Wiz가 PHP2Shell 공격 시도를 추적했지만 성공 사례는 없었고, 공개 후 인터넷 노출 취약 머신은 67% 줄었다

뉴스 알림

내 알림

로그인하고 알림을 만들어 보시기 바랍니다

전체 알림

해커뉴스

1952년 블루리본 여객선 SS United States, 11월 멕시코만에서 세계 최대 인공어초로 침몰 잉크젯 프린터 잉크 방울 20배율 사진, 니콘 스몰월드 2026 대상 차지 라즈베리 파이 제로 3 W와 파이 4 모델 A, 리눅스 디바이스 트리에 등장 Liquid AI, 2B급 멀티모달 LFM3 6종 공개. 1.7B가 LFM2.5-2.6B를 35% 적은 파라미터로 앞서고 4비트에서 약 1GB 마이크론, 20년 연구한 4F² DRAM 포기하고 6F²·3D DRAM으로 선회 Anthropic, 제약 6곳과 Claude 신약 개발 중간 결과 공개, CAR-T 설계 부위 70% 축소 유한 단순군 분류 정리, Lean으로 완전 형식화: 4,310만 줄에 선언 205만 개 인터넷 없이 도는 오픈소스 AI "Survival LLM", 93만 위키피디아 문서와 출처 인용까지 로컬에서 처리 Tailscale, SSH 권한 상승 취약점 확인하고 10월 27일 패치 목표 발표 애플, M6 탑재 14인치 MacBook Pro 발표, GPU 최대 30% 빨라지고 배터리 24시간 Wiz가 PHP2Shell 공격 시도를 추적했지만 성공 사례는 없었고, 공개 후 인터넷 노출 취약 머신은 67% 줄었다 애플, M6 탑재 24인치 iMac 공개. 10월 28일 예약 시작해 11월 6일 출시 경찰이 AI로 '수상한 행동' 운전자를 세운다, 해커뉴스는 위법 여부부터 따진다 Anthropic, 스탠퍼드 교수 책 해적판으로 Claude 학습 인정, $1.5B 합의에도 교수들 개별 소송 소프트웨어는 나빠지고 있지만 예전엔 끔찍했다, 95% 윈도우와 블루스크린의 기억 실험적 JIT, PEP 836 철회로 CPython에서 제거 수순 위키백과 'AI 정리' 프로젝트, 2023년 상투구 단속에서 2025년 'rule of three' 탐지로 Ghostty 1.4.0 공개, Kitty 그래픽스 100% 구현하고 보안 권고 11건 수정 DeepMind, 월드 모델 Genie 4 공개: 자연어로 실시간 장면 수정, 음악·환경음·대화까지 생성 미 정부, 시민 감시 방식 다룬 비밀 법원 판결 은폐…론 와이든 의원이 경고한 기밀 해석도 미공개 브라우저에서 돌아가는 Encarta 95: v86으로 윈도우 95 VM을 띄워 원본 CD롬 백과사전을 그대로 실행 14년 된 OpenGL ES 3.0을 여전히 강의에 쓰는 이유 카카오나무 집에서 키우기: 65-85F 실내와 펄라이트 50% 흙, 3년을 못 넘기는 벽 64비트 윈도우에서 윈도우 3.1 앱을 돌리는 otya128/winevdm, 해커뉴스에서 재조명 Debian NEW 큐에 LLM 리뷰가 붙자 개발자 "옵트아웃 없으면 업로드 안 한다"Roblox 크롤러, 3D 모델 사이트 712개 프로젝트에서 145.5GB 무단 다운로드 Cloudflare, GLM-5.3 Workers AI에서 요청 간 KV 캐시 노출 확인, 155개 응답에 다른 사용자 데이터 섞여 독일 매크로 사진작가 macrofying이 잉크젯 프린트 헤드가 종이에 잉크를 뿌리는 순간을 초근접 촬영 머리트 버팔로가 정리한 폰 노이만의 초년기: 6세에 여덟 자리 암산, 17세에 서수 새로 정의 브룩스의 법칙은 AI 시대에도 유효하다. "요구사항 불명확하면 에이전트를 더해도 틀린 답을 빨리 얻을 뿐"DF, 스탠퍼드와 다이아몬드 트랜지스터 개발, 3nm 실리콘과 서브스레숄드 스윙 동등 달성 정답 대신 질문만 던지는 '니체 디버거', Claude API로 돌아가는 anti-AI CLI 애플, 8.5인치 OLED와 A20 Pro 넣은 iPad mini 발표... HN은 60Hz·128GB·가격 인상에 냉담 태양광이 원자력보다 커졌다는 BBC 기사, 해커뉴스는 미국 주택 설치 견적 $20k와 호주 $3,500의 격차로 붙었다 마이크로소프트, 파이썬 전용 JSON-RPC 타입 서버 규격 TSP 문서 공개 인쇄용 CSS 한 장 붙여 블로그 출력 품질 고친 개발자, 코드블록 페이지 나눔은 미해결 1992년 빌드 CDPLAYER.EXE, 수정 없이 Windows 11에서 돌아가는 최고령 GUI 앱으로 확인 OpenAI math 저장소에 '지수 시간 가설은 거짓' 사전 논문 공개, HN "P=NP는 아니어도 같은 급"OpenAI, AI 모델로 카케야 추측·ETH 반증·QCD 존재 등 결과 3건 공개하고 외부 전문가 검증 방식 실험 마이크로소프트, 전체 인력 약 4분의 1에 대규모 자발적 퇴직 제안 ESP32-S3 128비트 SIMD로 FAST 코너 검출기 구현, QVGA 프레임당 약 6ms vLLM 0.31 제한 디코딩으로 Kimi·DeepSeek 도구 호출 스키마 정확도 100% 확보 ChatGPT, 기술 지원 질문에 404 Media 문의를 권해 스팸 몰려 코히어 샌드박스, 큐원3.8이 베이징 버킷으로 파일 업로드 시도하다 차단 Pharo 14 공개, Mission Control과 Pulse 도입하고 RISC-V JIT 지원 추가 파스칼이 1662년 파리에 띄운 8인승 마차 노선망, 7.5분 배차 고정 노선 대중교통의 원형 CSS-Tricks, 디지털오션에서 제프 그레이엄으로 넘어가 다시 개인 블로그로 오픈AI, GPT-6.1 Terra 공개...댓글서는 벤치마크 선별 의혹과 모델 라인업 혼란 지적 Sebastian Raschka, 추론 모델 직접 구현 영상 강좌 공개: 8편 11시간, PyTorch로 평가부터 강화학습·증류까지 Anthropic, 나스닥 티커 ANT로 S-1 제출…3분기 매출 $16.8B, 상반기 순손실 $81B BBC "탐조가 뇌를 바꾼다" 기사에 해커뉴스 댓글 "원인인지 결과인지 논문도 증명 못 한다"SIGGRAPH 2009 자기조직 나무 모델로 수형 생성한 절차적 나무 구현 로마가 싸운 1,469개 전투를 지도에 올린 인터랙티브 프로젝트, HN에서 'AI 슬롭' 논쟁 붙어 Steal My Bitcoin CTF 공략 PoC 공개, 힙 릭과 코드 릭 두 번으로 zif_system 호출 어텐션 없이 그래스만 다양체로 토큰 쌍 부호화, 18M 파라미터 모델이 Wikitext-2에서 트랜스포머의 10~15% 이내 도달 스탠포드 아카이브에 공개된 NeXT 사무실 사진, HN에서 "5만 대 중 한 대가 첫 웹 브라우저" 회고로 번져 키마다 CH32V003 RISC-V MCU를 넣은 모듈러 키보드 Keybytes, HN에 공개 1997년 워드아트를 웹에서 재현한 TitleArt, 해커뉴스에서 향수 자극 IBM CEO, 오픈 웨이트 모델이 성능 90%에 토큰 비용 10%라며 온프레미스 선택을 권고 깁슨이 2020년 소설에 그린 AI 조수 유니스, 자율 에이전트로 거의 도착했다는 블로그 글 Next.js 걷어내고 Lighthouse 전 항목 100점 찍은 개인 블로그 F-Zero X 디컴파일 3DS 이식, 31.7억 토큰 $4,974 들여 New 3DS 60fps와 Old 3DS·64DD 확장킷까지 디즈니 애니메이션 '제작 과정' 페이지가 해커뉴스에 또 올라와, 댓글은 렌더러 계보와 AI 논쟁으로 갈림 컨텍스트 엔지니어링의 현재: 코드로 고정할 것과 모델에 맡길 것을 가르는 일 아마존 3세용 키즈 태블릿, "디지털 쪽쪽이"라는 소아과 비판에 휘말려 1993년 Denthor의 파스칼 데모 튜토리얼에서 시작된 프로그래머의 길, 크랙트로와 BBS 회고 탭을 방치하면 덩굴이 자라는 크롬 확장 Overgrown, 마우스로 벨 수 있다 GPT-5.6에서 GPT-6.1까지 석 달 만에 LLM 가격 75% 하락, 절감의 핵심은 캐시 읽기 단가 PC-98 동방 리버스 엔지니어링 ReC98, 포인트 아이템 음수 버그 정리하고 은퇴 선언 DreamHost 파일 매니저·웹메일 장애로 이메일·FTP 비밀번호 강제 재설정 UC 버클리 수학 교수, 학생 AI 사용에 숙제 채점은 "의미 없다" 판단 돌리 파튼의 상상 도서관, 1995년부터 5개국 아이들에게 매달 무료 책 배송 S&P 500 시가총액 버블 안에 직원 수를 그려 넣은 Show HN, 기업 구조 차이 지적도 나와 오리건 경찰, 경찰관 한 명 기록 요청에 248만 달러 견적... "44,816시간, 21년치"fheroes2, HOMM2 엔진을 처음부터 다시 구현해 6,014개 커밋 쌓은 오픈소스 프로젝트 FOSDEM 27 '검열 없는 인터넷' 발표, HN은 메시망 현실론과 AI 감옥론으로 갈림 10년 된 CNN이 피부암 진단 62%로 GPT-6 Astra·Claude Fable 5.1의 42%를 앞서 2025년형 삼성 TV에서 제로데이로 루트 셸 확보, 리버서가 "프라이버시 공포" 분석글 예고 삼성 TV, 960×540 화면을 몇 초마다 AlexNet TFLite로 추론해 무슨 게임인지 식별 시도 중세 피크 디스트릭트 납 제련, 치아 법랑질로 7세기 중반 시작 밝혀져 인디 웹코믹 작가들, 플랫폼 알고리즘과 결제 대행사 사이에서 밀려난다 프랑스 총리, 10월 24일 시위 앞두고 틱톡·인스타·스냅챗·X 임시 DNS 차단 준비 지시 스크래치보다 이스터에그에 더 오래 붙잡힌 아이들: 제약이 창의성과 학습을 살린다 SDF 필로그 'Why Gopher in 2026?'에 해커뉴스서 고퍼·Gemini 콘텐츠 부족론까지 붙어 Rockchip RV1103 한 칩에 스테레오 비전과 리눅스를 넣은 4층 보드, 설계 파일까지 공개 Cerebras, 3조 파라미터 Kimi K3를 웨이퍼 59장 파이프라인에 올려 초당 2000토큰 서빙 Meta, 브라질 선거법원 명령에도 룰라에 부정 콘텐츠 연결 계속 640x480 VGA 드라이버를 SystemVerilog 카운터로 직접 만든 DE10-lite 랩 노트 46바이트 Forth부터 122줄 J 인터프리터까지, 작은 프로그램 예찬 LLM이 전부 작성한 '가장 빠른 정렬 맵' bbtree, 해커뉴스에서 마케팅 논란으로 번져 EPFL, 뇌 영역 간 동기화를 읽는 200µW 이식형 뉴럴칩 LogSync 공개 SpeedCrunch 1.1, 10년 만의 업데이트로 연산 순서 버그까지 고쳤다 HFGCS 11175 kHz 긴급행동메시지를 청취·해독해 공개하는 missileer.watch 화제 미국 창작 산업 4년간 20만 일자리 증발, AI는 얼마나 책임인가 Dan Luu "AI로 예전엔 1년 걸리던 프로젝트가 몇 시간이면 된다, 더 야심차게 만들자"힙도 GC도 수명 표기도 없는 시스템 언어 Goose, 자체 벤치마크서 C++보다 3.3배 빠르다고 주장 PHP 취약점 검증 실험 'Steal My Bitcoin', 서버에 $500 상당 비트코인 숨겨두고 5일째 무성공 190살 거대거북 조너선, 세인트헬레나 5펜스 동전 뒷면 도안으로 등록 TornadoVM 7 공개, JDK 21 이상에서 자바 코드를 CUDA·Metal GPU에서 실행 Dream Labs, 처음 보는 로봇을 제어하는 World Action Model Dream-1 공개. $90M 시드와 시간당 $3 공개 API

Wiz가 PHP2Shell 공격 시도를 추적했지만 성공 사례는 없었고, 공개 후 인터넷 노출 취약 머신은 67% 줄었다

Wiz 텔레메트리에서 PHP2Shell 공격 시도는 관측됐지만 성공 사례는 없었고, 임의 대상을 완전히 공격하는 공개 PoC도 아직 확인되지 않음
Wiz 데이터셋 조직의 65%가 PHP를 쓰는 가운데, 2026년 10월 21일 공개 이후 인터넷에 노출된 취약 머신의 일별 수는 약 67% 감소했고, 취약 인스턴스가 하나 이상 있는 조직 수는 약 47.9% 줄어 일주일 뒤 초기 영향 조직의 53% 미만만 취약하게 남음
9bie의 오픈소스 익스플로잇 킷 중 구형 체인은 12,655,437바이트 요청이 8MB post_max_size를 넘어 실패했고, 신형 체인은 PHP 메모리를 고갈시켰지만 필요한 메모리 주소를 얻지 못해 체인을 완료하지 못함
103.151.172.95의 Roundcube 공격 시도는 Apache 워커를 점유하려고 연결을 지연시키고 3,000바이트 필드 1,001개로 힙 셰이핑을 했지만 필요한 메모리 고갈 흐름을 만들지 못함
PHP2Shell 이름을 단 별도 도구는 취약점과 무관하게 세션 포이즈닝과 애플리케이션의 별도 LFI 취약점을 이용한 것으로 관측됨

Hacker News 의견들

Wiz 허니팟에서 성공한 PHP2Shell 공격이 없다는 것뿐이지, 취약점 자체는 Steal my Bitcoin 챌린지에서 이미 뚫렸음. Dan Guido가 Trail of Bits에서 유니버설 익스플로잇이 있다고 한 걸로 아는데, 그쪽 실적 보면 일단 믿어볼 만함.

stealmybitcoin.com 글이 HN에 올라왔을 때는 아무도 못 뚫었으니 취약점은 가짜고 AI 마케팅이라는 댓글이 수백 개였음. 실제로 뚫린 뒤로는 조용하고, 그때 댓글 단 사람 대부분은 아직도 모를 거임.

지난주엔 회사들이 php2shell이 몇 달째 활개 쳤다고 하던데, 그랬으면 로그에 이상한 에러가 잔뜩 있어야 하는 거 아님? 나는 아직 좀 수상하게 봄.

LiveOverflow 영상에 자세히 나오는데, 우승자는 KillaBoi PoC임. 챌린지 사이트는 처음엔 PHP가 아니라서 안 뚫렸다가 PHP로 바꾼 뒤 두 시간 만에 뚫렸고, LiveOverflow도 요청 두 번으로 RCE 되는 익스플로잇을 보여줌.

Steal my Bitcoin은 현실적인 PHP 구성이 전혀 아님. 내장 PHP 개발 서버를 쓴 장난감이고, 같은 워커에 요청이 떨어져야 한다는 조건도 챌린지엔 없었음. pm.max_requests=1이면 100% 안전한 거면 유니버설 익스플로잇이라는 말부터 틀린 거 아님?

현대 PHP 운영 스택에서 증명된 취약점은 아직 없음. 챌린지는 php -S 개발 서버를 쓴 장난감이고, OOM corruption도 mod_php에서만 완전한 익스플로잇이 증명됐고 php-fpm은 완전한 익스플로잇이 없다는 게 권고안 내용임. 8.5의 stale global state는 debug fatal_error_backtraces가 켜졌을 때 취약했음.

Trail of Bits가 대체 뭘 했다고 100% 신뢰한다는 건지.

Dan Guido가 유니버설이라고 한 건 아닌 걸로 앎. 걔는 그냥 되는 익스플로잇이 있다고 했고, 공개하면 패치할 시간이 줄어드니까 안 보여준다는 쪽임. Steal my Bitcoin 익스플로잇도 특정 스택에서만 되고, 그래서 사이트에 축소된 phpinfo를 올린 거고.

Bleeping Computer는 성공적으로 악용됐다고 보도했는데, 같은 기사에서 PHP 6도 취약 버전에 넣었음. 걔네 검증 기준은 좀 못 믿겠음.

며칠째 이거에 파묻혀서 타임라인 정리 중임. 특정 구성에서 성공한 사례는 여러 개 있지만 단일 워커 mod_php나 실제 배포와 얼마나 비슷한지 애매한 랩인 경우가 많고, Dan Guido의 광범위 익스플로잇 주장은 세부가 거의 없고, 야생 시도는 수백만 건인데 실제 침해 증거는 적음. Unit 42는 자기 주장을 철회했음.

PHP는 진짜 구리고 오래된 언어라서 널리 쓰이는데 돈과 인력 투자가 적음. 공격자 입장에선 완벽한 표적임.

Adel Karimi 허니팟은 스캐너들이 실제로 익스플로잇했고, CISA가 PHP2Shell을 KEV에 넣은 데도 영향을 줬다고 함. bumblebee, numbat, galah 같은 오픈소스 작업도 대단하고.

패치 중인 팀이라면 인터넷에 노출된 호스트와 컨테이너가 어떤 PHP 버전을 쓰는지 목록부터 만들어야 함. 그 목록이 비어 있는 경우가 많고, 패치해도 이미 심어진 건 안 없어지니까 웹 루트와 업로드 디렉터리에서 새 PHP 파일이나 수정된 파일을 찾고 패치 전 접근 로그도 봐야 함. 허니팟 성공률이 낮다고 내 서버가 안전한 건 아님.

Fil-C로 PHP 포팅하는 건 GitHub에 올라와 있고, 테스트해 보니 모든 익스플로잇이 DoS로 바뀐다고 함.

벤치마크는 돌려봤음? Zend 할당자가 세밀한 추적과 잘 안 맞아서 시스템 할당자로 바꿔야 한다는 얘기도 있던데.

어떤 테스트와 어떤 PoC로 확인한 건지 궁금함. 공개 php2shell 킷은 이미 stock 8.4에서 워커를 8/8 크래시시키고 0/8 셸만 얻었고, OOM 터지는 건 memory_limit이 설계대로 동작한 거지 시스템 익스플로잇이 아님. Pix 아니면 증거를 내놔.