Amazon, PHP2Shell 악용 시도를 CVE 공개 4일 전 탐지

Amazon Threat Intelligence가 2026년 10월 17일, CVE-2026-109618과 CVE-2026-109619 공개 4일 전 PHP2Shell 악용 시도를 식별함
초기 악용은 상용 익명화 네트워크와 연관된 IP 주소에서 발생하여, 위협 행위자가 엠바고 해제 전 악용 정보를 확보했음을 시사함
2026년 10월 21일 엠바고 해제 후 수 시간 내에 다수의 개념 증명(Proof-of-Concept) 악용 코드가 등장하며, 현재 PHP2Shell은 광범위하게 악용되고 있음
패치부터 작동하는 악용 코드까지의 시간이 단축되는 것은 AI 기반 분석 덕분에 패치 차이(Patch Diff)를 악용 코드로 전환하는 비용이 낮아졌기 때문임
보안 리더들은 패치 타임라인을 '일'이 아닌 '시간' 단위로 측정하고, 공개일이 아닌 최초 알려진 악용일(10월 17일)부터 조사를 시작해야 함
즉각적인 대응을 위해 수정된 PHP 버전으로 업그레이드해야 하며, 설정만으로는 두 CVE를 완전히 해결할 수 없음
AWS는 분당 2000억 개 이상의 이벤트를 분석하고 MadPot 허니팟 네트워크를 활용해 악용 시도를 실시간으로 탐지 및 차단함
침해 지표(IoC)로는 2026년 10월 17일과 21일에 관찰된 6개의 IP 주소가 있으며, 공유 익명화 인프라 특성상 차단보다는 조사 대상이 되어야 함

핵심 내용