PHP, 서버 장악 가능한 치명적 취약점 2건 긴급 수정...인증 없이 원격 코드 실행, 즉시 업데이트 권고

[한국정보기술신문] 웹사이트 제작에 널리 쓰이는 프로그래밍 언어 PHP에서 치명적인 보안 취약점 2건이 발견됐다. PHP 보안팀은 지난 21일 오후 2시(협정세계시 기준) 이를 고친 보안 업데이트를 긴급 배포했다. 한국 시간으로는 같은 날 오후 11시다. 수정 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 네 가지다. PHP 보안팀은 공지에서 "모든 PHP 사용자는 즉시 업데이트할 것을 강력히 권고한다"고 밝혔다.

이번 취약점은 원격 코드 실행(RCE) 유형이다. 공격자가 멀리 떨어진 곳에서 남의 서버에 자기 프로그램을 몰래 실행시킬 수 있다는 뜻이다. 특히 로그인 같은 인증 절차가 필요 없다. 보안 업계는 두 취약점을 묶어 'PHP2Shell'이라고 부른다.

취약점 번호는 CVE-2026-109618과 CVE-2026-109619다. CVE는 공개된 보안 취약점마다 붙는 국제 고유 번호다. PHP 보안팀은 두 취약점의 위험도를 국제 평가 기준(CVSS v4.0)으로 10점 만점에 9.2점으로 매겼다.

영향 범위는 웹 요청을 처리하는 모든 PHP 설치 환경이다. PHP-FPM, 아파치 웹서버의 mod_php, php-cgi, FrankenPHP, LiteSpeed가 모두 포함된다. 보안팀은 이 가운데 mod_php의 위험이 가장 크다고 봤다. 인증 없는 요청 하나로 웹사이트 프로그램이 돌기도 전에 공격이 성공한 사례가 확인됐기 때문이다.

PHP는 워드프레스, 드루팔, 줌라 같은 홈페이지 제작 도구의 기반 언어다. 국내에서 널리 쓰인 그누보드, 제로보드 같은 게시판 프로그램도 PHP로 만들어졌다. 보안 기업 위즈(Wiz)는 전 세계 웹사이트의 약 70%가 PHP를 쓴다고 추산했다. 다만 위즈는 이 수치가 70%의 사이트 모두 공격에 노출됐다는 뜻은 아니라고 설명했다.

두 취약점은 모두 PHP가 메모리를 다루는 방식의 결함에서 비롯됐다. 메모리는 컴퓨터가 작업 중인 데이터를 잠시 보관하는 공간이다.

첫 번째 취약점(CVE-2026-109618)은 메모리가 부족할 때 생긴다. PHP는 메모리가 모자라면 실행을 멈춘다. 문제는 요청 데이터를 절반쯤 준비한 상태에서 멈추는 경우다. 이후 뒷정리 과정에서 덜 만들어진 데이터를 정상 데이터로 착각할 수 있다.

두 번째 취약점(CVE-2026-109619)은 이미 지운 정보가 남는 문제다. 요청 처리가 끝나 메모리를 비운 뒤에도 일부 내부 정보가 남을 수 있다. 같은 작업 단위(워커)가 다음 요청을 처리할 때 이 낡은 정보를 그대로 쓸 위험이 있다.

외신에 따르면 이 결함들은 2004년 PHP 5 출시 무렵부터 엔진 안에 숨어 있었다. 이를 찾아내는 데는 인공지능(AI)이 쓰였다. 보안 기업 캘리프(Calif)와 위즈, 오픈AI 연구진이 AI 모델의 도움을 받아 발견했다. 위즈는 이 취약점으로 워드프레스, 드루팔, 줌라 사이트에서 인증 없이 코드를 실행하는 데 성공했다고 밝혔다. 비밀번호나 인증 키가 담긴 서버 메모리를 읽어낼 수 있다는 점도 확인했다.

공개 과정은 순탄치 않았다. PHP 보안팀은 20일 사전 공지를 내고 다음 날 업데이트를 예고했다. 하지만 공식 수정본이 나오기 전에 취약점 정보가 먼저 퍼졌다. 외신은 이 때문에 공개 일정이 하루 앞당겨졌다고 전했다. 유출 정보에는 위험도가 10점이라는 내용도 있었지만, 공식 점수는 9.2점이었다.

클라우드플레어의 데인 크네흐트 최고기술책임자(CTO)는 패치 공개 전부터 초기 공격 시도를 관측했다고 밝혔다. 클라우드플레어와 버셀 등은 공개 전에 알려진 공격 방식을 막는 방화벽 규칙을 미리 적용했다.

각국 정부도 움직였다. 독일, 핀란드, 벨기에 등은 예방 차원에서 일부 정부 웹사이트를 닫았다. 네덜란드 보건기관 RIVM과 프랑스 지방청도 일부 사이트를 내렸다. 미국 국가안보국(NSA)은 즉시 패치할 수 없다면 사이트를 내리라고 권고했다. 미국·영국·유럽연합·캐나다·호주·일본의 사이버보안 기관도 잇따라 경고를 냈다.

개발자 커뮤니티에서는 공개 과정을 비판하는 목소리가 나왔다. 미국 개발자 커뮤니티 해커뉴스의 일부 이용자는 소수 기업이 두 달 가까이 정보를 쥐고 있다가 유출을 막지 못했다고 지적했다. 세부 내용을 숨긴 채 임시 수정본을 먼저 냈어야 했다는 주장도 있었다. 한 이용자는 8월 24일 신고 이후 PHP 쪽 접수 확인까지 약 한 달이 걸렸다고 주장했다. 업데이트 직후 일부 리눅스 서버에서 새 패키지가 바로 잡히지 않는다는 불만도 이어졌다.

반면 PHP 측은 대응 체계를 갖췄다는 입장이다. 보안팀은 리눅스 배포판과 장기 지원(LTS) 업체에 패치를 미리 전달했다. 우분투 LTS는 공개 당일 수정판을 배포했다. 공식 지원이 끝난 PHP 7.4, 8.0, 8.1용 최소 수정 코드도 따로 내놨다. PHP 재단은 이번 대응 과정과 보안 체계 개선 방안을 담은 글을 공개했다.

PHP 보안팀은 완전한 해결책은 업데이트뿐이라고 못 박았다.