PHP2Shell: 심각한 PHP 결함이 글로벌 패치 러시 및 사이트 종료를 촉발

2026년 10월 21일, PHP 프로젝트는 Help Net Security 및 캐나다 사이버보안 센터에 따르면, 보안 연구원 및 벤더가 "PHP2Shell"이라고 별칭을 붙인 2개의 심각한 보안 결함을 수정하기 위한 긴급 업데이트(버전 8.5.12, 8.4.27, 8.3.36 및 8.2.35)를 발표했습니다. CVE-2026-109618 및 CVE-2026-109619로 추적되는 이러한 결함은 모두 심각한 심각도 문제로 설명됩니다. 이 기사에서 검토한 소스는 공식적인 숫자 CVSS 점수를 인용하지 않았습니다.

취약점이 하는 일

두 취약점 모두 비정상적인 조건에서 요청을 처리하는 방식의 메모리 안전 버그입니다. Bleeping Computer 및 Help Net Security에 따르면, CVE-2026-109618은 메모리 부족 오류가 내부 요청 데이터가 부분적으로만 설정된 상태에서 PHP를 중단할 때 발생하여, 나중의 정리 루틴이 해당 불완전한 데이터를 유효한 것으로 취급합니다. CVE-2026-109619는 stale-state(오래된 상태) 결함입니다. 한 요청과 연결된 메모리가 해제되었다가 동일한 워커 상의 이후 요청에 의해 제대로 재설정되기 전에 재사용될 수 있으며, 이는 데이터 노출 또는 코드 실행을 가능하게 할 수 있습니다.

캐나다 사이버보안 센터는 둘 다 Use-After-Free 취약점(CWE-416)으로 분류했으며, 성공적인 공격으로 인증되지 않은 공격자가 암호나 사용자의 조치 없이 서버에서 임의 코드를 실행할 수 있다고 말했습니다. 해당 기관은 입증된 익스플로이트가 애플리케이션 코드가 실행될 기회를 갖기 전에 버그를 트리거할 수 있기 때문에 mod_php 배포가 가장 높은 위험에 직면하고 있다고 말했습니다. 이는 Bleeping Computer가 보도한 대로 PHP 보안 팀에서도 사용한 설명입니다.

이 버그는 PHP-FPM, Apache의 mod_php, php-cgi, FrankenPHP 및 LiteSpeed를 포함하여 웹 요청을 처리하는 모든 PHP 설치에 영향을 미칩니다. Bleeping Computer 및 캐나다 공시에 따르면, 기본 코드는 PHP에 10년 이상 존재했지만, 공식 수정 사항은 8.2-8.5 브랜치에 대해 발표되었으며, 지원 종료 날짜가 지난 7.4-8.1에 대한 소스 수준 백포트가 제공되었습니다.

어떻게 발견되었는지, 그리고 AI가 중요한 이유

Fortune에 따르면, 결함이 있는 코드는 PHP에 10년 이상 존재했지만, 3개의 독립적인 당사자가 2026년 8월에 수렴했습니다: 보안 회사 Wiz, Calif라는 회사, 그리고 OpenAI는 PHP 재단과 함께 수정 및 조정된 공개에 대해 작업했습니다. Fortune이 보도한 바에 따르면, Wiz는 OpenAI의 GPT-5.6 Sol 및 Google의 Gemini 4 Argon을 포함한 AI 모델을 사용하여 약점을 이해하고 이를 작동하는 익스플로이트로 전환하는 데 도움을 주었습니다. Wiz는 Fortune에 이 사례가 AI가 주도한 전환을 나타낸다고 말했으며, 취약한 코드가 10년 이상 존재했던 것은 맞지만, 변한 것은 연구원들이 AI를 사용하여 약점을 이해하고 이를 작동하는 익스플로이트로 전환할 수 있는 능력이라고 말했습니다.

Fortune은 또한 OpenAI가 독자적인 성명에서 이 에피소드가 AI가 인터넷 규모의 영향력을 가진 보안 결함을 드러내는 데 어떻게 도움이 될 수 있는지를 보여준다고 말했다고 보도했지만, 동일한 AI 기능이 공격자가 공격 도구 및 익스플로이트를 더 빠르게 개발하도록 도울 수 있다는 것을 인정했습니다.

악용 시도 및 Cloudflare의 초기 대응

Cloudflare는 자신의 블로그에서 2026년 10월 21일 협정 세계시 03:02에 웹 애플리케이션 방화벽 규칙을 활성화했다고 말했으며, 이는 취약점이 공개되기 약 9시간 전이라고 설명했습니다. ppc.land로 요약된 Cloudflare의 게시물에 따르면, 회사는 무료 계층 고객을 위해 7개의 "Generic Rules – Anomalous Execution"을 배포했으며, 유료 요금제에 대해 동등한 7개 규칙을 배포했으며, 동일한 거래 내에서 요청과 응답을 모두 확인하는 1개의 추가 규칙을 배포했습니다. 동일한 게시물에 따르면, Cloudflare는 공격자가 새로운 규칙을 회피하려는 명백한 시도에서 나중에 익스플로이트 페이로드를 변경하는 것을 관찰했지만, 정확한 공격량 수치를 발표하지 않았습니다.

별도로 Amazon의 위협 정보 팀은 Bleeping Computer가 인용한 바에 따르면, 공개 패치 4일 전인 2026년 10월 17일부터 시작하여 취약점에 대한 악용 시도를 감지했다고 말했으며, 일부 위협 행위자가 일반 공개 전에 익스플로이트 세부 정보에 액세스했음을 시사합니다. 대조적으로, 캐나다 사이버보안 센터의 공시는 작성 당시 능동적인 악용을 식별하지 못했다고 말하면서 상황이 빠르게 변할 수 있다고 주의했습니다. 두 평가는 사실상의 모순이 아니라 다른 관찰 지점과 타이밍을 반영합니다.

일본: 정부가 패치 또는 종료를 촉구

이 취약점은 특히 일본에서 강한 관심을 끌었습니다. 2025년 7월에 재편성된 NISC의 후속 기관인 일본 국가 사이버보안 사무실은 BigGo Finance의 기관 성명 보도에 따르면, 운영자에게 자신의 웹사이트가 PHP를 실행하는지 확인하고 빠르게 조치하도록 촉구하는 공시를 발표했습니다. 다카이치 사나에 총리는 X에 "오늘 밤 모두가 대응해야 하는 긴급 요청입니다"라고 게시했으며, BigGo Finance가 보도한 대로 즉각적인 패치를 할 수 없는 경우 웹사이트를 임시로 중단하는 것이 위험을 줄이는 효과적인 방법이 될 수 있다고 말했습니다.

해당 지침에 따라 여러 일본 온라인 서비스는 2026년 10월 21일 밤 긴급 유지보수에 들어갔습니다. 보육 관리 플랫폼 CoDMON, 카드 게임 Shadowverse: Worlds Beyond, 온라인 상점 빌더 BASE 및 호스팅 제공업체 Sakura Internet을 포함했습니다. BigGo Finance 보도에 따릅니다. PHP의 공식 패치는 일본 시간 오후 10:40경에 발표되어 처음 발표된 오후 11:00 목표에 앞서 발표되었습니다. 동일한 보도에서 말했습니다.

별도로, Internet Watch(Impress)가 보도한 바에 따르면, 일본 통신 제공업체 Baltec은 개인 데이터의 가능한 노출을 나타내는 무단 접근을 감지한 후 클라우드, 예약, 판매 시점 및 비용 관리 도구를 다루는 약 23개 서비스를 중단했습니다. Baltec은 처음에 PHP 취약점을 대상으로 하는 사이버 공격에 대한 사건을 귀속시켰지만, 회사가 PHP 관련 보안 조치를 검토하는 동안 두 가지 문제를 혼동했다고 말한 후 같은 날 수정을 발표하여 실제 원인은 PHP 결함이 아니라 자체 서비스의 취약점이라고 말했습니다. Baltec은 Internet Watch가 보도한 대로 서비스 복원을 2026년 10월 26일로 예정했습니다.

노출 범위

PHP는 WordPress 사이트, Wikipedia, Microsoft.com 및 Archive.org를 포함하여 전 세계 웹사이트의 약 70%를 구동합니다. Fortune이 보도한 바에 따르면, 모든 웹사이트의 약 40%는 WordPress에서 실행되며, WordPress 자체는 PHP에 의존합니다. Fortune은 또한 인터넷에 노출된 22.6백만 개의 잠재적으로 취약한 PHP 인스턴스를 식별하는 초기 스캔을 인용했습니다.

아직 알려지지 않은 것

이용 가능한 보도 시점까지, 예방적 종료와 반대로 PHP2Shell 악용으로 직접 유발된 성공적인 대규모 위반을 확인하는 소스가 없습니다. 총 악용 시도에 대한 수치는 소스 및 측정 윈도우에 따라 다릅니다: Cloudflare CEO는 일본 매체(Yahoo! News를 통해)에서 시도 횟수가 공개 전 수천에서 공개 후 45분 내에 수만으로 증가하고 2시간 내에 수십만에 도달했으며 그 보도 시점까지 수백만에 도달했다고 인용되었습니다. Cloudflare의 블로그 게시물은 이러한 특정 수치를 반복하지 않았습니다. 독자는 정확한 공격량 수치를 예비적인 것으로 취급해야 하며 이를 추적하는 조직의 개정 대상이 될 수 있습니다.