전 세계 웹사이트 개발 언어 ‘PHP’서 치명적 보안 취약점 2건 발견

전 세계 웹사이트 개발에 널리 사용되는 프로그래밍 언어 PHP에서 서버를 원격으로 장악할 수 있는 치명적인 취약점이 발견됐다. 별도 인증 없이 악성코드를 실행하거나 서버에 저장된 정보에 접근할 수 있는 취약점으로, 영향 범위가 특정 웹사이트나 소프트웨어에 국한되지 않는다는 점에서 우려가 크다. 유럽 일부 국가에서는 정부와 공공기관의 웹서비스를 예방적으로 중단하는 상황까지 벌어지고 있다.

22일 외신과 보안업계에 따르면, PHP 보안팀은 지난 21일(현지시간) ‘PHP2Shell’로 불리는 취약점 2개(CVE-2026-109618·CVE-2026-109619)에 대한 긴급 보안패치를 배포했다. 두 취약점 모두 공통 취약점 평가체계(CVSS) 4.0 기준 9.2점으로, 최고 위험 등급인 ‘치명적(Critical)’에 해당한다.

PHP는 웹서버에서 로그인과 회원정보 관리, 데이터베이스 연동 등 웹서비스의 핵심 기능을 처리하는 데 사용하는 오픈소스 프로그래밍 언어다. 워드프레스(WordPress), 드루팔(Drupal), 줌라(Joomla) 등 주요 콘텐츠관리시스템(CMS)의 기반 기술이기도 하다.

PHP는 서버 측 프로그래밍 언어를 식별할 수 있는 전 세계 웹사이트의 약 70%에서 사용된다.

이번 취약점은 특정 웹사이트 개발자가 작성한 코드가 아니라 PHP 자체의 메모리 처리 과정에서 발생한다. 따라서 PHP를 기반으로 구축된 기업과 공공기관의 자체 웹서비스도 사용하는 버전과 서버 구성에 따라 영향을 받을 수 있다.

PHP2Shell은 서버가 웹 요청을 처리하는 과정에서 메모리를 비정상적으로 관리하는 문제와 관련된다.

CVE-2026-109618은 메모리 부족으로 작업이 비정상 종료되는 상황에서 메모리 처리 상태가 손상되는 취약점이다. CVE-2026-109619는 이전 웹 요청에서 사용한 메모리 상태가 정상적으로 초기화되지 않아, 이미 해제된 메모리를 다시 참조하는 ‘유즈 애프터 프리(Use After Free)’ 오류를 일으킨다.

공격자는 이러한 결함을 악용해 별도의 로그인 과정 없이 서버에서 원격으로 코드를 실행할 수 있다. 공격에 성공하면 PHP가 실행되는 계정의 권한 범위에서 서버의 파일이나 데이터에 접근하거나 악성 프로그램을 설치하는 등 추가 공격을 시도할 수 있다.

블리핑컴퓨터에 따르면 취약점은 아파치 웹서버의 mod_php뿐 아니라 PHP-FPM, php-cgi, 프랑켄PHP(FrankenPHP), 라이트스피드(LiteSpeed) 등 PHP 실행 환경에도 영향을 미친다.

특히 mod_php 환경에서는 웹 애플리케이션의 코드가 실행되기 전에 인증되지 않은 요청으로 취약점을 악용할 수 있는 공격 방식이 입증됐다. 다만 모든 서버 환경에서 동일한 방식으로 공격이 성공하는 것은 아니며, 실제 악용 가능성은 서버 구성과 적용된 보안 조치 등에 따라 달라진다.

취약점이 공개되면서 유럽에서는 정부와 공공기관의 웹서비스를 일시 중단하는 조치가 이어졌다.

로이터에 따르면 독일과 프랑스, 벨기에, 네덜란드, 핀란드, 체코 등의 정부기관과 공공서비스 운영기관이 PHP 취약점에 대비해 일부 웹사이트를 일시적으로 중단했다. 독일 연방 IT 서비스 제공기관과 프랑스 내무부, 체코 정부 등이 예방적 대응에 나섰으며, 네덜란드의 로테르담항과 의료기관 관련 웹서비스도 영향을 받았다.

이는 취약점 악용에 따른 피해가 확인돼 서비스를 중단했다기보다 보안 업데이트를 적용하는 동안 공격 가능성을 차단하기 위한 조치다.

이번 취약점 발견에 인공지능(AI)이 활용됐다는 점도 주목된다.

AP통신과 와이어드 등에 따르면 캘리프(Calif), 위즈(Wiz), 오픈AI 등 보안 연구진과 기업들이 취약점 발견과 검증에 참여했다. 특히 AI를 활용한 코드 분석이 오랫동안 존재했던 메모리 처리 결함을 식별하는 데 기여한 것으로 전해졌다.

PHP 재단은 이번에 수정한 취약점 중 하나가 2024년 연구자에 의해 처음 확인됐지만, 당시에는 구체적인 공격 경로가 충분히 규명되지 않아 적절한 조치가 이뤄지지 않았다고 인정했다.

당초 취약점은 개발팀의 보안패치 준비에 맞춰 공개될 예정이었으나, 지난 20일 관련 정보가 온라인에 유출되면서 공개 일정이 앞당겨졌다. PHP 보안팀은 21일 긴급 업데이트를 배포했다.

취약점 공개를 전후해 실제 공격 시도도 포착됐다. 클라우드플레어와 와치타워 등 보안업체들은 PHP2Shell을 겨냥한 공격 활동을 관측했다. 다만 공격 시도가 탐지됐다는 사실이 실제 서버 침해 성공을 의미하는 것은 아니며, 광범위한 피해가 발생했다는 사실도 확인되지 않았다.

PHP 보안팀은 취약점을 해결한 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 버전을 배포했다. 관련 웹서비스 운영자는 해당 버전으로 업데이트하거나 운영체제 공급업체가 제공하는 보안패치를 적용해야 한다.

특히 PHP 8.1 이하 버전은 공식 지원이 종료된 상태다. 별도의 보안 유지보수 서비스를 제공받는 경우가 아니라면 지원 버전으로 전환할 필요가 있다.

일부 서버 설정 변경이나 웹방화벽(WAF)을 통한 차단은 공격 위험을 줄일 수 있지만, 취약점 자체를 해결하는 조치는 아니다. 보안당국과 전문가들은 즉각적인 패치가 어렵다면 외부 인터넷에 노출된 서비스를 격리하거나 일시적으로 중단하는 방안도 권고하고 있다.

이번 사안은 전 세계 웹서비스에서 공통으로 사용되는 기반 기술에 취약점이 발생할 경우 개별 기업을 넘어 정부와 공공서비스까지 영향을 받을 수 있다는 점을 보여준다.

국내에서도 PHP 기반 웹사이트를 운영하는 기업과 공공기관은 외부에 노출된 서버의 버전과 패치 적용 여부를 확인할 필요가 있다. 특히 자체 개발 웹서비스와 오래된 시스템, 외부 업체가 관리하는 웹서버까지 점검 범위에 포함해야 한다.

현재까지 PHP2Shell과 관련한 국내 침해 피해 규모나 구체적인 사고 사례는 확인되지 않았다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network