를 대상으로 한 실제 악용을 확인했다. 공식 권고에서 설명하는 영향 지점은 HTTPS 관리 웹 UI와 XML API다. 데이터 인터페이스도 관리 프로파일이 연결돼 있다면 확인 대상이다.

반면 제조사 FAQ는 GlobalProtect 포털·게이트웨이·Clientless VPN을 이번 취약점의 영향 대상이 아니라고 구분한다. VPN 서비스를 제공한다는 이유만으로 관리 화면도 공개돼 있다고 판단해서는 안 된다.

정확한 제품·기능 범위는 팔로알토 네트웍스 공식 보안 권고에서 확인해야 한다.

접속 가능 여부는 외부 경로까지 확인해야 한다.

장비 설정뿐 아니라 NAT, 상위 방화벽 정책, 관리 프로파일, 허용 주소 설정을 함께 확인해야 실제 노출 범위를 판단할 수 있다. 내부 관리용 주소라는 이유만으로 외부 접근이 불가능하다고 단정하지 않는다.

4. PAN-OS 영향 계열과 해결 버전 확인

KISA는 10월 29일 Palo Alto Networks 제품 보안 업데이트 권고를 게시했다. 안내된 주요 확인 계열은 PAN-OS 10.2·11.1·11.2·12.1·12.2다.

공식 권고에 제시된 해결 버전 예시

현재 버전 구간	PHP2Shell 해결 버전 예시
12.2.0~12.2.4의 미수정 빌드	12.2.4-h1
12.1.8~12.1.10의 미수정 빌드	12.1.10-h3
12.1.5~12.1.7의 미수정 빌드	12.1.7-h11 또는 12.1.10-h3
12.1.2~12.1.4의 미수정 빌드	12.1.4-h13 또는 12.1.10-h3
11.2.8~11.2.10의 미수정 빌드	11.2.10-h16 또는 11.2.16-h1
11.1 계열	세부 유지보수 버전별 공식 해결표 확인
10.2 계열	세부 유지보수 버전별 공식 해결표 확인

표는 전체 업그레이드 경로를 대체하지 않는다. 설치된 정확한 핫픽스 번호와 장비 모델, 지원 상태를 확인하고 제조사가 안내하는 경로로 이동해야 한다. 숫자가 더 커 보이는 다른 유지보수 버전이 항상 수정 완료 버전인 것도 아니다.

PAN-OS 내부 PHP나 커널을 일반 리눅스 서버처럼 개별 교체하는 방식으로 대응해서는 안 된다. 해당 장비는 제조사가 제공하는 PAN-OS 이미지와 핫픽스를 적용하는 절차로 진행한다.

5. 운영팀이 진행할 대응 순서

다음은 공개된 공격 내용을 바탕으로 정리한 운영 대응 방향이다. 실제 변경은 장비의 공식 절차와 조직의 사고 대응 체계에 맞춰 진행한다.

① 관리 접근 범위부터 제한

관리 서비스의 인터넷 공개를 해제하고, 승인된 관리망이나 점프 서버 등 필요한 경로만 허용한다. 원격 작업 중에는 대체 접속 경로를 먼저 확보해 관리 접속이 끊기는 상황을 예방한다.

② 설정과 증거 보존

현재 버전, 설정 백업, 관리자 변경 이력과 관련 로그를 확보한다. 침해가 의심되면 긴급 차단과 증거 보존을 병행하고, 재부팅이나 초기화로 휘발성 증거를 잃지 않도록 대응 담당자와 순서를 조율한다.

③ 지원되는 수정 버전 적용

장비별 해결표와 릴리스 노트를 대조해 업데이트한다. HA 환경에서는 동기화 상태와 전환 절차를 확인하고, 업데이트 후 정책 처리·라우팅·VPN·로그 전송이 정상인지 검증한다.

④ 침해 흔적과 후속 접근 점검

승인되지 않은 관리자 계정, 설정 변경, 예상하지 못한 외부 통신, 관리 서비스의 비정상 동작과 로그 공백을 조사한다. 장비에서 접근할 수 있었던 내부 인증·관리 시스템도 조사 범위에 포함한다.

패치 완료와 침해 복구 완료는 다른 상태다.

이미 공격자가 접근 수단을 남겼다면 취약점 수정만으로 제거되지 않을 수 있다. 침해가 확인된 장비는 제조사 지원과 사고 대응 절차에 따라 신뢰 가능한 상태로 복구하고 관련 자격증명도 재검토해야 한다.

6. 일반 리눅스 서버도 같은 방식으로 조치하면 될까

일반 서버와 보안 어플라이언스는 업데이트 주체가 다르다. PHP를 사용하는 서버라고 이번 PAN-OS 공격 조건이 그대로 성립하는 것은 아니며, PHP 패키지와 커널 각각의 영향 여부를 확인해야 한다.

환경에 따라 구분할 업데이트 기준

환경	확인·조치 기준
PAN-OS 장비	제조사의 제품 영향표와 PAN-OS 수정 이미지
배포판 PHP 사용 서버	해당 배포판의 PHP 보안 권고와 패키지 수정 상태
일반 리눅스 커널	배포판의 CVE 영향 판정과 커널 보안 업데이트
컨테이너 환경	이미지 내부 PHP와 호스트 커널을 나누어 확인

배포판은 기존 버전 문자열을 유지하면서 보안 수정을 반영하기도 한다. 단순 버전 숫자 비교만으로 취약 여부를 판단하지 말고 배포판 보안 권고와 설치 패키지의 수정 이력을 함께 확인해야 한다.

7. KEV 등재가 운영 우선순위에 주는 의미

NHS England의 관련 보안 경보는 프래그네시아의 CISA KEV 등재와 PHP2Shell 연계 악용을 안내한다. KEV는 실제 악용이 확인된 취약점을 관리하는 목록이다.

이는 개념 증명 코드가 존재하는 수준을 넘어 실제 공격 위험을 반영해 대응 우선순위를 높여야 한다는 의미다. 다만 KEV 등재 자체가 조직 내 모든 장비의 침해를 뜻하지는 않는다.

이번 사례에서 우선 확인할 것은 정확한 제품 버전, 관리 서비스의 외부 노출, 패치 상태와 침해 흔적이다. 접근 통제로 공격 경로를 줄이고, 업데이트로 취약점을 수정하며, 조사로 이미 발생한 침해 여부를 확인하는 작업이 함께 필요하다.