기술 보고서에 따르면, 공격자들이 PHP2Shell로 알려진 치명적인 보안 취약점(CVE-2026-109618 및 CVE-2026-109619 식별 번호로 등록됨)을 성공적으로 악용하여 실제 운영 환경에서 원격 코드 실행(RCE)을 수행한 것으로 확인되었습니다.
이번 확인은 퍼플렉시티(Perplexity)의 탐지 및 대응 책임자인 아델 카리미(Adel Karimi)가 악성 활동을 감지한 후에 이루어졌으며, 해킹 허니팟(honeypots)은 PHP 8.4.26 버전을 실행하는 Apache mod_php 설치를 상대로 원격 코드 실행 명령이 수행되었다는 결정적인 증거를 기록했습니다. 카리미는 이번 공격이 단순히 시스템 중단을 유발하는 것에 그치지 않고, 공격자가 데이터를 추출하여 후속 실행 페이로드에 사용할 수 있도록 하는 메모리 노출(memory disclosure)을 포함했다고 설명했습니다.
스캔에서 침해로의 공격 진화
클라우드플레어(Cloudflare)와 패치스택(Patchstack)을 포함한 많은 사이버 보안 기업들이 취약점 공개 이전에 이러한 취약점의 악용 시도를 감지했음에도 불구하고, 당시에는 그러한 시도가 성공적이지 않거나 단순한 스캔 및 핑거프린팅(scanning and fingerprinting) 작업으로 분류되었습니다. 그러나 엑스펠(Expel)의 위협 연구원인 마커스 허친스(Marcus Hutchins)도 확인한 카리미의 이번 발견은 단순한 취약점 탐지 단계에서 실제적이고 성공적인 침해 단계로의 위험한 전환을 나타냅니다.
이 소식이 매우 위험한 이유는 무엇인가?
위험성은 PHP의 광범위한 보급에 있습니다. 바이러스토털(VirusTotal)의 추정에 따르면 PHP는 인터넷상의 모든 웹사이트 중 약 70%를 구동하고 있으며, 인터넷에 노출된 PHP 기반 호스트는 510만 개가 넘습니다. 이는 이 언어에서 원격 코드 실행을 허용하는 모든 취약점이 전 세계 디지털 인프라를 타겟으로 하는 대규모 공격의 문을 열어준다는 것을 의미합니다.
새로운 취약점에 대한 경고 및 보호 조치
PHP2Shell 취약점 처리에 발맞추어, PHP 보안 팀은 아직 패치가 제공되지 않고 비정상적인 구성 및 애플리케이션을 사용하는 시스템을 타겟으로 하는 새로운 RCE 취약점(CVE-2026-115560)에 대해 경고했습니다. 시스템을 보호하기 위해 다음 조치를 따르는 것이 좋습니다.
- PHP 즉시 업데이트: 시스템 관리자는 PHP 팀이 PHP2Shell 취약점을 해결하기 위해 10월 21일에 발표한 보안 업데이트를 설치해야 합니다.
- 긴급 예방 조치: 현재 패치가 없는 새로운 취약점(CVE-2026-115560)에 대응하기 위해, 설정 파일에서 다음 구성을 설정하여 세션을 통한 파일 업로드 기능을 비활성화하는 것이 좋습니다: session.upload_progress.enabled=0.