티오리, “PHP2Shell 취약점, 버전 확인 후 패치 서둘러야”

티오리(대표 박세준)는 PHP에서 발견된 취약점 ‘PHP2Shell’ 2건을 재현·검증하고 기업과 기관을 위한 대응 방안을 22일 공개했다.

PHP는 웹사이트와 웹 애플리케이션을 개발할 때 사용하는 프로그래밍 언어다. 서버에서 이용자의 요청을 처리하고 데이터베이스와 연동해 로그인이나 게시판, 결제 등의 기능을 구현하는 데 쓰인다. 워드프레스(WordPress) 등 주요 웹사이트 구축 도구에도 활용된다. PHP 자체에 보안 취약점이 발생하면 이를 사용하는 웹서버도 공격에 노출될 수 있다.

PHP2Shell은 CVE-2026-109618과 CVE-2026-109619로 식별된 PHP 엔진의 취약점이다. 공격자는 별도의 인증 없이 취약한 서버에서 원격으로 코드를 실행하거나 프로세스 메모리에 접근할 수 있다. 두 취약점의 공통취약점등급시스템(CVSS) 점수는 9.2점으로 ‘치명적(Critical)’ 등급이다.

티오리는 취약점이 웹 애플리케이션의 개별 구현 코드가 아닌 PHP 엔진 자체에서 발생한다고 설명했다. 공식 보안 권고가 나오기 전 개념증명(PoC) 시연 영상과 패치가 적용된 바이너리 등이 외부에 공개되면서 공격 코드가 확산할 가능성도 있다고 분석했다.

PHP는 PHP 8.2.35와 8.3.36, 8.4.27, 8.5.12에서 해당 취약점을 수정했다. 지원이 끝난 PHP 8.1 이하 버전은 최신 지원 버전으로 올려야 한다.

티오리는 즉시 업데이트하기 어려운 환경을 위한 임시 완화책과 점검 방법도 제시했다. 다만 임시 조치는 기능 오류가 발생하거나 공격을 완전히 막지 못할 수 있어 최신 보안 버전 적용이 필요하다고 강조했다.

임준오 티오리 수석 연구원은 “PHP2Shell은 애플리케이션 코드와 관계없이 서버 전체를 위험에 빠뜨릴 수 있는 취약점”이라며 “운영체제 배포판별 패치 여부를 확인하고 최신 버전을 적용해야 한다”고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network