CCTV·NAS도 피해 가지 못하는 PHP 취약점

출처: [보안뉴스]

 

안녕하세요 엘제이테크 공식 블로그 Oh!엘제이입니다.

 

회사 내부망에 연결된 CCTV와 영상저장장치가 최근 공개된 'PHP2쉘' 취약점에 무방비 상태로 노출되어 있다는 분석이 나왔습니다.

내부망에 있다는 이유만으로 안전하다고 여기던 인식을 뒤흔드는 결과입니다. 이에 대해 알아보도록 하겠습니다.

---

PHP2쉘, 그리고 CCTV의 의외의 관계

PHP는 흔히 웹사이트 개발에 쓰이는 프로그래밍 언어로 알려져 있지만, 실제로는 그 범위가 훨씬 넓습니다.

 

공유기·방화벽·NAS(네트워크 연결 저장장치)의 관리 화면에도 PHP가 탑재되는 경우가 많으며, CCTV와 영상저장장치도 예외가 아닙니다.

 

최근 이 PHP에서 'PHP2쉘'이라는 심각한 취약점이 새롭게 공개됐습니다. 공격자가 이 취약점을 활용하면 해당 장비에서 원하는 코드를 실행하거나 시스템을 장악할 수 있습니다.

---

내부망 장비의 96%가 취약

보안기업 지니언스는 자사 클라우드 네트워크 접근제어(NAC) 플랫폼의 장비 식별 데이터를 분석한 결과를 공개했습니다. 내부망에서 PHP를 구동하는 장비 가운데 96%가 PHP2쉘 취약점에 노출된 것으로 확인됐습니다.

 

상태는 더 구체적으로 들여다볼수록 우려스럽습니다. 취약 장비 중 78%는 이미 공식 지원이 끝난 PHP 8.1 이하 버전을 사용 중이었으며, 48%는 2018년에 지원이 종료된 5.x 이하 버전을 여전히 구동하고 있었습니다. 취약 장비의 유형은 일반 서버뿐 아니라 CCTV·영상저장장치, 보안 솔루션, IoT 기기를 포함했습니다.

 

주목할 점은 이 장비들의 89%가 외부 스캐너가 접근하기 어려운 사설 IP 대역에 위치한다는 것입니다. 외부에서는 보이지 않기 때문에 "괜찮다"고 여기기 쉽지만, 바로 그 점이 맹점이 됩니다. 내부망에 침입한 공격자는 이 장비들을 발판 삼아 공격을 더 깊숙이 확산시킬 수 있기 때문입니다.

---

'내부망 신화'가 무너지고 있다

이번 분석이 던지는 핵심 메시지는 명확합니다. 인터넷에 직접 노출되지 않은 장비라도 안전하다는 보장은 없다는 것입니다.

 

공격자가 다른 경로를 통해 사내망에 발을 들이는 순간, 패치되지 않은 구형 CCTV나 영상저장장치는 내부 시스템으로 침투하거나 랜섬웨어를 유포하는 거점이 될 수 있습니다. 관리자가 해당 장비에 PHP가 탑재돼 있다는 사실조차 모르는 경우, 취약점이 공개되어도 업데이트 없이 방치되는 상황이 반복됩니다.

 

지니언스 김계연 미국법인장 겸 CTO는 "관리형 장비의 PHP 구동 여부는 웹 콘솔 응답 데이터와 내장 구성요소를 정밀하게 식별해야 파악할 수 있다"며, "공식 패치가 없는 구형 장비나 배포 전 장비는 교체 전까지 네트워크 접근을 즉시 차단하고 격리하는 선제적 통제가 필요하다"고 강조했습니다.

---

지금 당장 해야 할 세 가지

전문가들이 권고하는 대응 방향은 크게 세 가지입니다.

 

첫째, 내부망에 연결된 장비 목록을 빠짐없이 파악해야 합니다. CCTV나 영상저장장치처럼 IT 부서가 아닌 시설관리 부서에서 설치한 장비들은 보안 관리 체계 밖에 놓이기 쉽습니다.

 

둘째, 각 장비의 PHP 사용 여부와 버전, 제조사의 패치 제공 계획을 확인해야 합니다. 지원이 종료된 버전을 사용하고 있다면 제조사로부터 업데이트를 기대하기 어렵습니다.

 

셋째, 패치 적용이 불가능한 구형 장비는 교체를 검토하거나, 그 전까지는 해당 장비로의 네트워크 접근을 차단해 피해 범위를 최소화해야 합니다.

---

정리하며

CCTV는 보안을 위해 설치하는 장비이지만, 관리가 소홀하면 보안의 구멍이 되는 아이러니한 상황이 벌어질 수 있습니다. 이번 PHP 취약점 분석은 영상보안 장비도 IT 보안 관리의 대상에 반드시 포함돼야 한다는 사실을 다시 한번 상기시켜 줍니다.