- PHP 유지보수팀은 세부 정보가 유출된 후 하루 일찍인 10월 21일 두 가지 치명적 결함에 대한 수정 패치를 배포했다.
- Greg Brockman은 PHP2Shell 버그가 PHP 내에 14년 동안 존재했다고 말했다.
- PHP의 공식 릴리스는 8.2 이상을 포함하며, PHP 사이트의 약 절반이 구버전을 실행 중이다.
PHP 유지보수팀은 수요일, 하루 일찍 온라인으로 세부 정보가 유출된 후 두 가지 치명적 취약점에 대한 긴급 패치를 출시했다. 이 버그들은 PHP를 실행하는 서버를 공격자가 침해할 수 있게 하며, 이는 알려진 서버사이드 언어를 사용하는 사이트의 약 70%에서 사용됩니다.
OpenAI의 회장인 그렉 브로크먼은 공동 공개가 10월 22일로 예정되어 있었다고 밝혔다. 그러나 세부 사항이 해당 날짜 이전에 유출되었기 때문에 PHP 유지 관리자들은 출시일을 10월 21일로 앞당기기로 결정했다.
브로크먼은 "우리가 전체 두 달 동안 준비할 수 있었던 coalition에 감사하다"라고 말했다. 그는 패치가 준비되기 훨씬 전에 유출되었다면 "매우 큰 영향력을 미쳤을 것"이라고 덧붙였다.
Detectify의 수석 보안 연구원인 조반네 자르딘은 취약점이 패치 릴리스 전에 공개되었다고 밝혔다. 그는 공격자와 방어자들이 동시에 시작했다고 말했다.
두 가지 결함은 9.2 중 10로 평가되며 원격 코드 실행을 허용합니다
두 버그는 CVE-2026-109618과 CVE-2026-109619이며, 둘 다 10점 만점에 9.2점을 받았습니다. 두 PHP 버그 모두 치명적으로 평가되며 패치되지 않은 서버에서 원격 코드 실행을 허용합니다.
버그 이름은 'PHP2Shell'입니다. 이 버그는 PHP에 존재했으며 14년 동안 발견되지 않았다고 브로크먼은 말했다.
제한된 버전이 2024년에 출시되었지만 당시에는 "중요하지 않다고 간주되었다"고 그는 말했다.
PHP 보안 팀이 화요일 밤에 이 경고를 발표했습니다. 수정 패치는 수요일 동부 시간 오전 10시 이후부터 순차적으로 배포되기 시작했습니다.
핀란드, 네덜란드, 프랑스가 정부 웹사이트를 오프라인으로 전환
관리자들이 즉각 조치를 취했으며, 수요일에는 수백 개의 웹사이트가 오프라인 상태가 되었습니다.
핀란드, 네덜란드, 프랑스는 예방 차원에서 정부 웹사이트를 폐쇄했습니다.
EU, 미국, 독일, 일본, 호주, 영국도 자체적인 경고를 발령했으며, 닌텐도를 비롯한 주요 기업들은 패치 작업을 위해 서비스를 일시 중단했습니다.
Cloudflare의 CTO 데인 크넛은 이미 공격이 감지되고 있으며 일부 고객에게 임시 완화 조치가 적용되었다고 밝혔습니다. watchTowr의 위협 인텔리전스 책임자 제이크 노트는 자신의 팀이 AI 기반 개념 증명 도구를 활용한 실제 환경에서의 악용 사례를 추적 중이라고 말했습니다.
노트에 따르면 이러한 노력은 아직 구체적인 성과를 내지는 못했지만, 이러한 상황이 오래 지속되지는 않을 것으로 예상됩니다.
OpenAI는 모델이 버그를 먼저 발견했다고 밝혔다. 보안 기업 Calif는 OpenAI가 운영하는 'Patch the Planet' 프로그램을 통해 GPT-5.6 Sol을 사용했으며, 8월에 한 가지 취약점을 찾아냈다.
브로크먼은 OpenAI 내부 팀이 9월에 더 포괄적인 버전을 발견했다고 전했습니다. Wiz는 두 가지 결함을 독립적으로 탐지하고 보고했습니다.
OpenAI는 Wiz와 Cloudflare를 포함한 유지보수 담당자, 연구원 및 보안 제공업체들의 연합을 2개월간 이끌며 수정 사항을 테스트하고 가이드라인을 준비했다고 밝혔다. 또한 국가 사이버 디렉터 사무실과 CISA(미국 사이버 보안 및 인프라 보안국)와도 협력했다.
회사는 보안 예산이 제한적인 조직에서 핵심 서비스를 보호하기 위해 Daybreak에 대한 보조된 접근성을 10억 달러 규모로 제공하겠다고 약속했습니다. OpenAI는 이러한 결함을 발견한 기술과 동일한 기능이 공격자들이 취약점을 빠르게 악용하는 데 사용될 수 있다고 밝혔습니다.
Brockman은 정부 및 기타 승인된 방어자들이 노출된 서버를 인터넷에서 찾아내야 한다고 주장합니다. 그는 극단적인 경우 원격 패치를 수행해야 한다고 말했습니다.
또한 OpenAI는 화요일 내부 정렬 모니터가 코드 작성 작업 중 비활성화되었다고 밝혔으며, 이는 Cryptopolitan에서 보도했다.
Jardim에 따르면 전체 PHP 사이트의 약 절반이 구버전을 실행 중이며, PHP 8.2 이상만 공식 릴리스를 받습니다. PHP 보안 팀은 “PHP 8.1 및 이전 버전은 PHP 프로젝트로부터 더 이상 업데이트를 받지 않습니다”라고 밝혔습니다.
팀에서는 PHP 7.4, 8.0 및 8.1을 위한 최소한의 소스 백포트를 게시했습니다.
Sophos의 Don Smith는 PHP가 콘텐츠 관리 시스템이나 호스팅 플랫폼 아래에 숨어 있는 경우가 많기 때문에 먼저 PHP가 실행되는 모든 위치를 찾아내는 것이 첫 번째 단계라고 말했습니다. 그는 패치할 수 없는 시스템은 보안이 확보될 때까지 인터넷에서 분리해야 한다고 강조했습니다.
암호화폐 뉴스를 단순히 읽는 것을 넘어, 이해하세요. 뉴스레터에 구독하세요. 무료입니다.
자주 묻는 질문
PHP2Shell 취약점이란 무엇인가요?
PHP2Shell은 패치가 적용되지 않은 서버에서 공격자가 코드를 실행할 수 있게 하는 두 가지 심각한 PHP 결함에 부여된 이름으로, 심각도는 10점 만점에 9.2점입니다.
누가 PHP 버그를 발견했나요?
보안 기업 Calif는 8월에 OpenAI의 GPT-5.6 Sol을 사용한 버전을 발견했으며, OpenAI 팀은 9월更全面한 버전을 발견했습니다.
어떤 PHP 버전이 패치를 받나요?
공식 릴리스는 PHP 8.2 이상을 지원합니다. PHP 8.1 및 이전 버전은 최소한의 소스 백포트만 제공됩니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
란다 모세스
란다 모세스는 Cryptopolitan의 편집자이자 기자로, 기술, AI, 로봇공학, 암호화폐, 사기 및 해킹을 담당합니다. 그녀는 2017년부터 암호화폐 분야에서 활동해 왔으며, 포워드 프로토콜, 아마직스, 크립토소니아크에서 역할을 수행했습니다. 란다는 브래드포드 대학교에서 전기전자공학을 전공했습니다.
