「PHP2Shell」이라고 불리는 2개의 중요한 PHP 취약점이 웹의 대부분을 노출시킨다

2026년 10월 21일, PHP 프로젝트는 보안 연구자들이 2개의 중요한 원격 코드 실행 취약점을 공개한 후 언어의 패치된 버전을 릴리스했습니다. 이 결함들은 집단적으로 「PHP2Shell」이라는 별명으로 추적되었습니다. CVE-2026-109618 및 CVE-2026-109619로 추적되는 결함은 클라우드 보안 회사 Wiz Research에 의해 발견되었습니다. Wiz는 Calif 및 OpenAI 조직이 발견, 조정 및 패치 검증에 기여한 것으로 크레디트했습니다. Wiz의 공개 기록에 따르면.

두 취약점이 하는 일

Wiz는 2개의 CVE가 실제로 4개의 서로 다른 기본 버그를 번들링한다고 말합니다. CVE-2026-109618은 PHP의 세션 업로드 진행 상황 역직렬화기의 use-after-free 결함을 다루며, 원격 코드 실행을 위해 악용될 수 있습니다. 또한 인증 없이 실행 중인 PHP 워커 프로세스에서 메모리를 유출할 수 있는 관련 버그가 있습니다. CVE-2026-109619는 PHP의 치명적 오류 백트레이스 처리의 use-after-free와 OPcache의 별도의 타입 혼동 결함을 다룹니다. OPcache는 PHP의 공유 메모리 바이트코드 캐시입니다.

Wiz에 따르면, 두 문제 모두 거의 모든 PHP 요청이 통과하는 코드 경로에 있습니다: 메모리 관리 및 오류 처리. PHP Foundation은 SecurityWeek에서 보도한 댓글에서 동일한 사항을 언급했습니다.

발견 타임라인

Wiz Research 팀은 블로그 포스트에서 Sagi Tzadik, Shir Tamari, Nir Ohfeld 및 Tomer Schwartz로 명명됩니다. 팀은 2026년 8월 19일에 첫 번째 버그를 발견했다고 합니다. 이후 2일간 WordPress 및 Drupal 설치에 대한 작동하는 원격 코드 실행 익스플로잇을 확인했습니다. 팀은 2026년 8월 24일에 PHP 보안 팀에 결과를 보고했습니다. 공개 공개 및 해당 패치는 2026년 10월 21일에 뒤따랐습니다.

Wiz는 Google의 Gemini 4 Argon과 OpenAI의 GPT-5.6 Sol을 포함한 AI 코딩 모델을 사용하여 개념 증명 익스플로잇을 구축하는 데 도움이 되었다고 말합니다. 이전에 전문 연구자들이 몇 개월이 걸렸던 작업을 몇 시간 내에 달성할 수 있는 것으로 설명합니다.

누가 영향을 받는가

Wiz는 기본 결함이 지난 약 10년 동안 릴리스된 거의 모든 PHP 버전에 존재한다고 합니다. 두 CVE 중 하나 이상이 PHP 5.4 이후에 존재합니다. 회사는 현재 릴리스의 세 개의 널리 사용되는 콘텐츠 관리 시스템에 대해 인증되지 않은 원격 코드 실행을 확인했다고 합니다: WordPress, Drupal 및 Joomla. SecurityWeek는 버그가 공통 PHP 배포 방법에 영향을 미친다고 보도합니다: PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP 및 LiteSpeed.

Wiz는 노출 규모를 인터넷의 약 70%에 영향을 미치는 것으로 표현합니다. 이는 어떤 형태로든 PHP에서 실행되는 웹 사이트의 점유율을 나타냅니다. 회사의 기록에 따르면.

공개 이후 악용 시도

여러 보안 회사는 공개 주변의 공격 트래픽을 모니터링했습니다. SecurityWeek는 watchTowr이 패치가 착륙한 시점의 야생에서의 첫 번째 악용 시도를 감지했지만 성공한 손상을 확인하지 않았다고 보도합니다. Hadrian은 SecurityWeek에 패치가 릴리스되기 전에도 대규모 악용 시도를 관찰했다고 말했습니다. PHP의 세션 업로드 진행 코드 경로에 집중되었습니다. Patchstack, Cloudflare 및 Vega는 공개 날짜에 시도를 기록했습니다. Amazon은 패치가 배송되기 4일 전에 악용 시도를 식별했다고 말했습니다.

PHP의 규모가 이를 중요하게 만드는 이유

PHP는 덴마크-캐나다 프로그래머 Rasmus Lerdorf에 의해 작성되었으며 1995년에 처음 릴리스되었습니다. 웹 사이트를 구축하기 위한 가장 널리 사용되는 서버 측 스크립팅 언어 중 하나로 남아 있습니다. Wikipedia에 따르면. 동일한 소스는 2025년 11월 현재 PHP 구동 웹 사이트의 절반 이상이 여전히 지원되지 않는 PHP 7 브랜치에서 실행되고 있으며, 약 9.7%가 여전히 PHP 5에서 실행되고 있다고 주의합니다. 이는 수년 전에 중단되었습니다. 보안 연구자들은 더 광범위한 PHP 생태계 전반에 걸쳐 신속한 패치를 복잡하게 하는 레거시 소프트웨어 패턴이라고 말합니다.