웹 서버의 상당수를 차지하는 PHP에 심각한 원격 코드 실행 취약점이 공개됐습니다. 2026년 10월 21일 PHP 프로젝트는 CVE-2026-109618과 CVE-2026-109619을 수정한 보안 릴리스를 배포했고, 이들 취약점은 PHP2Shell로 불립니다. 로그인 없이 특수하게 만든 요청만으로 서버에서 코드를 실행할 수 있어 긴급한 패치가 필요합니다.
– PHP2Shell은 PHP 코어의 메모리 처리 결함으로 인한 사전 인증 원격 코드 실행 취약점입니다.
– 영향 버전은 PHP 8.2~8.5이며, 패치는 8.2.35, 8.3.36, 8.4.27, 8.5.12입니다.
– OpenAI의 Patch the Planet 이니셔티브와 Wiz가 AI를 활용해 독립적으로 발견·조정했습니다.
– 이미 야생에서 공격 시도가 관측됐으므로 가능한 한 빨리 업그레이드하세요.
PHP2Shell이 어떤 취약점인가
두 취약점 모두 CVSS v4.0 9.2의 치명적 등급입니다. CVE-2026-109618은 메모리 부족(OOM) 상황에서의 손상으로, CVE-2026-109619는 치명적 오류 후 남은 전역 상태의 use-after-free로 설명됩니다. 둘 다 요청 처리 과정에서 메모리가 제대로 초기화되지 않거나 해제된 메모리를 다음 요청이 재사용하는 문제로, 공격자가 이를 이용해 원격 코드 실행(RCE)이나 메모리 유출을 일으킬 수 있습니다.
특히 Apache mod_php 환경에서 위험이 높으며, 애플리케이션 코드가 실행되기 전에 PHP 엔진 단계에서 공격이 가능합니다. WordPress, Drupal, Magento 등 주요 CMS도 PHP 자체 결함이므로 영향을 받습니다.
누가 발견하고 어떻게 대응했는가
OpenAI는 Patch the Planet 이니셔티브 아래에서 GPT-5.6 Sol 등 모델을 활용해 Calif 연구진이 8월에 일부 경로를, 자체 팀이 9월에 더 완전한 형태를 발견했다고 밝혔습니다. 약 2개월간 유지보수자, 보안 업체, 클라우드 제공자와 협력해 패치를 준비했습니다. Wiz도 독립적으로 동일한 결함을 찾아내 AI를 이용한 검증과 테스트에 기여했습니다.
공식 공개 전 정보가 유출되면서 예정된 엠바고가 앞당겨졌고, 10월 21일 14:00 UTC에 패치가 배포됐습니다. 미국 NSA 등 정부 기관도 업데이트를 권고했습니다.
현재 판정: 사실
원출처: PHP 공식 보안 권고, OpenAI Patch the Planet 발표, Wiz Research
확인된 부분: CVSS 9.2, 패치 버전, 사전 인증 RCE 가능성, AI 보조 발견
미확인 부분: 정확한 영향 서버 수(일부 보도 22M 주장), 모든 환경에서의 익스플로잇 성공률
영향받는 버전과 패치 방법
공식 지원 브랜치 기준 영향과 패치는 다음과 같습니다.
PHP 8.1 이전은 공식 지원이 종료됐으나 일부 배포판에서 백포트 패치를 제공할 수 있습니다. 확인은 php -v 명령이나 서버 관리 패널에서 가능합니다. 업데이트 후에는 웹 서버를 재시작해 적용을 확인하세요.
임시 완화 조치와 한계
즉시 업데이트가 어려울 때 PHP는 session.upload_progress.enabled=0 설정, memory_limit=-1, pm.max_requests=1 등을 제안합니다. 그러나 이들은 일부 경로만 줄일 뿐 완전한 해결이 아니며, 업데이트만이 근본 대응입니다. 역방향 프록시나 WAF에서 비정상 요청을 차단하는 것도 보조 수단이 될 수 있습니다.
사용자와 관리자가 해야 할 일
- 호스팅 또는 자체 서버의 PHP 버전을 확인한다.
- 지원 버전이면 공식 패치 버전으로 업그레이드한다.
- 업데이트 후 정상 동작을 테스트하고 로그를 모니터링한다.
- 워드프레스 등 CMS를 쓰는 경우 호스팅 업체 공지를 확인한다.
이미 공격 시도가 보고됐으므로 패치 지연은 위험을 키웁니다. AI가 발견과 대응 속도를 높인 사례이지만, 동시에 공격자 측도 비슷한 도구를 활용할 수 있다는 점에서 지속적인 감시가 필요합니다.
출처: PHP.net 보안 권고, OpenAI 발표, Wiz Research 블로그.