[PHP 파장] 세계 웹사이트 70% 쓰는 PHP, 치명적 보안 결함 발견... 정부·기업 '비상'

로그인 없이 서버 코드 실행 가능... EU·독일·일본 등 긴급 경보에 서비스 중단 속출
실제 공격 시도에 AI 제작 도구까지 등장... 구형 PHP 서버·미관리 시스템 위험

웹사이트 구축에 널리 쓰이는 프로그래밍 언어 PHP에서 치명적인 보안 취약점 2건이 확인되면서 세계 각국 정부와 기업이 긴급 대응에 나섰다. 별도의 로그인 절차 없이 서버에서 악성 코드를 실행할 수 있는 결함으로 실제 공격 시도까지 포착되자 일부 기관과 기업은 웹사이트 운영을 일시 중단했다.

21일(현지시각) PHP 개발·관리팀이 발표한 보안 권고문에 따르면 'PHP2Shell'로 명명된 취약점 2건(CVE-2026-109618, CVE-2026-109619)은 인증받지 않은 외부 공격자에게 원격 코드 실행을 허용할 수 있다. PHP 관리팀은 전날 저녁 두 결함을 모두 치명적 수준으로 분류하고 이용자들에게 긴급 업데이트를 준비하도록 요청했다.

(출처:연합)

이번 취약점은 PHP를 이용해 웹 요청을 처리하는 사실상 모든 운영 환경에 영향을 미친다. PHP-FPM과 php-cgi를 비롯해 프랭큰PHP(FrankenPHP), 라이트스피드(LiteSpeed) 등이 영향권에 포함된다.

특히 아파치 웹 서버에 PHP를 직접 연결하는 'mod_php' 방식의 위험성이 가장 큰 것으로 나타났다. 이 환경에서는 공격자가 인증되지 않은 요청 한 번만 보내도 웹 애플리케이션이 실행되기 전에 악성 코드를 작동시킬 수 있다는 사실이 시연됐다.

두 결함은 모두 서버의 메모리 처리 과정에서 발생한다. CVE-2026-109618은 메모리 부족으로 PHP 실행이 중단됐을 때 불완전한 요청 데이터가 정상 정보로 처리되는 문제다. CVE-2026-109619는 메모리에서 해제된 내부 요청 정보를 다음 요청에서 다시 사용하면서 발생하는 취약점이다.

피해 우려가 커지는 이유는 PHP의 광범위한 사용 환경 때문이다. 일부 추산에 따르면 전체 웹사이트의 70% 이상이 PHP를 활용하고 있다. 보안업체 와치타워(watchTowr)는 기업 내부의 콘텐츠 관리 시스템과 업무용 도구 상당수도 PHP 기반으로 운영되며 고객정보와 주요 업무를 처리하는 시스템이 외부 인터넷에 노출된 사례도 많다고 설명했다.

각국 정부와 주요 기업은 긴급 보안 조치에 들어갔다. 유럽연합(EU)을 비롯해 독일, 일본, 호주, 영국, 네덜란드 등은 보안 경보를 발령하고 즉각적인 패치 적용을 촉구했다. 일부 정부기관은 수정 프로그램이 배포되기 전부터 웹사이트를 중단했으며 닌텐도를 포함한 기업과 단체들도 취약점 해결을 위해 일부 서비스를 일시적으로 폐쇄했다.

공격자들의 움직임도 확인됐다. 데인 크네히트 클라우드플레어 최고기술책임자(CTO)는 실제 공격 시도가 관측되고 있으며 일부 고객에게 임시 방어 수단을 제공했다고 밝혔다.

제이크 노트 와치타워 위협 인텔리전스 책임자 역시 취약점을 재현하기 위해 공개된 개념증명(PoC) 도구가 실제 공격에 활용되고 있다고 전했다. 공격 도구 중에는 인공지능(AI)으로 작성된 프로그램도 포함된 것으로 파악됐다.

다만 현재까지 공격에 성공한 사례는 확인되지 않았다. 노트는 "지금까지 성공한 곳은 없지만 그 상태가 오래가지는 않을 것"이라고 경고했다.

오래된 PHP 버전을 사용하는 웹사이트는 더욱 취약한 상황이다. PHP 8.1 이하 버전은 공식 보안 업데이트 지원이 종료됐지만 이번 사안의 심각성을 고려해 보안팀은 7.4와 8.0, 8.1 버전에 적용할 수 있는 최소한의 소스 패치를 별도로 공개했다.

조비안 자르딤 디텍티파이(Detectify) 선임 보안 연구원은 PHP 기반 웹사이트의 절반가량이 구형 버전을 사용하고 있을 것으로 추정했다. 장기간 업데이트되지 않은 시스템은 관리와 감시가 제대로 이뤄지지 않을 가능성이 크다는 설명이다.

특히 공격자들은 보안 패치가 공개된 이후 수정 전후의 코드를 비교해 취약점의 구체적인 위치를 분석할 수 있다. 자르딤은 많은 조직이 공격자의 탐색을 받은 뒤에야 방치된 PHP 서버의 존재를 파악하는 경우도 있다고 지적했다.

PHP 관리팀은 취약점을 해결한 수정 버전으로 8.5.12와 8.4.27, 8.3.36, 8.2.35를 공개했다. 리눅스 배포판이나 장기 지원(LTS) 업체를 이용하는 경우 각 공급업체가 제공하는 보안 업데이트를 확인해야 한다.

즉각적인 업데이트가 어려운 환경을 위한 임시 대응책도 제시됐다. CVE-2026-109618에는 'memory_limit'을 -1로 설정하고 'post_max_size'를 줄이는 방법이 권고됐다. CVE-2026-109619에는 'session.upload_progress.enabled'를 0으로 변경한 뒤 모든 작업 프로세스를 재시작하는 조치가 안내됐다.

다만 관리팀은 이러한 설정 변경만으로는 일부 공격 경로를 제한할 수 있을 뿐 전체 시스템의 안전을 보장하지 못한다고 강조했다. 취약점 자체를 해결하려면 보안 패치 적용이 반드시 필요하다는 입장이다.

이번 보안 사태에서는 조직이 존재조차 파악하지 못한 노후 시스템이 주요 위험 요인으로 지목됐다. 오래된 홍보용 웹사이트와 호스팅 관리 도구, PHP가 탑재된 기기 등이 대표적이다. 최신 버전으로 업데이트하는 작업뿐 아니라 조직 내부에서 운영되는 PHP 서버를 빠짐없이 찾아내고 관리 대상에 포함하는 것이 핵심 과제로 남았다.