10월 보안 사건 Top 5 — PHP·GitLab RCE에 AI 키 노린 PaaS 연쇄 유출까지

pwn.watch는 지금 진행 중인 보안 사건을 모아서 패치가 나왔는지 함께 보여 주는 사이트예요. 10월 23일 오전(KST) 기준으로 열려 있는 사건은 40건이에요.

• 심각도: 치명(Critical) 19건, 높음(High) 17건이에요.
• 패치 상태: 완전히 막힌 건 21건뿐이에요. 일부만 패치된 게 17건, 패치가 아예 없는 게 2건이에요.
• 흐름: 최근 2주 사이 AI 개발 도구와 PaaS에 저장된 비밀값을 노린 공격이 몰렸어요.

Top 5: 영향 범위, 인증 없이 공격 가능한지, 실제 공격이 있었는지를 기준으로 제가 골랐어요.

1. PHP2Shell (10/17): PHP 핵심 코드에서 인증 없이 원격으로 코드를 실행할 수 있는 버그가 2개 나왔어요(CVSS 9.2). 엠바고 정보가 새는 바람에 일찍 공개됐어요. 10/21에 패치가 나왔지만 그 전후로 공격 시도가 관찰됐고, QNAP 같은 장비 업체는 아직 패치를 준비 중이에요.
2. GitLab RCE (10/21): CVSS 10.0이고, 직접 설치해 운영하는 GitLab은 2014년 7.0 이후 모든 버전이 해당돼요. 10/12에 나온 정규식 버그 수정만 적용한 서버도 여전히 취약해요.
3. LiteLLM 공급망 공격 (10/21): 릴리스 파이프라인이 털려서 악성 1.107.0이 PyPI(약 2시간)와 Docker 이미지 태그로 배포됐어요. 설치하면 클라우드·AI 도구 자격증명을 훔치는 코드가 들어가요. 올해만 두 번째 침해예요.
4. PaaS 비밀값 유출이 연달아 터짐: Zeabur(10/14)에서 32만 개 계정의 환경 변수 322만 건이 털렸고, 회사는 연말에 서비스를 접어요. 이어서 Railway(10/21)도 환경 변수 유출을 밝혔어요. Railway는 AI 추론 업체를 노린 연쇄 공격의 일부로 보고 있어요.
5. eMudhra 중간 CA 키 유출 (10/18): 인증서를 발급하는 중간 CA의 개인키 8개가 복구 가능한 상태로 확인됐어요. 브라우저들은 해당 인증서를 차단했지만, Go·Node.js·Python certifi처럼 자체 신뢰 목록을 쓰는 런타임은 긴급 업데이트가 필요했어요.

그 밖에 볼 만한 사건

• 리눅스 커널 ksmbd 원격 코드 실행 버그 정보가 패치 전에 공개 메일링 리스트로 새 나갔어요. 아직 패치가 없어요.
• 프랑스 슈퍼마켓 약 700곳의 냉장 설비 컨트롤러가 장악당했어요.

위 내용은 pwn.watch의 사건 요약을 기준으로 했어요. 사건마다 원 출처를 따로 확인하지는 않았어요.

출처: pwn.watch · PHP2Shell · Zeabur 침해