PHP2Shell

PHP2Shell
패치 적용 몇 시간 전의 위키미디어 파브리케이터 인스턴스 모습. 예방 조치로 비활성화된 상태였다.
CVE 식별자CVE-2026-109618
CVE-2026-109619
발견일2026년 8월
패치일2026년 10월 21일(6일 전)(2026-10-21)
발견자
영향을 받는 소프트웨어PHP 버전 5.4–8.5
웹사이트php2shell.com

PHP2Shell은 PHP 버전 5.4–8.5에서 발견된 고영향력 보안 취약점 쌍(CVE-2026-109618 및 CVE-2026-109619)으로, 임의 코드 실행(RCE)을 허용한다. 이 취약점의 존재는 2026년 10월 20일에 공개적으로 발표되었다. 버전 8.2, 8.3, 8.4, 8.5에 대한 긴급 패치와 취약점에 대한 세부 정보는 다음 날 발표되었다.

발견

2012년에 출시된 5.4 초기 버전의 PHP부터 이러한 취약점의 영향을 받는다. 메모리 보안 버그에 대한 우려는 수십 년 전부터 제기되었으나, 작동 가능한 익스플로잇을 개발하는 것이 현실적이지 않다고 판단되어 당시에는 별다른 조치가 취해지지 않았다. PHP 핵심 개발자가 2024년 감사 중에 취약점 중 하나인 메모리 부족 오류를 발견했으나, 이 버그는 수정되지 않았다. 개발 팀은 수정 방법에 대해 합의에 이르지 못했고 구체적인 익스플로잇이 아직 발견되지 않았기에 해당 문제는 우선순위에서 밀려났다.

이 취약점은 두 주체에 의해 독립적으로 발견되었다. 캘리포니아주에 기반을 둔 보안 기업 Calif의 연구원 라이언 오스틴(Ryan Austin)은 2026년 8월 오픈AI의 "Patch the Planet" 프로젝트의 일환으로 이 취약점을 발견했으며, 알파벳의 자회사이자 구글 클라우드의 일부인 이스라엘계 미국인 클라우드 보안 기업 위즈(Wiz) 또한 이를 독립적으로 발견했다. 오스틴은 오픈AI의 GPT-5.6 Sol 모델을 사용하여 취약점을 찾는 데 도움을 받았다. Wiz의 연구원들은 제미나이 4 아르곤(Gemini 4 Argon)과 GPT-5.6 Sol이라는 대규모 언어 모델을 활용했으며, 자체 도구인 Wiz Atlas를 사용하여 연구를 진행했다.

이 취약점은 PHP 개발자들에 의해 CVSS v4.0 기준 10점 만점에 9.2점(심각)으로 평가받았으며, 보안 기업 watchTowr는 이를 10.0점 만점으로 평가했다.

패치

PHP 관리자들은 PHP 8.2, 8.3, 8.4, 8.5의 패치 버전(8.2.35, 8.3.36, 8.4.27, 8.5.12)을 출시하였다. 7.4, 8.0, 8.1 버전에 대해서도 소스 코드 패치가 출시되었으나, 해당 버전들은 수명 종료(end of life)로 간주되어 공식 업데이트된 바이너리는 제공되지 않았다. 임시 완화 조치 또한 게시되었으나, 관리자들은 완전한 완화 방법은 없으며 업데이트만이 유일하고 안전한 선택이라고 밝혔다. 두 취약점 모두 2026년 10월 21일 13:34 UTC에 깃허브 보안 권고를 통해 공개되었으며, 이는 발표된 출시 시간보다 26분 빠른 것이었고, PHP 웹사이트는 그 직후 업데이트되었다.

PHP 관리자들은 10월 20일 해커 뉴스 포럼에서 취약점 관련 소식이 유출된 후, 사이버 보안 기업 watchTowr labs가 X에 올린 게시물, 그리고 칼리프(Calif)가 실수로 공개한 개념 증명 익스플로잇 영상 등을 통해 취약점 뉴스들이 확산되자 업데이트를 예정보다 일찍 발표하였다. PHP.net의 조기 공지는 사용자들이 패치가 출시되는 즉시 준비하고 업데이트하도록 장려하였다. 보안 업체인 Sansec은 "출시 후 15분 이내에 대규모 공격이 시작될 것"이라고 예상하였다. 개발 플랫폼인 Chainguard가 소프트웨어의 패치 버전을 조기 출시함에 따라, 엠바고가 끝나기 전부터 인터넷상에 개념 증명 익스플로잇, 분석글, 부분적인 완화책이 유포되기 시작하였고, 이를 통해 공격자들은 어떤 코드가 변경되었는지 파악할 수 있었다.

아마존 위협 인텔리전스는 공개적인 정보 공개 4일 전인 2026년 10월 17일, MadPot 원격 측정 데이터에서 PHP2Shell 익스플로잇 시도를 식별하였다. Cloudflare는 공개적인 패치 출시 이전에 초기 공격 징후를 보고하였으며, 해당 취약점에 대한 일시적인 방편으로 웹 애플리케이션 방화벽(WAF) 규칙을 배포하였다. 보안 업체 watchTowr는 자사의 허니팟 네트워크를 통해 10월 21일까지 야생(in the wild)에서의 공격을 관찰했다고 밝혔으나, 미국 사이버보안 및 인프라 보안국(CISA)은 같은 날까지 공격을 관찰하지 못했다고 밝혔다.

영향

PHP2Shell 사건으로 인해 커뮤니티 소유 도구들이 오프라인 상태라는 경고.

드루팔, 줌라, 워드프레스와 같은 저작물 관리 시스템을 사용하는 사이트를 포함하여 약 69%의 웹사이트가 PHP를 사용하고 있기 때문에 잠재적인 영향은 광범위하였다. PHP는 공급업체 장비, CPanel 및 Plesk와 같은 웹 호스팅 서비스 제어판, 그리고 일부 윈도우 애플리케이션과 함께 번들로 제공되기도 한다.

컴퓨터 비상 대응팀(CERT)-EU와 영국 국립사이버안보센터의 권고에 따라, 유럽 전역의 많은 기관이 패치가 대기 중인 동안 예방 차원에서 웹사이트를 오프라인으로 전환하였다. 여기에는 네덜란드 정부 포털인 Overheid.nl, 덴마크 국가 학교 통신 플랫폼, 모든 핀란드 정부의 대국민 웹 서비스, 그리고 프랑스 내무부의 모든 웹사이트가 포함되었다. 미국 미국 국가안보국(NSA)은 즉시 업데이트할 수 없는 경우 웹사이트를 오프라인으로 전환할 것을 권고하였다. 영국 국립사이버안보센터는 유사한 경고를 발표하며 조직들에게 백도어에 주의할 것을 당부하였다. 일본 국립사이버보안센터는 PHP 사용자들에게 즉시 시스템을 업데이트하라고 조언하였다.

위키미디어 재단은 많은 지원 서비스를 종료하였고, 인터넷 포럼 사이트인 4chan과 섬싱 오풀이 오프라인 상태가 되었다. 일본 인터넷의 일부도 오프라인 상태가 되었으며, 여기에는 우마무스메 프리티 더비, 그랑블루 판타지, 프린세스 커넥트! Re:Dive와 같은 게임들과 수많은 온라인 상거래 사이트들이 포함되었다. 인터넷 아카이브는 문제를 해결하기 위해 잠시 중단되었다.

분석

Wiz의 연구원들은 이 문제가 당시 웹의 약 3분의 2가 사용하던 암호화 라이브러리에 영향을 미쳤던 2014년의 취약점인 하트블리드와 대등한 수준이라고 밝혔다. 가디언의 논평은 PHP 언어를 유지 관리하는 PHP 재단이 13명의 정규 및 비정규 직원만을 두고 있으며 재정적 기부에 의존하는 반면, 취약점 발견에 도움을 준 것으로 평가받는 인공지능 연구는 "수십억 달러"의 투자를 받았다는 점을 지적하였다. 뉴욕 타임스의 보도는 PHP가 "편재"되어 있다고 언급하며 "일상적인 사용자들"의 개인 데이터가 위험에 처할 수 있다고 추측하였다.

같이 보기

각주

  1. ↑ “PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet | Wiz Blog” (미국 영어). 《wiz.io》. 2026년 10월 21일.
  2. ↑ “CVE-2026-109618”. Mitre.
  3. ↑ “CVE-2026-109619”. Mitre.
  4. ↑ “PHP: News Archive - 20 Oct 2026” (영어). 《www.php.net》. 2026년 10월 20일. 2026년 10월 21일에 확인함.
  5. 1 2 3 4 5 “PHP: News Archive - 21 Oct 2026” (영어). 《www.php.net》. 2026년 10월 21일. 2026년 10월 21일에 확인함.
  6. ↑ “PHP: Releases” (영어). 《www.php.net》. 2026년 10월 22일에 확인함.
  7. 1 2 3 Kan, Michael (2026년 10월 21일). “This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says” (영어). 《PCMAG》. 2026년 10월 21일에 확인함.
  8. McMillan, Robert (2026년 10월 21일). “Exclusive | AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk”. 《Wall Street Journal》. 2026년 10월 21일에 확인함.
    1. ↑ "The class of bugs had been hiding in PHP's source code for years. A security researcher had flagged it as a problem area decades earlier, but the flaw had been considered too difficult to exploit and was largely forgotten, Duong said."
    2. 1 2 "Ryan Austin, a researcher at Calif, uncovered the flaws with help from GPT-5.6 Sol, one of OpenAI's most advanced models, during an audit of PHP's source code in August. ... Researchers from Google's Wiz cybersecurity team soon reached out with new exploits, which they had discovered independent of Calif."
    3. ↑ "News of the patch leaked out Tuesday, in a post to Hacker News, just under two days before the patch release."
  9. 1 2 3 Constantin, Ana Maria (2026년 10월 21일). “PHP knew about one of the flaws in 2024 but could not agree a fix”. 《The Next Web》. 2026년 10월 21일에 확인함.
  10. ↑ “Today's PHP Security Release, and How We're Strengthening PHP Security” (영어). 《thephp.foundation》. 2026년 10월 21일에 확인함.
  11. ↑ Volz, Dustin (2026년 9월 8일). “A Hacking Tool Built With A.I. Can Breach Phones Without a Click”. 《The New York Times》. 2026년 10월 21일에 확인함.
  12. 1 2 Satter, Raphael; Marchandon, Leo; Ghosh, Kanjyik; Pardesi, Rajveer (2026년 10월 21일). “Government websites go dark after AI-discovered flaw sparks security scramble” (영어). 《Reuters》. 2026년 10월 21일에 확인함.
  13. ↑ “php.announce: [ANNOUNCE] Upcoming Critical PHP Security Release”. 《news-web.php.net》. 2026년 10월 21일에 확인함.
  14. 1 2 Abrams, Lawrence. “PHP warns admins of two critical flaws, emergency patches coming tomorrow” (미국 영어). 《BleepingComputer》. 2026년 10월 21일에 확인함.
  15. ↑ “RCE via OOM corruption”. 2026년 10월 21일. 2026년 10월 21일에 확인함.
  16. ↑ “RCE via stale global state”. 2026년 10월 21일. 2026년 10월 21일에 확인함.
  17. ↑ “Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming | Hacker News” (영어). 《news.ycombinator.com》. 2026년 10월 21일에 원본 문서에서 보존된 문서. 2026년 10월 22일에 확인함.
  18. ↑ Khandelwal, Swati (2026년 10월 21일). “PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert” (영어). 《The Hacker News》. 2026년 10월 21일에 확인함.
  19. ↑ Goodin, Dan (2026년 10월 20일). “PHP warns it plans to release 2 emergency patches imminently” (영어). 《Ars Technica》. 2026년 10월 21일에 원본 문서에서 보존된 문서. 2026년 10월 21일에 확인함.
  20. ↑ “Only for the curious...”. 《jackalsyn.com》. 2026년 10월 21일에 확인함.
  21. ↑ “Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot | AWS Security Blog”. 《aws.amazon.com》. 2026년 10월 21일. 2026년 10월 22일에 확인함.
  22. ↑ Gatlan, Sergiu (2026년 10월 21일). “PHP ships emergency patches for critical PHP2Shell flaws” (미국 영어). 《BleepingComputer》. 2026년 10월 21일에 확인함.
  23. ↑ “Hold on to your butts: Web admins braced for emergency PHP updates to plug leaked exploits” (영어). 《PC Gamer》. 2026년 10월 21일. 2026년 10월 21일에 확인함.
  24. ↑ Knecht, Dane (2026년 10월 21일). “Dane Knecht 🦭 (@dok2001) on X”. 《X (formerly Twitter)》.
  25. 1 2 3 Collier, Kevin (2026년 10월 21일). “Critical vulnerabilities in commonly used web code spark rush to update systems” (영어). 《NBC News》. 2026년 10월 21일에 확인함.
  26. 1 2 Gerkin, Tom (2026년 10월 21일). “Websites taken down worldwide as critical PHP cyber-security update issued”. 《BBC News》. 2026년 10월 21일에 확인함.
  27. ↑ Hammond, John (2026년 10월 21일). “Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities (CVE-2026-109618 & CVE-2026-109619)” (영어). 《Huntress》. 2026년 10월 21일에 확인함.
  28. ↑ Van Dessel, Josse (2026년 10월 21일). “Major websites go offline as critical PHP vulnerability triggers security fears” (영어). 《The Brussels Times》. 2026년 10월 21일에 확인함.
  29. ↑ “Critical security issue affecting PHP” (보도자료). National Cyber Security Centre. 2026년 10월 21일.
  30. ↑ “NSA Advisory: PHP Updates”. NSA Press Room. 2026년 10월 21일. 2026년 10월 21일에 확인함. Effective immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities.
  31. ↑ Booth, Robert; Down, Aisha (2026년 10월 21일). “Flaw in PHP computer language leads to shutdown of websites around world”. 《The Guardian》. 2026년 10월 21일에 확인함.
  32. 1 2 “著名ITサービス相次いで緊急メンテへ　コドモン、シャドバ、BASE、さくらのレンタルサーバなど　「PHP」脆弱性に起因か” [Several prominent IT services—including Codmon, Shadowverse, BASE, and Sakura Rental Server—have initiated emergency maintenance, likely due to a vulnerability in PHP] (일본어). ITmedia. 2026년 10월 21일. 2026년 10월 21일에 확인함.
  33. 1 2 Tauber, Olivia (2026년 10월 21일). “PHP vulnerability: Which websites and services are affected?” (영어). 《Mashable》. 2026년 10월 21일에 확인함.
  34. ↑ Smith, Paul; Mizen, Ronald (2026년 10월 21일). “AI just discovered a bug putting 70pc of world's websites at risk” (영어). 《Australian Financial Review》. 2026년 10월 22일에 확인함.
  35. ↑ Eadicicco, Lisa (2026년 10월 21일). “Global websites shut down after AI found a critical flaw affecting 70% of the internet | CNN Business” (영어). 《CNN》. 2026년 10월 22일에 확인함.
  36. ↑ Taylor, Josh (2026년 10월 22일). “What is PHP, and how bad is the computer language flaw causing website shutdowns globally?”. 《The Guardian》. 2026년 10월 22일에 확인함.
  37. ↑ Adam, Karla; Volz, Dustin (2026년 10월 22일). “What Is PHP? Why Are Government and Business Websites Going Offline?” (미국 영어). 《The New York Times》. ISSN 0362-4331. 2026년 10월 22일에 확인함.

외부 링크