PHP2Shell: 중요한 PHP 결함 2개가 글로벌 사이트 종료를 유발합니다

웹의 서버 측 코드 대부분을 실행하는 스크립팅 언어인 PHP는 2026년 10월에 공개된 2개의 중요한 보안 결함을 겪었습니다. 집합적으로 "PHP2Shell"로 별명이 지어지고 CVE-2026-109618 및 CVE-2026-109619로 추적되는 이 버그들은 계정이나 비밀번호가 없는 공격자가 영향을 받은 웹 서버에서 임의의 코드를 실행할 수 있게 합니다.

취약점이 하는 것

보안 회사 watchTowr에 따르면 CVE-2026-109618은 PHP가 들어오는 요청 설정 도중에 메모리 부족 현상이 발생하여 내부 요청 데이터가 부분적으로만 초기화된 상태로 남겨질 때 발생합니다. PHP의 정리 루틴은 그 후 해당 유효하지 않은 데이터를 유효한 것으로 잘못 처리합니다. CVE-2026-109619는 1개의 요청에 연결된 내부 상태가 해당 상태가 가리키는 메모리가 이미 해제된 후에도 계속 존재하는 것과 관련이 있습니다. 따라서 동일한 워커 프로세스에 의해 처리되는 이후의 요청은 정상 초기화가 이를 재설정하기 전에 해당 오래된 상태를 사용할 수 있습니다.

결함을 조사한 조사 회사 Wiz는 Help Net Security에 이 문제들이 수년간 눈에 띄지 않았으며 언어에서 발견된 가장 심각한 결함 중 하나의 순위에 있다고 말했습니다. 완전한 원격 코드 실행을 넘어, watchTowr은 이 버그들이 PHP 워커 프로세스를 충돌시키거나, 임의의 파일 읽기를 허용하거나, 서버 메모리를 유출할 수도 있다고 말했습니다.

누가 발견했는가, 그리고 언제인가

2개의 결함은 별도의 연구 노력을 통해 보고되었습니다. WatchTowr의 공지는 발견에 대해 Calif의 보안 연구 팀에 크레딧을 부여하고, Help Net Security의 보도는 Wiz의 연구자에게 식별과 공개를 귀속시킵니다. 공개 타임라인은 비정상적이었습니다. 비공개 상태로 유지되려고 의도된 세부 정보는 2026년 10월 20일에 공개적으로 누출되었고, watchTowr은 누출된 정보가 진정한 것임을 확인했습니다. PHP의 관리자는 원래 계획된 10월 22일보다 1일 앞서 2026년 10월 21일 14:00 UTC에 패치를 릴리스하여 대응했습니다.

범위: 취약한 PHP를 실행하는 사람

PHP는 웹에서 가장 널리 사용되는 서버 측 언어 중 하나로 계속 남아 있으며, 이 결함들은 그것을 통해 들어오는 HTTP 요청을 처리하는 모든 설정에 영향을 미칠 수 있습니다. watchTowr에 따르면 영향을 받는 설정에는 PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP, 및 LiteSpeed가 포함되며, 이는 버그가 단일 애플리케이션이 아닌 서버 계층 자체에 있음을 의미합니다.

PHP 7.4, 8.0, 및 8.1은 더 이상 공식적으로 지원되지 않기 때문에 watchTowr는 여전히 해당 브랜치를 실행하는 사이트에 대해 PHP 핵심 프로젝트의 패치가 없다고 말하지만, Linux 배포판 또는 장기 지원 공급업체 백포트가 임시 옵션으로 사용 가능할 수 있습니다. 그렇지 않으면 해당 설치는 지원되는 브랜치로 이동해야 합니다. watchTowr에 따르면 PHP 7.3 이상의 버전에는 수정 사항이 전혀 없습니다. PHP의 공지는 소프트웨어를 업데이트하는 것 외에는 설정 변경이 취약점을 완전히 닫을 수 없음을 명시합니다.

영향 및 악용

Help Net Security는 Amazon이 운영하는 벌통 네트워크가 공개 패치 4일 전인 2026년 10월 17일에 악용 시도를 감지했다고 보도했습니다. 이는 일부 공격자가 악용 세부 정보에 조기에 접근할 수 있었음을 시사합니다. WatchTowr은 자체 "Attacker Eye" 벌통 네트워크가 2026년 10월 21일 패치 릴리스 후에도 야생에서의 활동적인 악용을 관찰했다고 말했습니다. WordPress, Drupal, 및 Joomla를 포함하여 PHP로 구축된 콘텐츠 관리 시스템, 그리고 Laravel 기반 애플리케이션 및 전자상거래 플랫폼은 모두 취약한 PHP 엔진 위에서 실행되므로 영향을 받는 범위 내에 있습니다.

PHP2Shell Wikipedia 항목에 요약된 보도에 따르면, 패치 작업이 진행 중이면서 정부 기관, 온라인 포럼, 게임 플랫폼, 및 일부 기반 시설 관련 사이트는 운영자가 수정 사항을 적용하는 동안 예방 조치로 오프라인으로 전환되었습니다. Help Net Security는 영국 국가 사이버 보안 센터가 즉시 패치할 수 없는 조직에 취약한 시스템을 오프라인으로 전환하도록 촉구했다고 보도했습니다.

심각도 평가 및 사이트 운영자가 해야 할 일

watchTowr의 공지에 따르면, PHP의 개발자들은 두 결함을 CVSS v4.0 척도에서 10점 만점에 9.2점인 "중요" 점수로 평가했습니다. PHP의 공지와 watchTowr 모두에 따르면, 명확한 치료 경로는 서버가 실행 중인 브랜치에 따라 PHP 8.5.12, 8.4.27, 8.3.36, 또는 8.2.35로 업데이트하는 것입니다. 7.4, 8.0, 또는 8.1 위의 사이트는 배포 백포트를 사용하거나 지원되는 브랜치로 이동해야 하며, 7.3 이상의 서버는 사용 가능한 수정 사항이 없고 업그레이드가 필요합니다.