OpenAI, Wiz, Calif.io를 포함한 여러 기술 기업은 CVE-2026-109618 및 CVE-2026-109619 식별자를 가진 PHP 프로그래밍 언어의 2가지 치명적인 보안 취약점을 공개했으며, 이들은 통칭하여 php2shell로 알려져 있습니다. 이 취약점들은 PHP 5.4 이상 버전을 실행하는 모든 웹 서버에 영향을 미치며, 원격 코드 실행, 서비스 거부 및 민감 데이터 유출 위험을 초래합니다.
취약점의 작동 메커니즘
php2shell 취약점은 HTTP 요청을 처리하는 동안 오류가 발생할 때 PHP가 메모리를 처리하는 방식의 결함으로 인해 발생합니다. 일반적인 상황에서 PHP는 요청된 데이터에 메모리를 할당한 후 해제하지만, 처리가 예기치 않게 중단되면 언어가 메모리를 안전하게 정리하지 못할 수 있습니다. 공격자들은 유효하지 않은 메모리를 조작하도록 특별히 제작된 HTTP 요청을 보내 이 상태를 악용하며, 이는 프로세스 중단 또는 무단 데이터 접근으로 이어집니다.
Cloudflare의 기술적 대응
Cloudflare는 이러한 취약점이 공개되기 약 9시간 전에 무료 플랜 사용자를 포함한 모든 고객을 위해 웹 애플리케이션 방화벽(WAF)을 통해 보호 규칙을 배포했습니다. 회사는 이번에 처음으로 "전체 트랜잭션 감지" (Full Transaction Detection)라는 새로운 기술적 역량을 사용했습니다.
이 기술은 사용자 요청만 분석하는 기존 규칙을 넘어서며, 단일 HTTP 트랜잭션 내에서 요청과 응답에서 파생된 신호를 결합합니다. 이를 통해 시스템은 원본 서버 응답에 악용 지표가 포함되어 있는 것으로 판명될 경우 이를 차단할 수 있으며, 이는 오탐(False Positives) 가능성을 줄이고 보호 정확도를 높여줍니다.
사용자에게 실제로 무엇이 달라지는가?
- 자동 보호: 수동 개입 없이 모든 Cloudflare 고객을 위해 새로운 규칙이 자동으로 활성화되었습니다.
- 다중 계층: WAF 보호 기능이 제공됨에도 불구하고, 회사는 이 보호 기능이 추가적인 방어 계층일 뿐이며 사이트 관리자가 개발자의 권장 사항에 따라 즉시 PHP 버전을 업데이트해야 할 필요성을 대체하지는 않는다고 강조합니다.
- 지속적인 모니터링: Cloudflare의 보안 분석가들은 공격자들이 고안해 낼 수 있는 우회 기술에 대응하기 위해 악용 시도를 계속 모니터링하고 규칙을 업데이트하고 있습니다.
사용자는 Cloudflare 대시보드(Security > Security Analytics > Events)를 통해 이벤트 로그를 검토하여 보호 기능이 활성화되었는지 확인하고 보안 업데이트에 지정된 규칙 식별자를 사용하여 차단된 공격 시도를 추적할 수 있습니다.