PHP 공격 뒤 관리자 권한까지…CISA, Linux 취약점의 결합 위험 명시

PHP는 WordPress 같은 사이트의 요청을 처리하는 프로그램이고, 커널은 그 아래에서 서버의 메모리·파일·권한을 관리하는 운영체제의 핵심입니다. 정상적인 사이트 처리는 자신에게 주어진 계정 권한으로 일합니다. 앞선 PHP 결함의 조건에 도달한 공격은 먼저 그 PHP 프로세스 권한으로 명령을 실행할 수 있습니다. CISA는 웹 요청을 처리하는 PHP의 즉시 수정을 계속 권고합니다. 기존 PHP 경고

여기에 영향을 받는 커널과 공격 조건이 남아 있으면, 서버 안에서 더 높은 권한을 얻는 두 번째 공격이 가능해집니다. Ubuntu 보안팀은 이 Linux 결함을 로컬 공격자의 권한 상승 문제로 설명합니다. 로컬은 집 PC에서만 일어난다는 뜻이 아니라, 이미 해당 서버 안에서 코드를 실행할 수 있는 위치를 말합니다. Ubuntu 영향·수정 안내

아래는 CISA가 명시한 결합 가능성을 역할별로 정리한 그림입니다. 모든 PHP 사이트에서 이 경로가 성립하거나 특정 서버가 침해됐다고 보여 주는 그림은 아닙니다.

%% 두 취약점이 이어질 수 있는 경계 · CISA KEV와 Ubuntu 안내 기준
flowchart TD
  A["외부에서 보낸 웹 요청"] --> B["취약한 PHP의 조건 충족"]
  B --> C["PHP 계정 권한으로 코드 실행"]
  C --> D["영향받는 커널과<br/>추가 공격 조건이 남은 경우"]
  D --> E["root 권한 획득 가능<br/>서버 파일·설정 피해 확대"]

공식 수정 설명에 따르면, 네트워크 데이터 조각을 합칠 때 공유 중인 조각이라는 표시가 전달되지 않는 문제가 있습니다. 뒤의 처리가 그 표시를 보지 못하면, 따로 복사해야 할 공유 메모리를 그 자리에서 바꿀 수 있습니다. 파일 내용의 메모리 복사본까지 의도치 않게 바뀔 위험이 생깁니다. 수정은 조각을 옮길 때 그 보호 표시도 이어 주는 방식입니다. Linux 유지관리자의 수정 기록

공용 원본에 ‘복사해서 수정’이라는 쪽지가 붙어 있는데 자료를 묶으며 쪽지만 빠지는 상황으로 비유할 수 있습니다. 이 비유는 메모리 처리 원리를 설명하며 실제 공격 순서나 재현법은 아닙니다. 관리자 권한까지 얻으면 사이트 계정에 허용하지 않은 서버 파일이나 설정도 바꿀 수 있어, 사이트 하나의 처리 오류보다 조사 범위가 커집니다.

이 Linux 결함은 5월부터 공개된 문제입니다. 이번 변화는 10월의 악용 목록 추가와 PHP 결합 설명입니다. 배포판별 구성과 수정 패키지가 다르므로 모든 Linux 서버가 영향을 받는다고 묶을 수 없습니다.

예를 들어 Ubuntu 공지의 기본 linux 패키지는 24.04 LTS에서 6.8.0-124.124를 수정판으로 표시합니다. 같은 공지에 다른 커널 패키지도 여럿 있으므로 이 번호를 다른 서버의 공통 기준으로 쓰면 안 됩니다. AWS는 Amazon Linux와 Bottlerocket에는 해당 espintcp 모듈을 제공하지 않아 이 CVE의 영향을 받지 않는다고 설명합니다. 다른 취약점까지 모두 안전하다는 보증으로 확대하지 않습니다. AWS 현황

새 패키지를 디스크에 설치한 것과 서버가 수정된 커널을 실제로 사용하는 것은 구분해야 합니다. 담당자는 환경에 맞는 재시작이나 라이브 패치 등의 적용 방식을 정하고, 어떤 수정이 실행 중인지 증명해야 합니다. 이 기사에 따라 이용자가 임의로 운영 서버를 재시작할 필요는 없습니다.