[CBC뉴스] 전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 인증 절차 없이 원격으로 악성 코드를 실행할 수 있는 심각한 보안 취약점 두 건이 발견됐다. PHP 개발팀은 긴급 보안 업데이트를 공개하고 이용자들에게 즉각적인 버전 업그레이드를 권고했다.

21일(현지시간) 월스트리트저널(WSJ)은 PHP에서 발견된 보안 취약점 'PHP2Shell' 문제를 보도했다. PHP 개발팀도 이날 공식 홈페이지를 통해 두 건의 원격 코드 실행 취약점을 수정한 보안 업데이트를 발표했다.

이번에 확인된 취약점은 CVE-2026-109618과 CVE-2026-109619다. 두 취약점 모두 공격자가 정상적인 인증 과정을 거치지 않고 취약한 서버에서 코드를 실행할 가능성이 있다는 점에서 심각한 보안 문제로 분류된다.

PHP 보안팀은 업데이트에 앞서 지난 20일 두 취약점의 위험도를 공통 취약점 평가 시스템인 CVSS 4.0 기준 9.2점으로 평가하고, 보안 패치가 공개되는 즉시 적용할 수 있도록 준비할 것을 요청했다.

첫 번째 취약점인 CVE-2026-109618은 메모리 부족 상황을 처리하는 과정에서 발생한다. 내부 요청 데이터가 완전히 초기화되지 않은 상태에서 PHP 실행이 중단되면 이후 정리 과정에서 유효하지 않은 메모리 데이터가 정상적인 데이터로 처리될 수 있다. 공격자가 이러한 문제를 악용할 경우 원격 코드 실행으로 이어질 가능성이 있다.

두 번째 취약점인 CVE-2026-109619는 이전 요청에서 사용된 내부 상태가 메모리 해제 이후에도 남아 있는 문제다. 동일한 작업 프로세스가 후속 요청을 처리하면서 초기화되지 않은 과거 상태를 참조할 수 있어 보안 위험이 발생한다.

영향을 받을 수 있는 환경도 광범위하다. PHP 개발팀은 PHP-FPM과 Apache의 mod_php 모듈, php-cgi, FrankenPHP, LiteSpeed 등 웹 요청을 처리하는 PHP 실행 환경을 위험 대상으로 제시했다.

특히 Apache에서 PHP를 직접 실행하는 mod_php 환경은 상대적으로 위험성이 높은 것으로 평가됐다. PHP 개발팀은 해당 환경에서 애플리케이션 코드가 실행되기 전 인증되지 않은 요청만으로 공격이 가능한 취약점이 입증됐다고 설명했다.

PHP 개발팀은 문제 해결을 위해 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 버전을 공개했다. 기존 PHP 8.5, 8.4, 8.3, 8.2 버전 이용자들은 각각 해당 보안 수정 버전으로 업데이트해야 한다.

구형 버전을 사용하는 서버도 점검이 필요하다. PHP 8.1 이하 버전은 공식 프로젝트 차원의 보안 업데이트 지원 대상에서 제외돼 있다. 다만 일부 리눅스 배포판과 장기 지원 서비스 제공업체는 별도의 수정 패키지를 공급할 수 있다.

PHP 보안팀은 구형 시스템 운영자를 위해 PHP 7.4, 8.0, 8.1 버전에 적용할 수 있는 최소한의 소스코드 수정 사항도 별도로 제공했다.

즉각적인 업데이트가 어려운 환경에서는 서버 설정을 변경해 일부 공격 경로를 제한할 수 있지만, 이것만으로 보안 문제가 완전히 해결되는 것은 아니다.

PHP 개발팀은 메모리 제한과 요청 데이터 처리 설정, 세션 업로드 진행 상태 관리 등과 관련한 임시 대응 방안을 제시하면서도 업데이트가 완전한 해결책이라는 점을 강조했다.

이번 사안에서 구분해야 할 부분은 취약점의 존재와 실제 침해 발생 여부다. 인증되지 않은 원격 코드 실행 가능성이 확인됐다는 사실만으로 전 세계 PHP 기반 웹사이트가 모두 해킹됐거나 정보 유출이 발생했다고 판단할 수는 없다.

실제 위험은 서버에 설치된 PHP 버전과 실행 방식, 보안 패치 적용 여부 등에 따라 달라질 수 있다.

PHP 8.2의 공식 지원이 오는 12월 31일 종료될 예정이라는 점도 주목할 부분이다. PHP 개발팀은 해당 버전 사용자들에게 지원 종료 이전에 상위 버전으로 이전할 계획을 마련할 것을 권고했다.

이번 취약점은 특정 웹사이트의 애플리케이션 기능이 아니라 PHP 실행 환경 자체와 관련돼 있다는 점에서 서버 운영자의 대응이 중요하다. PHP 개발팀이 긴급 업데이트를 공개한 가운데 기업과 기관의 웹사이트 관리자들은 사용 중인 버전과 보안 패치 적용 여부를 우선 확인해야 할 것으로 보인다.

[본 기사는 공개된 PHP 공식 보안 권고와 외신 보도를 바탕으로 작성됐다. 보안 취약점의 존재가 실제 해킹이나 정보 유출 발생을 의미하지는 않는다. AI가 일부 조력했다.]

★ 네티즌 어워즈 투표하러 가기 ▶
★ 전 세계 팬덤의 결집, cbcglobe.com ▶
★ 돈돈돈, 남몰래 혼자 보는 – 돈 되는 뉴스 ▶

▮ CBC뉴스ㅣCBCNEWS 심우일 기자