PHP2Shell 취약점: 느린 패치 작업으로 인한 사이버 공격 위험 심화

보안 위협 현황

두 개의 소프트웨어 취약점(CVE-2026-109618 및 CVE-2026-109619)으로 구성된 PHP2Shell 취약점은 웹 인프라에 지속적인 실존적 위협을 가하고 있다. CVSS 척도에 따라 매우 높은 위험 등급(9.2)을 받았음에도 불구하고, 패치 작업에 대한 기업들의 대응은 여전히 우려스러울 정도로 미흡하다.

Ox Security의 데이터에 따르면, 취약점이 공개된 지 5일이 지난 후에도 약 93.6%의 시스템이 여전히 해킹 위험에 노출되어 있다. 연구원들은 수정 속도가 여전히 매우 느리며, 이로 인해 민감한 디지털 자산이 공격자들에게 무방비로 노출되어 있다고 강조한다.

이 뉴스가 중요한 이유

상황의 심각성은 서버 측 프로그래밍 언어를 사용하는 웹사이트의 약 70%가 PHP에 의존하고 있다는 점에 있다. Censys 및 Flare와 같은 보안 기업의 연구에 따르면, 지원되지 않는 PHP 버전을 사용하는 수백만 개의 서비스가 존재하며, 이는 공식 보안 업데이트를 받을 수 없음을 의미하며 안전한 버전으로 전환하기 위해 더 큰 기술적 노력이 필요함을 뜻한다.

보안 팀이 직면한 과제는 다음과 같다:

• 구버전 의존: 조사된 서비스의 70% 이상이 기본 프로젝트에서 더 이상 지원하지 않는 PHP 버전을 사용하고 있는 것으로 추정된다.
• 업그레이드의 복잡성: 레거시 시스템을 업데이트하려면 호환성 문제를 해결하고 애플리케이션을 업데이트해야 하며, 이는 단순히 소프트웨어 패치를 적용하는 것보다 훨씬 복잡하다.
• 공격의 급증: Cloudflare는 취약점 발표 전 수천 건에 불과했던 공격 시도가 현재 수백만 건으로 급증하는 엄청난 도약을 관찰했다.

정부 조치 및 제한 사항

이러한 방관 속에서 정부 기관들은 결정적인 조치를 취했다. 미국 사이버보안 및 인프라 보안국(CISA)은 연방 민간 기관들에 2026년 10월 29일까지 해당 취약점을 해결할 것을 의무화했다. 또한, 이 취약점으로 인해 보안을 확보할 수 없게 된 일부 PHP 기반 플랫폼들이 영구적으로 폐쇄되기도 했다.

전문가들은 공격이 이토록 광범위하게 퍼진 상황에서 수동 패치에 의존하는 것은 더 이상 충분하지 않으며, 지원되지 않는 버전을 계속 사용하는 기관들은 성공적인 해킹을 당할 임박한 위험에 처해 있다고 강조한다.