PHP 개발자들이 PHP2Shell로 알려진 극도로 심각한 두 개의 보안 취약점을 해결하기 위해 긴급 보안 업데이트를 출시했습니다. 이 취약점들은 공격자가 사전 인증 없이 원격으로 악성 코드를 실행(Remote Code Execution)할 수 있게 하며, 인터넷상에서 이를 악용하려는 실제 공격이 기록되고 있습니다.
PHP 엔진 내 취약점 세부 정보 및 위험 지점
두 취약점은 메모리 고갈 시 발생하는 메모리 손상(Out-of-Memory Corruption)인 CVE-2026-109618과 오래된 비동기식 전역 상태(Stale Global State)와 관련된 CVE-2026-109619로 등록되었으며, CVSS 스케일에서 9.2점의 위험도 평가를 받았습니다. PHP 재단(PHP Foundation)은 이 취약점들이 엔진 내에서 거의 모든 요청이 거쳐 가는 민감한 메커니즘인 메모리 관리와 오류 처리에 위치하고 있어, 그 영향이 광범위하고 해결이 매우 복잡하다고 확인했습니다.
재단은 웹 요청을 처리하는 모든 PHP 서버가 위험에 처해 있다고 밝혔으며, mod_php를 사용하는 Apache 서버, PHP-FPM 환경, php-cgi, FrankenPHP 및 LiteSpeed가 이에 포함됩니다. 또한 문제는 프로세스 자체의 메모리 공간 읽기로까지 확장되어, API 키, 비밀번호 및 캐시된 민감한 데이터를 노출시킬 수 있습니다.
조기 유출 및 패치 이전의 공격
당초 취약점에 대한 조율된 공개는 10월 22일로 예정되어 있었으나, 인터넷상에서의 세부 정보 및 개념 증명(PoC) 코드가 의도치 않게 유출되면서 개발 팀은 출시 일정을 앞당기게 되었습니다. 일반 업데이트가 있기 전 몇 시간 동안 WatchTowr, Patchstack, Cloudflare, Hadrian을 포함한 보안 기관들은 PHP의 세션 업로드 진행 상황(session upload-progress) 추적 경로를 주로 겨냥한 광범위한 익스플로잇 시도를 포착했습니다.
솔루션이 포함된 업데이트에는 버전 8.5.12, 8.4.27, 8.3.36, 8.2.35가 포함되며, PHP 7.4, 8.0, 8.1과 같은 구버전의 소스 코드에 대한 제한적인 백포트 패치도 포함되었습니다. 이 결함의 근본 원인은 역사적으로 PHP 5.4에까지 거슬러 올라가는 버전에 이릅니다.
탐지 과정에서의 인공지능 모델의 역할
클라우드 보안 기업 Wiz는 OpenAI 및 Calif Labs와 협력하여 8월에 이 취약점들을 발견했습니다. 메모리 고갈과 관련된 초기 결함은 2020년에 처음 감지되었고 2024년에 재발견되었으나, 당시에는 소프트웨어 익스플로잇 가능성이 입증되지 않아 즉각적인 위험으로 분류되지 않았습니다. 그러나 고급 인공지능 모델을 활용함으로써 연구원들은 메모리 약점을 원격 명령 실행으로 전환하는 매우 복잡한 익스플로잇 체인을 구성할 수 있었습니다.
이 발전이 중요한 이유와 그 영향은?
PHP는 전 세계 웹사이트의 약 70%를 구동하며, WordPress, Drupal, MediaWiki(위키백과 구동)와 같은 유명 콘텐츠 관리 플랫폼들이 이에 의존하고 있습니다. 언어의 핵심 엔진에 결함이 존재한다는 것은, 그 위에 설치된 소프트웨어 애플리케이션이 완전히 안전하고 오류가 없더라도 수백만 개의 웹사이트가 해킹에 취약해짐을 의미합니다. 이는 시스템 관리자와 운영 팀이 즉시 업데이트를 적용하고 서버 로그를 확인하여 선제적인 침해를 받지 않았는지 보장하도록 강제합니다.