전 세계 웹사이트에서 널리 사용되는 PHP에서 치명적인 보안 취약점이 발견된 가운데, 정식 보안 업데이트가 배포되기도 전에 관련 정보가 유출되면서 비상이 걸렸다.
PHP2Shell로 명명된 이번 취약점은 CVE-2026-109618과 CVE-2026-109619 두 가지로, 별도의 로그인이나 인증 절차 없이 외부에서 웹서버에 악성 명령을 실행할 수 있는 것이 특징이다. 보안 위험도는 CVSS 4.0 기준 9.2점으로 치명적 수준에 해당한다.
문제는 취약점 자체보다 이를 공개하는 과정에서 발생했다. PHP 개발팀은 보안업체와 소프트웨어 공급업체들이 패치를 준비할 시간을 확보하기 위해 당초 10월 22일 취약점과 수정 버전을 함께 공개할 계획이었다.
그러나 20일부터 온라인 커뮤니티와 SNS를 통해 취약점 식별 번호와 관련 정보가 유포되는 문제가 발생했다. 이후 보안업체 Calif가 취약점을 실제로 악용하는 과정을 보여주는 개념증명(PoC) 영상을 실수로 공개했고, 해당 영상이 삭제된 이후에도 복사본이 확산됐다. 여기에 보안 소프트웨어 업체 Chainguard가 공식 발표보다 6시간 이상 앞서 수정된 PHP 실행 환경을 공개하면서 공격자들이 기존 버전과 수정 버전을 비교해 취약점을 분석할 수 있는 상황까지 발생했다.
PHP 개발팀은 Chainguard가 사전 공개 금지 약속을 위반했다며 비판했다. 반면 Chainguard 측은 이미 실제 공격 정황이 포착된 상황에서 이용자 보호를 위해 수정 버전을 먼저 공개했다고 반박했다. 보안 패치가 준비될 때까지 정보를 비공개로 유지하는 것이 안전한지, 공격이 시작된 상황에서는 패치를 먼저 공개하는 것이 적절한지를 놓고 양측의 입장이 엇갈린 것이다.
결국 PHP 개발팀은 당초 일정보다 하루 앞당긴 10월 21일 긴급 보안 업데이트를 배포했지만, 취약점 정보가 먼저 유출된 탓에 공격자들이 대응할 시간을 확보했다는 우려는 남게 됐다.
이번 취약점이 특히 위험한 이유는 PHP가 전 세계 웹사이트에서 광범위하게 사용되는 데다, 개별 웹사이트의 프로그램이 아닌 PHP 자체에서 발생한 문제이기 때문이다. 워드프레스 등 PHP 기반 콘텐츠 관리 시스템은 물론 기업 홈페이지, 쇼핑몰, 공공기관 웹서비스, 내부 업무 시스템까지 영향을 받을 수 있다.
공격이 성공할 경우 웹서버에 악성 프로그램을 설치하거나 고객정보를 탈취하고, 홈페이지를 변조하는 등의 피해가 발생할 수 있다. 서버가 기업 내부 시스템과 연결돼 있다면 추가적인 내부망 침투로 이어질 가능성도 있다.
한편, PHP는 워드프레스, 드루팔, 줌라 같은 콘텐츠 관리 시스템을 비롯해 쇼핑몰, 기업 홈페이지, 커뮤니티, 공공기관 웹사이트 등 다양한 서비스 구현을 위해 사용 중이며, 2026년 10월 기준 전 세계 웹사이트의 약 69.3%에서 사용 중인 것으로 알려져 있다.
실제로 해외 보안업체들은 PHP2Shell을 악용하려는 공격 시도를 관측했다고 밝혔으며, 일부 해외 정부기관과 기업은 피해를 예방하기 위해 웹서비스를 일시 중단하고 긴급 점검에 나섰다. 국내에서도 한국인터넷진흥원(KISA)이 보안 업데이트와 긴급 대응 수칙을 안내했다.
KISA는 PHP를 사용하는 기업과 기관에 최신 보안 버전인 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상으로 업데이트할 것을 권고했다. 공식 보안 지원이 종료된 PHP 8.1 이하 버전은 지원되는 버전으로 전환해야 하며, 업데이트 이후에는 기존 취약한 프로그램이 계속 실행되지 않도록 웹서비스를 재시작해야 한다.
특히 관리가 소홀해지기 쉬운 오래된 홈페이지와 외주 제작 사이트, 테스트 서버, 관리자 페이지도 점검 대상에 포함된다. 웹호스팅 서비스를 이용하거나 PHP가 내장된 네트워크 장비 및 솔루션을 사용하는 경우에는 해당 서비스 제공업체나 제조사에 보안 패치 적용 여부를 확인해야 한다.
즉시 업데이트하기 어려운 환경에서는 웹 방화벽을 이용해 비정상적인 요청을 차단하고, 불필요한 파일 업로드 기능을 제한하는 등의 임시 조치를 적용할 수 있다. 다만 이러한 방법만으로 취약점을 완전히 해결할 수는 없으므로, 가능한 빠르게 정식 보안 업데이트를 적용하는 것이 중요하다.
KISA는 이번 사건이 패치 배포 이전에 취약점 정보가 유출됐기 때문에, 최소 10월 20일 이후의 서버 로그를 확인하고, 비정상적인 웹 요청이나 PHP 오류, 의심스러운 파일 생성, 외부 서버 접속 기록 등을 점검하도록 권고했다.
[뉴스] 리눅스 커널 보안 취약점 6건, 패치전 공개 채널 유출 논란 
