PHP 취약점 php2shell 총정리, 전 세계 해킹 비상 이유와 대응법

작성일자 글쓴이

최근 PHP 취약점 때문에 전 세계가 비상이라는 뉴스가 쏟아지고 있습니다. 로그인 없이 요청 한 번으로 서버를 장악할 수 있는 결함이기 때문입니다.

특히 PHP는 워드프레스를 비롯해 웹사이트 대부분을 움직이는 언어입니다. 그래서 피해 범위가 매우 넓습니다. 이 글에서는 2026년 10월 22일까지 나온 국내외 보도와 보안 기업 자료를 바탕으로 핵심만 정리했습니다.

참고: 이 글은 2026년 10월 22일 기준 공개 자료를 정리한 것입니다. 상황이 빠르게 바뀌고 있으니 PHP 공식 발표와 사용 중인 호스팅·배포판의 공지를 함께 확인하세요.

한눈에 보는 요약

먼저 결론부터 말씀드리겠습니다. 이번 사태의 핵심은 아래 다섯 가지입니다.

  • 결함 2건: CVE-2026-109618, CVE-2026-109619 (별칭 php2shell)
  • 위험도: 두 건 모두 CVSS 4.0 기준 9.2점(치명적)
  • 피해 유형: 인증 없이 원격 코드 실행(RCE), 즉 서버 장악 가능
  • 패치: 10월 21일 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 배포
  • 현황: 공개 전부터 공격 시도가 관측됐고, 지금은 광범위하게 악용 중

PHP 취약점 php2shell이란 무엇인가

PHP는 웹 서버에서 페이지를 만들어 주는 프로그래밍 언어입니다. 이번에 발견된 PHP 취약점은 특정 프로그램이 아니라 PHP 엔진 자체에 있습니다.

따라서 PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed 등 웹 요청을 처리하는 거의 모든 설치 환경이 대상입니다. 그중 mod_php 환경이 가장 위험하다는 분석도 나왔습니다.

결함 1. CVE-2026-109618 (메모리 부족 처리 오류)

첫 번째 결함은 메모리가 부족할 때 생깁니다. 요청 데이터가 절반쯤 준비된 상태에서 메모리가 바닥나면 PHP가 처리를 멈춥니다.

그런데 이후 정리 과정에서 망가진 데이터를 정상 데이터로 착각합니다. 공격자는 이 틈을 이용해 메모리를 오염시킬 수 있습니다.

결함 2. CVE-2026-109619 (해제된 메모리 재사용)

두 번째 결함은 요청과 요청 사이에 남은 정보 때문에 생깁니다. 한 요청이 끝난 뒤에도 일부 내부 상태가 이미 비워진 메모리를 가리킵니다.

그 결과 같은 작업 프로세스가 받은 다음 요청이 이 낡은 정보를 사용합니다. 이를 통해 코드 실행은 물론 메모리 내용 유출도 가능합니다.

왜 전 세계가 비상인가

이번 PHP 취약점이 유독 크게 다뤄지는 이유는 세 가지입니다.

1. 로그인 없이 요청 한 번으로 공격 가능

우선 공격 조건이 매우 쉽습니다. 관리자 계정이나 비밀번호가 필요 없습니다. 애플리케이션 코드가 실행되기도 전에, 인증 없는 요청 하나로 공격이 시작됩니다.

2. 사용 범위가 압도적으로 넓음

다음으로 PHP는 서버 언어가 확인되는 웹사이트의 약 70%가 사용합니다. 워드프레스는 전체 웹사이트의 약 43%를 차지합니다.

보안 연구자들은 인터넷에 노출된 취약 호스트를 130만~190만 개로 추정했습니다. 국내 매체 보도에 따르면 한국에도 약 11만 2천 개가 있습니다. 이는 전 세계의 4.35%로, 국가별 6위 수준입니다.

3. 이미 공격이 시작됨

게다가 공격은 이미 진행 중입니다. 아마존 위협 인텔리전스는 공개 4일 전인 10월 17일에 첫 공격 시도를 포착했습니다. 이후 10월 21일부터 여러 공격자의 시도가 이어졌습니다.

클라우드플레어와 watchTowr도 실제 공격 시도를 확인했습니다. 한편 CVE 번호가 10월 20일 온라인에 먼저 유출되면서, PHP는 패치 공개를 하루 앞당겼습니다.

AI가 찾아낸 10년 넘은 결함

이번 사태는 AI가 찾아낸 결함이라는 점에서도 주목받고 있습니다. 문제가 된 코드는 무려 PHP 5.4.0 시절부터 있었습니다.

보안 기업 Calif는 오픈AI의 AI 모델을 활용해 공격 경로를 찾아냈습니다. 또한 클라우드 보안 기업 Wiz도 AI를 활용해 두 결함을 별도로 보고했습니다.

예전에도 의심은 받았지만, 실제 공격까지 이어지는 과정이 너무 복잡해 방치돼 왔습니다. 그러나 Wiz는 최신 AI 모델이 이 장벽을 크게 낮췄다고 설명했습니다. 결국 AI가 방어뿐 아니라 공격에도 쓰일 수 있다는 우려가 함께 커지고 있습니다.

영향받는 버전과 패치 버전

이제 가장 중요한 버전 정보를 확인해 보겠습니다.

PHP 버전상태조치
8.5.x8.5.12 미만 취약8.5.12로 업데이트
8.4.x8.4.27 미만 취약8.4.27로 업데이트
8.3.x8.3.36 미만 취약8.3.36으로 업데이트
8.2.x8.2.35 미만 취약8.2.35로 업데이트
7.4 ~ 8.1공식 릴리스 없음소스 백포트 적용 또는 상위 버전 이전
5.4 ~ 7.3지원 종료, 패치 없음즉시 상위 버전으로 이전

참고로 리눅스 배포판 패키지를 쓴다면 배포판 공지를 확인해야 합니다. 주요 배포판은 사전에 패치를 받아 자체 업데이트를 내놓고 있습니다.

국내외 대응 상황

각국 정부도 빠르게 움직이고 있습니다.

해외 대응

  • 미국: CISA가 긴급 패치를 권고했습니다. 즉시 업데이트가 어려우면 오프라인 전환까지 권했습니다.
  • 영국: 국가사이버보안센터(NCSC)가 고칠 수 없는 시스템은 오프라인 전환을 검토하라고 했습니다.
  • 유럽: EU가 공동 경고를 냈고, 독일·프랑스·네덜란드·핀란드는 일부 공공 사이트를 일시 중단했습니다.
  • 기업: 팔로알토네트웍스는 PAN-OS 전 버전이 영향을 받는다고 밝혔습니다. 시스코·포티넷도 자사 제품을 점검 중입니다.

국내 대응

  • 과기정통부: 10월 22일 낮 12시부로 민간 분야 사이버위기 ‘주의’ 경보를 발령했습니다.
  • 호스팅 업체: 카페24는 임시 방어 조치를 시행했고, 가비아는 22일 0시부터 긴급 패치를 진행했습니다.
  • KISA: PHP를 쓰는 모든 기관에 버전 확인과 신속한 업데이트를 당부했습니다.
  • 행안부: 공공 시스템은 대부분 자바 기반이라 영향이 상대적으로 작다고 설명했습니다.

PHP 취약점 대응 방법, 지금 할 일

그렇다면 블로그나 웹사이트 운영자는 무엇을 해야 할까요? 순서대로 정리했습니다.

1. PHP 버전부터 확인하기

먼저 호스팅 관리 화면이나 워드프레스 도구 → 사이트 건강 → 정보 → 서버에서 PHP 버전을 확인하세요. 서버에 직접 접속할 수 있다면 php -v 명령으로도 볼 수 있습니다.

2. 패치 버전으로 즉시 업데이트하기

다음으로 위 표의 패치 버전으로 올리세요. PHP 공식 입장은 업데이트만이 완전한 해결책이라는 것입니다. 업데이트 후에는 PHP 작업 프로세스를 반드시 다시 시작해야 합니다.

공유 호스팅을 쓴다면 직접 바꾸기 어려울 수 있습니다. 이 경우 호스팅 업체 공지를 확인하거나 고객센터에 패치 여부를 문의하세요.

3. 당장 못 한다면 임시 조치하기

곧바로 업데이트할 수 없다면 PHP가 제시한 임시 설정을 적용하세요. 다만 위험을 줄일 뿐, 안전을 보장하지는 않습니다.

  • CVE-2026-109618: memory_limit=-1 (애플리케이션이 덮어쓸 수 없게 설정)
  • CVE-2026-109619: session.upload_progress.enabled=0
  • PHP 8.5라면 추가로 fatal_error_backtraces=0
  • 설정 변경 후 모든 PHP 작업 프로세스 재시작

또한 클라우드플레어는 무료 요금제까지 웹 방화벽(WAF) 차단 규칙을 배포했습니다. 그러나 이것도 임시방편일 뿐입니다.

4. 침해 흔적 점검하기

마지막으로 이미 공격받았을 가능성도 따져 봐야 합니다. 아마존은 10월 17일 이후 로그부터 점검하라고 권고했습니다. 낯선 관리자 계정, 새로 생긴 PHP 파일, 이상한 외부 접속이 없는지 확인하세요.

블로그 보안이 처음이라면 이전 보안 관련 글도 함께 참고해 보세요.

마무리

정리하면, 이번 PHP 취약점은 로그인 없이 서버를 장악할 수 있는 치명적 결함입니다. 더구나 공격이 이미 시작됐고, 쓰는 곳도 매우 많습니다.

따라서 PHP 기반 사이트를 운영한다면 오늘 바로 버전을 확인하고 업데이트하는 것이 가장 확실한 방법입니다. 특히 오래 관리하지 않은 홈페이지와 구형 PHP 버전은 우선 점검 대상입니다.

참고 자료

Views: 23

관련 글 :

답글 남기기

이메일 주소는 공개되지 않습니다. 필수 필드는 *로 표시됩니다