전 세계 웹사이트 상당수가 쓰는 PHP에서 치명적인 원격 코드 실행 취약점이 발견돼 보안 당국과 업계가 긴급 대응에 나섰습니다. 문제는 PHP 실행 엔진의 결함 두 건을 묶은 PHP2Shell로, CVE-2026-109618과 CVE-2026-109619로 분류됩니다. 인증 없이 악성 코드를 실행해 개인정보 유출과 내부망 침투로 이어질 수 있습니다.
전 세계 서버 흔든 PHP2Shell
PHP는 워드프레스와 드루팔 같은 CMS와 호스팅 환경에서 폭넓게 쓰입니다. PHP를 직접 개발하지 않은 기업도 CMS나 호스팅을 통해 영향을 받을 수 있다는 점이 핵심입니다. 포티넷은 영향을 받을 수 있는 PHP 서비스가 약 3,670만 개에 달한다고 추정했습니다.
AI 도구를 악용한 공격까지 늘고 있습니다. 한 보안 연구원의 가상 서버에서는 원격 명령 실행이 확인됐고, 70개국 600개 IP에서 5만 건이 넘는 공격 요청이 포착됐습니다.
국내 대응, 점검부터 차단까지
한국인터넷진흥원은 지난 22일 보안 대응 수칙을 내놓고 긴급 조치를 권고했습니다. 국내 보안기업들은 무료 점검 도구와 공격 탐지, 침해 징후 분석 서비스를 제공하고 있습니다. 보완 솔루션은 위험을 줄이는 수단일 뿐, 근본 해결은 PHP 보안 업데이트와 노출 자산 파악에 달려 있습니다.
국가정보원은 국가와 공공기관에 시스템 운영 일시 중지를 권고할지 검토 중입니다. 미국 NSA와 유럽 일부 국가에서는 취약 시스템을 오프라인으로 전환한 사례가 나왔습니다. 다만 PHP 8.1 이하 버전은 패치가 없어 상위 버전 전환이 필요하고, 호환성 문제로 시간과 비용이 발생할 수 있습니다.
구버전 공백과 연이은 보안 경고
지원 종료 버전을 쓰는 기업은 TuxCare의 ELS for Runtimes 같은 백포트 패치로 시간을 벌 수 있습니다. 포티넷은 자산 파악과 업데이트, 임시 보호, 침해 조사로 이어지는 4단계 대응을 권고하며 가상 패치와 IPS 시그니처를 내놓았습니다. 패치 뒤에는 웹서비스 프로세스에 수정이 반영됐는지 확인하고 재시작까지 챙겨야 합니다.
한편 구글의 압축 라이브러리 브로틀리에서도 메모리 손상 결함이 확인돼 주요 개발 환경이 긴급 패치를 배포했습니다.