AI가 찾아냈습니다. AI가 막고 있습니다.

Ramy Houssaini현장 배치 자문 담당 부사장

Debrup Ghosh수석 프로덕트 매니저 | F5

Muhammad AbidF5 제품 마케팅 수석 디렉터

모든 보안 팀이 익히 아는 순간이 있습니다. 심각한 취약점이 공개되면 가장 먼저 떠오르는 질문은 더 이상 “무엇을 수정해야 하지?”가 아니라 “수정할 때까지 무엇이 우리를 보호해 주지?”

PHP2Shell의 경우 방어 측은 평소처럼 선제적으로 대응할 시간조차 없었습니다. 패치가 나오기도 전인 10월 20일에 세부 정보가 유출됐고, 다음 날 수정 사항이 배포되기 전부터 공격자들이 이를 악용한 것으로 알려졌습니다.

10월 21일, PHP 프로젝트는 CVE-2026-109618 및 CVE-2026-109619에 대한 긴급 수정 사항을 발표했습니다. 이 두 취약점은 인터넷상의 거의 모든 PHP 서버에 영향을 미치는 미인증 원격 코드 실행 취약점입니다. 공격자는 로그인할 필요가 없습니다. 서버에 접근해 처리 도중 PHP의 메모리가 고갈되도록 조작된 파일 업로드 요청을 보내기만 하면 됩니다. 그러면 PHP는 이 과정에서 손상된 메모리를 신뢰하게 되고, 공격자는 애플리케이션 자체가 단 한 줄의 코드도 실행하기 전에 PHP가 자신의 코드를 실행하도록 유도할 수 있습니다. 즉, 요청이 PHP에 도달하기 전에 차단해야 합니다.

이 취약점들은 수십 년 전부터 존재해 왔습니다. 새롭게 달라진 점은 이 취약점들을 실제로 악용할 수 있게 된 방식입니다. 이를 공개한 Wiz 연구진의 표현을 빌리면, “최첨단 AI 모델이 그 장벽을 크게 낮추면서, 오랫동안 존재해 온 결함이 실제 공격에 악용 가능한 취약점으로 바뀌었습니다.”

AI로 인해 오래된 버그가 실제로 작동하는 익스플로잇으로 발전하는 시간이 단축되는 만큼, 보안 권고가 발표되기 전에 보호 조치가 마련되어 있어야 합니다.

F5 BIG-IP, F5 NGINX 또는 F5 Distributed Cloud에서 F5 WAF를 차단 모드로 실행하는 F5 고객의 경우에는 이미 보호가 적용되어 있었습니다.

AI 기반 WAF는 이미 이를 차단하고 있었습니다

F5 보안 엔지니어들은 공개된 개념 증명 익스플로잇을 바탕으로 여러 변형을 만든 후, AI 기반 WAF가 활성화된 F5 WAF for Distributed Cloud의 보호를 받는 애플리케이션을 대상으로 전송했습니다. PHP2Shell에 특화된 기능을 추가하거나 구성을 변경하지 않았습니다.

이러한 변형은 서로 다른 인코딩, 페이로드 배치, HTTP 메서드 및 일반적인 우회 기법을 사용했습니다. AI 기반 WAF는 차단 모드에서 이를 막았습니다. 이는 누군가 다음 날 아침에 확인하는 로그 항목이 아니라 실제로 적용된 차단 조치입니다. 한편, 동일한 애플리케이션에 대한 정상적인 요청은 그대로 통과했습니다.

차단된 요청 중 하나가 F5 WAF for Distributed Cloud에서 어떻게 표시되는지 살펴보겠습니다:

F5 테스트에서 기존 F5 WAF for Distributed Cloud의 PHP 객체 직렬화 삽입 시그니처는 PHP2Shell 전용 시그니처가 존재하기 전에도 PHP의 세션 업로드 진행률 필드에서 PHP2Shell 방식의 요청을 탐지했습니다.

두려움이 아닌 확신을 바탕으로 차단

공격을 탐지하는 것과 이를 차단할 만큼 확신하는 것은 별개의 문제입니다. 많은 보안 팀은 정상적인 요청을 잘못 차단하면 실제 고객을 돌려보내게 되기 때문에 새로운 탐지 규칙을 알림 전용 모드로 유지합니다. 이러한 팀에서는 PHP2Shell과 같은 공격이 차단되지 않고 로그에만 기록됩니다.

AI 기반 WAF는 이러한 상황을 바꿉니다. 그 핵심에는 F5의 글로벌 보안 운영에서 수집한 실제 공격 데이터로 학습된 머신 러닝 모델의 일종인 신경망이 있습니다. 새로운 규칙이 만들어지기를 기다리는 대신 공격 패턴을 학습하므로, 이전에 접한 공격과 유사한 방식으로 작동하는 새로운 익스플로잇도 식별할 수 있습니다. 의심스러운 요청이 들어올 때마다 악성으로 보이는 요소를 학습한 내용과 비교해 평가하고, 콘텐츠가 실제로 유해한지 판단한 뒤 WAF가 즉시 조치할 수 있도록 단일 위험 판정 결과를 반환합니다.

AI 기반 WAF는 과거 공격에서 이미 학습한 내용을 바탕으로 PHP2Shell 공격 요청의 위험도를 100점 만점에 95점인 ‘심각’으로 평가했습니다. 모범 사례: 원하는 결과에 맞게 구성하세요.

PHP2Shell의 경우, 해당 판정 점수는 100점 만점에 95점이었습니다. 악성 요청은 즉시 차단되었고 정상 트래픽은 계속 원활하게 처리되었습니다.

이것이 바로 비즈니스에 중요한 변화입니다. 차단 모드로 운영하면 확신을 갖고 위협을 차단할 수 있습니다. 보안 때문에 비즈니스 속도가 느려지거나, 정상적인 고객이 잘못 차단되어 헬프 데스크에 불만이 쏟아질까 걱정할 필요가 없습니다.

좋은 소식이 하나 더 있습니다. 이전에는 오탐을 우려해 잘못 탐지할 가능성이 높은 탐지 규칙을 적용하지 않는 경우가 많았습니다. 하지만 이제는 그럴 필요가 없습니다. F5는 모든 정확도 수준(높음, 중간, 낮음)에서 탐지를 활성화하고, AI 기반 WAF가 위험도를 높음 또는 중간으로 평가한 요청을 차단할 것을 권장합니다. 그러면 모델이 사용 가능한 모든 신호를 확인하고 오탐을 걸러냅니다.

가상 패치로 노출 기간을 단축

PHP2Shell은 예외적인 사례가 아닙니다. Mandiant M-Trends 2026 보고서에 따르면, 이제 공격자들은 평균적으로 패치가 제공되기 약 7일 전부터 취약점을 악용합니다. 반면, Verizon 2024 데이터 침해 보고서에 따르면 조직이 공격에 악용되고 있는 것으로 알려진 중요 취약점 중 절반만 수정하는 데도 약 55일이 걸립니다. 이 두 가지를 종합하면 대부분의 조직은 수주 동안 위험에 노출됩니다.

가상 패치는 이러한 공백을 메우는 방법입니다. 이는 단일 제품 기능이 아니라 하나의 개념입니다. 즉, 취약한 소프트웨어 자체를 업데이트하지 않고도 취약점의 영향을 무력화하는 모든 조치를 뜻합니다. 익스플로잇을 차단하는 WAF 시그니처가 가상 패치의 한 예입니다. 특정 취약점 하나를 대상으로 작성된 보안 정책 규칙도, 공격의 본질을 인식하는 모델도 마찬가지입니다. 어떤 경우든 악성 트래픽은 데이터 경로에서 차단되어 취약한 코드에 도달하지 못하며, 그동안 개발자는 일반적인 변경 관리 절차를 통해 근본적인 문제를 해결합니다.

PHP2Shell의 경우가 바로 그랬습니다. F5 Distributed Cloud, F5 BIG-IP, 그리고 F5 NGINX 전반의 F5 WAF는 PHP2Shell 전용 규칙이 만들어지기 전부터 기존 시그니처를 통해 이미 보호 기능을 제공하고 있었습니다.

F5는 심층 방어를 중시하기 때문에 위협 연구를 여기서 멈추지 않았습니다. 연구팀은 이러한 제품 전반에 CVE-2026-109618 및 CVE-2026-109619 전용 시그니처를 출시하여 고객이 이미 갖추고 있던 보호 기능을 한층 더 강화했습니다. 시그니처 세부 정보와 제품별 제공 여부는 F5 보안 권고에서 확인할 수 있습니다.

다음 이야기는 이미 쓰여 있습니다

PHP2Shell은 앞으로 닥칠 일을 미리 보여주는 사례입니다. 10년도 더 된 취약점이 AI의 속도로 실제 작동하는 익스플로잇으로 탈바꿈하고 있으며, 다음 익스플로잇은 이보다 더 빠르게 등장할 것입니다. 취약점이 공개된 후 새로운 규칙이 나오기만을 기다리는 방어 체계는 계속해서 첫 대응에 실패할 수밖에 없습니다. 이번 공격과 다음 공격에 대비하는 방법은 다음과 같습니다:

1. 운영 여건이 허락하는 대로 PHP를 패치하세요. 대부분의 팀은 모든 서버를 하룻밤 사이에 업그레이드할 수 없으며, 가상 패치는 바로 이러한 공백을 메우기 위해 마련된 것입니다.
2. WAF가 단순히 모니터링하는 것이 아니라 차단하도록 설정되어 있는지 확인하세요. 모니터링 모드의 WAF는 공격을 기록할 뿐 차단하지는 않습니다. PHP 애플리케이션을 보호하는 정책이 차단 모드로 설정되어 있는지 확인하세요.
3. AI 기반 WAF를 활성화하고 모든 신호를 활용하도록 설정하세요. 모든 정확도 수준에서 탐지를 활성화하고, 위험도가 높거나 중간인 요청을 차단하며, PHP2Shell 전용 시그니처가 활성화되어 있는지 확인하세요.
4. 전용 PHP2Shell 시그니처가 출시되는 즉시 적용하고, 제품별 제공 여부는 F5 보안 권고에서 확인하세요.
5. 악용 시도의 징후를 확인하십시오. 최근 트래픽을 검토하여 비정상적인 멀티파트 요청 이후 PHP 메모리 제한 오류 또는 반복적인 HTTP 500 응답이 발생했는지 확인하십시오. 또한 비정상적으로 큰 PHPSESSID 응답 쿠키와 원인을 알 수 없는 PHP 워커 재시작이 있는지도 확인하십시오.
6. 공격 표면을 줄이세요. 요청 및 업로드 크기 제한을 강화하고, PHP 애플리케이션에 필요하지 않은 업로드 엔드포인트는 비활성화하세요.

다음 취약점이 언제 공개될지는 통제할 수 없습니다. 하지만 취약점이 공개될 때를 대비할지는 여러분이 결정할 수 있습니다.

자세히 알아보기: AI 기반 위험 점수 산정 및 AI 기반 WAF.

The F5 보안 권고에는 제품에 미치는 영향, 시그니처 ID, 완화 조치 및 향후 패치 제공 일정에 관한 신뢰할 수 있는 최신 정보가 있습니다.

작성자 소개

Ramy Houssaini현장 배치 자문 담당 부사장

Ramy Houssaini의 다른 블로그 게시물

Debrup Ghosh수석 프로덕트 매니저 | F5

Debrup Ghosh의 다른 블로그 게시물

Muhammad AbidF5 제품 마케팅 수석 디렉터

Muhammad Abid는 F5에서 애플리케이션 보안 및 WAAP 제품 마케팅을 총괄하는 수석 디렉터입니다. Netskope, Cisco, Juniper, Fortinet에서 20년 이상 네트워킹 및 사이버 보안 사업의 성장을 이끌어 온 경험을 바탕으로, 현재 WAF, API 보안, 봇 방어, 포스트 양자 암호화를 아우르는 F5의 통합 WAAP 포트폴리오를 총괄하고 있습니다.

Muhammad Abid의 다른 블로그 게시물