공식 업데이트가 사용자들에게 완전히 제공되기 전이자 조정된 공개 일정에 맞춰 출시를 준비하던 중, 프로그래밍 언어 PHP의 두 가지 치명적인 보안 취약점 세부 정보가 온라인에 유출되었습니다. 두 취약점은 각각 CVE-2026-109618 및 CVE-2026-109619로 식별되며, 유럽 사이버보안청(CERT-EU)의 경고에 따라 둘 다 CVSS 스코어 9.2점의 매우 심각한 위험도를 가져 인증 없이도 잠재적인 악용에 취약한 상태입니다.
기술 보고서들은 이 취약점들을 PHP2Shell이라고 명명했으며, 공격자들이 이를 악용해 감염된 서버에서 명령 실행(Shell) 권한을 획득할 잠재력이 있음을 지적했습니다. 초기 추정에 따르면 PHP 5 버전을 포함하여 그 이후의 모든 PHP 버전이 이러한 소프트웨어 취약점의 영향을 받을 수 있습니다.
비상 대비 및 보안 기업의 확인
유출 사태 직후 PHP는 모든 사용자에게 업데이트가 제공되는 즉시 적용할 수 있도록 준비할 것을 촉구하는 경고를 발령했으며, 실제 운영 환경에서 취약점 악용 증거가 발견될 경우 수정 사항을 조기 배포할 가능성도 열어두었습니다. 노출 관리 전문 기업 워치토어(WatchTowr)는 보안상의 이유로 정확한 기술적 세부 정보를 공개하지 않은 채 결함의 존재를 확인하는 선에서 CVE-2026-109618 취약점 재현에 성공했다고 밝혔습니다.
워치토어와 헌트리스(Huntress)는 초기 단계에서 즉각적인 활성 공격은 감지되지 않았다고 밝혔으나, 사이버보안 기업 샌섹(Sansec)은 패치 출시 후 수 분 이내에 광범위한 악용 시도가 시작될 수 있다고 경고했습니다. 이후 PHP는 필요한 업데이트를 배포했으며, 동시에 사이버보안 기업들은 실제 악용 시도를 감지했고 일부는 대상 서버에 수정 사항이 도달하기도 전에 기록되기도 했습니다.
이 뉴스가 중요한 이유
이번 사태는 PHP가 전 세계 수많은 웹사이트와 서버를 구동하는 핵심 축이기 때문에 엄청난 위험을 내포하고 있습니다. 인증이 필요 없는 원격 코드 실행(RCE) 취약점은 해커가 감염된 인프라를 완전히 장악할 수 있도록 허용합니다. 또한 이 사건은 패치가 제공되기 전에 기술적 세부 정보가 공개적으로 유출될 때 발생하는 지속적인 취약점 관리의 과제를 강조하며, 대규모 자동화 공격을 피하기 위해 보안 팀이 기록적인 속도로 업데이트를 적용해야 하는 엄청난 압박을 보여줍니다.