이 언어는 기계 번역이며, 사람의 검수를 거치지 않았습니다.

NIVΞCTOR
뉴스후원

카운터가 아직 시작되지 않았어요

기술 · 뉴스 기사

심각한 PHP 결함으로 인해 긴급 패치 직전에 정부 사이트 오프라인

게시:

요약

CVE-2026-109618 및 CVE-2026-109619라는 두 가지 중대한 PHP 취약점으로 인해 네덜란드와 핀란드의 정부 기관은 2026년 10월 21일 PHP 개발자가 긴급 패치를 배포하기 몇 시간 전에 웹사이트를 오프라인 상태로 전환해야 했습니다. 두 취약점 모두 CVSS v4.0 척도에서 9.2로 평가되며 인증 없이 원격 코드 실행을 허용합니다. Cloudflare는 수정 사항이 배포되기 전에 초기 악용 시도를 보고했습니다.

이 버전은 원문(English)의 기계 번역입니다. 원문 읽기

The Hacker News 및 보안 회사 Sansec의 보도에 따르면 PHP 개발팀은 온라인에서 세부 사항이 유출된 하루 후인 2026년 10월 21일 UTC 14:00에 정기 외 보안 릴리스를 예약했습니다. 이 결함은 CVE-2026-109618 및 CVE-2026-109619로 추적되었으며 연구원들에 의해 비공식적으로 "PHP2Shell"이라는 별명이 붙여졌습니다. The Hacker News에 따르면 PHP의 자체 팀은 이 별명을 채택하지 않았습니다.

취약점이 무엇인가

Sansec의 기술 보고서에 따르면 CVE-2026-109618은 PHP의 업로드 진행률 처리에서의 사용 후 해제 버그이며 PHPSESSID 쿠키를 통해 서버 메모리(암호, 세션 토큰, TLS 개인 키 포함)를 유출할 수 있습니다. 이는 2014년 Heartbleed 버그와 비교되었습니다. CVE-2026-109619는 메모리 소진 중에 발생하는 치명적인 오류로 인해 트리거되는 별도의 사용 후 해제이며 PHP의 OPcache의 타입 혼동과 결합되어 있습니다. Sansec은 원격 코드 실행을 가능하게 한다고 말합니다. 두 버그 모두 multipart/form-data 요청을 통해 접근되며, 이는 웹 페이지에서 파일 업로드에 사용하는 형식입니다.

영국의 국가 사이버 보안 센터(NCSC)는 10월 21일 공지에서 이 위험을 로그인할 필요 없이 "PHP를 실행 중인 모든 웹 서버에서 명령을 실행할 수 있는" 공격자로 설명했으며 중대한 것으로 평가했습니다.

정부 및 플랫폼이 오프라인 상태로 전환된 이유

PHP가 웹의 큰 부분을 기반으로 하기 때문에 여러 조직이 패치를 기다리는 대신 공개 웹사이트를 종료하기로 선택했습니다. Techzine이 보도한 바에 따르면 MijnOverheid, DigiD 및 의회 시스템을 포함한 네덜란드 정부 서비스가 일시적으로 오프라인 상태로 전환되었습니다. KSL이 보도한 뉴스 와이어 스토리에 따르면 네덜란드와 핀란드의 사이버 보안 기관이 예방 조치로서 정부 사이트를 폐지했습니다. Techzine은 또한 영국의 NCSC 및 미국 사이버 보안 인프라 보안국(CISA)이 관리자에게 영향을 받는 시스템을 패치하거나 비활성화할 것을 권장하는 경보를 발했다고 보도했습니다. 한편 Wikipedia와 Meta는 수정된 PHP 런타임 및 웹 애플리케이션 방화벽 규칙을 적용하여 계속 실행되었습니다.

Sansec은 PHP 핵심 개발자 Gina Peter Banyard가 패치가 도착하기 전에 서버를 오프라인 상태로 전환하는 것을 즉시 수정을 적용할 수 없는 조직에 가장 현명한 선택지로 설명했다고 보도했습니다. 여러 네덜란드 조직이 이 조언을 따랐습니다.

Cloudflare는 공식 패치가 릴리스되기 전에 악용 시도를 보기 시작했다고 말했습니다. KSL 보도에 따르면 Cloudflare의 최고 기술 책임자는 회사가 초기 공격을 관찰하고 있으며 새로운 공격 방법이 나타남에 따라 완화 조치를 계속 업데이트하고 있다고 말했습니다. Cloudflare는 이를 PHP의 공식 수정이 도착할 때까지의 임시 응급 처치로 설명했습니다. Sansec은 별도로 Cloudflare가 2026년 10월 21일 UTC 07:43부터 공격을 감지했다고 보도했으며, 이는 PHP의 예정된 수정 약 6시간 전이었습니다.

노출 규모: 추정값은 다양함

다양한 소스에 의해 보도된 추정 노출 및 심각도
지표수치출처
CVSS v4.0 심각도 점수9.2(공식); 비공식 유출 주장에서 10.0 인용NCSC UK; The Hacker News
PHP 8.1 이상을 실행 중인 인터넷 직면 호스트약 884,000개(Shodan 데이터, 10월 20일)The Hacker News
위험에 처해 있다고 설명된 인터넷 연결 호스트약 1.3백만 개Techzine
가장 오래된 취약 코드 경로PHP 5.4.0으로 추적(2012)Sansec

알려진 것과 알려지지 않은 것

PHP 팀은 PHP 8.2, 8.3, 8.4 및 8.5가 공식 수정을 받을 것임을 확인했습니다. The Hacker News에 따르면 버전 8.5.12, 8.4.27, 8.3.36 및 8.2.35로 예상됩니다. 한편, 지원 종료된 분기인 8.1 이상은 공급업체에 의해 패치되지 않습니다. 그러나 Sansec은 기본 결함이 있는 코드가 PHP 5.4.0까지 거슬러 올라간다고 말합니다. 즉, 많은 오래된 지원되지 않는 설치가 공식 수정 없이 취약할 가능성이 있습니다. The Hacker News에 따르면 10월 21일 보도 당시 공개 개념 증명(PoC) 악용을 사용할 수 없었으며 취약점이 CISA의 알려진 악용된 취약점 카탈로그에 추가되지 않았습니다. 그러나 Cloudflare의 나중 성명은 공격 시도가 이미 진행 중임을 나타냈습니다.

배경: 취약점이 어떻게 발견되었는지

Sansec의 타임라인은 첫 번째 버그를 "Calif"라는 핸들을 사용하는 연구원이 OpenAI와 협력하여 2026년 8월 1일부터 시작된 연구로 추적합니다. 이는 8월 11일에 PHP의 보안팀에 보고되었습니다. 두 번째 관련 보고서는 Wiz 연구팀에서 나왔습니다. Sansec이 명명한 이들: Sagi Tzadik, Shir Tamari, Nir Ohfeld, Tomer Schwartz. Sansec은 두 연구팀이 AI 모델이 PHP 버전 전반에 걸쳐 악용을 찾고 적응하는 속도를 높였다고 인정했다고 말합니다. 한 연구원이 약 1주일 안에 작동하는 악용에 도달했다고 보도되었습니다. 조정된 금지된 공개의 세부 사항이 10월 20일에 공개되어 PHP가 공지를 앞당기고 10월 21일 패치 릴리스를 설정하도록 했습니다.

자주 묻는 질문

PHP2Shell이란 무엇인가?
PHP2Shell은 The Hacker News 및 Sansec에 따르면 연구원들이 두 개의 별도 중대한 PHP 버그 CVE-2026-109618 및 CVE-2026-109619를 결합한 악용 체인에 부여한 별명입니다. 이를 통해 공격자는 로그인 없이 웹 서버에서 코드를 실행할 수 있습니다.
어떤 PHP 버전이 영향을 받는가?
The Hacker News에 따르면 PHP의 공급업체는 PHP 8.2, 8.3, 8.4 및 8.5의 수정을 릴리스하고 있습니다. Sansec은 취약 코드 패턴이 PHP 5.4.0까지 거슬러 올라간다고 보도했습니다. 즉, 오래된 지원 종료 버전도 노출될 수 있지만 공식 공급업체 패치를 받지 못합니다.
정부 웹사이트가 오프라인 상태로 전환된 이유는 무엇인가?
네덜란드와 핀란드의 정부 기관은 패치가 준비되기 전에 예방 조치로서 사이트를 오프라인 상태로 전환했습니다. Sansec에 따르면 PHP 핵심 개발자 Gina Peter Banyard는 즉시 패치를 적용할 수 없는 조직에 가장 현명한 선택지로 설명한 지침을 따랐습니다.
취약점이 적극적으로 악용되고 있는가?
Cloudflare는 Sansec 및 KSL에 따르면 PHP의 공식 수정이 릴리스되기 전인 10월 21일에 초기 공격 시도를 감지했다고 보도했습니다. The Hacker News는 그날의 보도 당시 공개 개념 증명(PoC) 악용을 사용할 수 없었으며 취약점이 아직 CISA의 알려진 악용된 취약점 카탈로그에 나열되지 않았다고 보도했습니다.
패치가 릴리스되었는가?
PHP는 2026년 10월 21일 UTC 14:00에 정기 외 보안 릴리스를 예약했습니다. The Hacker News에 따르면 수정된 버전은 8.5.12, 8.4.27, 8.3.36 및 8.2.35를 포함할 것으로 예상됩니다.

출처

  1. NCSC UK — Critical security issue affecting PHP
  2. The Hacker News — PHP2Shell: Two Unpatched Critical PHP RCE Flaws
  3. Sansec — Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619 (PHP2Shell)
  4. KSL — Cyber agency warns websites may go dark as PHP prepares critical fix
  5. Techzine — Serious vulnerabilities in PHP, emergency patches on the way

이 글은 인공지능으로 작성되었고 게시 전에 자동 출처 검증을 거쳤습니다. 오류를 발견하면 정정을 요청해 주세요. 정정 또는 반론 요청 · 제작 원칙

관련 기사