PHP 원격 코드 실행 취약점 'PHP2셸', 민관 긴급 대응
인증 없이 서버에서 명령을 실행할 수 있는 PHP 엔진 취약점 두 건(CVE-2026-109618, CVE-2026-109619)이 21일 공개돼 정부가 민간 사이버위기 경보를 '주의'로 올렸다. PHP 개발팀은 8.2.35, 8.3.36, 8.4.27, 8.5.12를 배포했지만 8.1 이하는 공식 업데이트가 없고, 24일에는 기존 업데이트로 해결되지 않는 CVE-2026-115560도 나왔다. 안랩은 취약한 PHP가 설치된 것으로 추정되는 국내 호스트를 약 11만 건으로 집계했으며, 보안업계는 점검 도구와 차단 규칙을 내놓으면서도 근본 해결책은 업데이트라고 강조했다.
원문
- 민관 'PHP2셸 취약점' 총력 대응…점검·대응 방안 제공 ZDNet Korea · 2026년 10월 28일 11:15
뉴스 수집·요약·게시를 자동화한 이 사이트처럼, 반복 업무를 자동화하고 싶으신가요?
AI 분석
수집된 보도와 일반적인 배경 지식을 바탕으로 편집자 AI가 쓴 분석입니다. 사실 확인은 출처를 참고하세요.
배경
PHP는 일반적으로 전 세계 웹사이트의 상당수가 서버 언어로 쓰는 오래된 기반 기술이어서, 엔진 자체의 결함은 특정 제품 취약점보다 영향 범위가 훨씬 넓다. 보도에 따르면 이번 결함은 메모리 초기화 누락과 해제된 메모리 재참조라는 두 갈래에서 생겼고 CVSS 4.0 기준 9.2점을 받았다.
공개 나흘 전 아마존이 이미 공격 시도를 포착했고, 공식 권고 전에 개념증명 영상과 패치된 바이너리가 유출돼 공격 코드가 빠르게 퍼졌다는 분석도 나왔다. 24일에는 기존 업데이트로 막히지 않는 CVE-2026-115560이 추가로 확인됐고, 같은 시기 Node.js의 'Node2셸'까지 거론되며 대응 범위가 넓어졌다.
의미
기업 운영자에게 핵심은 8.1 이하 버전이다. 공식 업데이트가 없어 상위 버전 전환이나 백포트 보안 서비스 같은 우회 경로를 택해야 하고, 외주·방치·테스트 서버처럼 관리 목록에서 빠진 자산이 가장 큰 구멍이 된다.
개인정보 측면에서는 개인정보보호위원회가 경고했듯 PHP 서버가 뚫리면 연결된 DB의 이용자 정보까지 노출될 수 있다. 최근 금융권과 플랫폼에서 유출 사고가 잇따른 상황이라, 20일 이후 로그 점검에서 침해 흔적이 나오는 기업이 늘면 유출 신고가 연쇄적으로 이어질 수 있다.
보안업계에는 무료 스캐너와 웹방화벽 규칙 수요가 몰리고 있지만, 업체들 스스로 가상 패치는 보조 수단이라고 밝히고 있다.
전망
낙관
전제: 공공·군의 PHP 사용률이 낮고, 민간도 경보 격상과 KISA의 2만8000여 기업 긴급 전파로 패치 속도가 빨라진다. 그렇다면 대형 서비스는 몇 주 안에 노출을 줄이고, 피해는 관리가 느슨한 소규모 사이트에 국한될 가능성이 크다. 다수 보안 기업이 주소 입력만으로 점검하는 무료 도구를 내놓아 인력이 부족한 중소기업의 확인 장벽도 낮아졌다.
이 전제는 추가 우회 취약점이 계속 나오거나, 이미 심어진 웹셸이 패치 이후에도 남아 뒤늦게 유출이 드러나면 깨진다.
회의
전제: 진짜 위험은 패치 속도가 아니라 이미 일어난 침해다. 공격 코드가 공식 권고 전에 퍼졌고 공개 전부터 공격 시도가 있었으므로, 업데이트를 마친 서버에도 침입 흔적이 남아 있을 수 있다. 업계에서는 흔히 이런 대규모 원격 실행 취약점 뒤에 수주~수개월 시차를 두고 유출 사고 공지가 이어진다.
또 8.1 이하를 쓰는 레거시 시스템은 공식 수정이 없어 장기간 노출된 채 남을 수 있다. 이 전제는 로그 점검 결과 실제 침해 사례가 소수에 그치고 유출 신고가 늘지 않으면 깨진다.
지켜볼 신호
예측