- AI 기반 연구로 인해 인증 없이 원격 코드를 실행하고 메모리를 노출시킬 수 있는 두 가지 중대한 PHP 결함(CVE-2026-109618 및 CVE-2026-109619)이 드러났으며, PHP는 10월 21일에 이를 패치했습니다.
- Cloudflare는 수백만 건의 공격 시도를 기록했으며, 전 세계 정부와 기업들이 서비스를 오프라인으로 내렸지만, PHP 재단은 성공적인 코드 실행 사례는 아직 보고되지 않았다고 밝혔습니다.
- AI는 이제 취약점 공개부터 실제 악성코드 작동까지의 시간을 단축시키고 있어, PHP를 운영하는 모든 조직은 며칠이 아닌 시간 내에 패치를 적용해야 하는 압박을 받고 있습니다.
2026년 10월 22일, 수백만 명의 해커들이 PHP의 두 가지 주요 취약점을 악용하려고 시도했습니다. 정부와 기업들은 일부 온라인 시스템을 중단해야 했으며, 전문가 팀들은 긴급 패치를 적용하기 위해 서두르고 있었습니다. 이는 사이버 보안 전문가들이 심각한 취약점에 대응하기 위해 이제 얼마나 짧은 시간만을 할당받았는지를 보여줍니다.
서버 장악이 가능한 9.2 등급 버그 두 개
PHP2Shell로 알려진 이 취약점은 CVE-2026-109618 및 CVE-2026-109619로 추적되며, 둘 다 10점 만점 중 9.2의 치명적 심각도 점수를 받았습니다. 2026년 10월 21일, PHP 버전 8.5.12, 8.4.27, 8.3.36 및 8.2.35에 대한 네 가지 수정 패치를 릴리스했습니다.
영국 NCSC는 이러한 버그가 PHP의 내부 메모리를 손상시킬 수 있다고 밝혔습니다. 특정 조건 하에서 공격자가 로그인 없이 코드를 실행할 수 있습니다. Wiz 또한 비밀번호 및 API 키를 포함한 민감한 데이터가 메모리에서 유출될 수 있는 방법을 시연했습니다.
W3Techs에 따르면 PHP는 식별 가능한 서버 측 언어를 사용하는 웹사이트의 69.3%를 구동하고 있습니다. 이는 PHP의 광범위한 사용 현황을 보여주며, 침해된 사이트의 수를 나타내는 것은 아닙니다.
패치와 악용 사이의 시간이 점점 짧아지고 있음
Frontier AI는 수년간 PHP에 숨겨져 있던 취약점에 대한 익스플로잇을 연구자들이 조합하는 데 도움을 주었습니다. Cryptopolitan은 기술 세부 사항이 유출된 후 패치가 예정된 날짜보다 하루 일찍 도착했다고 보도했습니다.
공격 징후는 어떤 공격도 보고되기 전에 이미 확인되었습니다. 2026년 10월 17일, 공개 4일 전 AWS은 MadPot 허니팟 로그에서 이 시도를 식별했습니다. 공격이 성공했는지 여부는 알려지지 않았습니다. AWS 보안 책임자 CJ Moses는 공격자가 AI를 활용하면 공개 후 몇 시간 또는 몇 분 만에 위협이 생성될 수 있다고 경고했습니다.
수천 건의 탐지가 하루 만에 수백만 건으로 증가
Cloudflare의 CEO인 Matthew Prince는 10월 21일 공개 직전 10시간 동안 수천 건의 시도가 있었음을 밝혔습니다. 공개 이후 45분도 채 걸리지 않아 시도는 수만 건으로 급증했고, 그로부터 단 2시간 만에 시도는 수십만 건을 넘어섰습니다. 그리고 곧이어 수백만 건의 시도가 이루어졌습니다. 이는 확인된 침해가 아닌 시도였습니다.
Cloudflare는 이미 방화벽 보호를 배포했지만, 이는 패치 적용을 대체할 수 없었습니다.
10월 22일, Reuters는 노무라, Mitsubishi UFJ, ANA, 동일본 여객철도, Orange 등에서 예방적 서비스 중단을 보도했습니다. 또한 핀란드, 네덜란드, 프랑스의 정부 웹사이트들도 일시적으로 오프라인 상태가 되었습니다.
모든 PHP 인스턴스를 찾아내는 것이 어려운 부분입니다
PHP는 관리자가 거의 점검하지 않는 장비 안에 숨어 있을 수 있습니다. 네덜란드 NCSC의 인벤토리에는 검토 중인 제3자 제품이 포함되어 있으며, 그중에는 Fortinet 제품도 포함됩니다. Searchlight Cyber는 취약한 호스트를 식별하기 위한 스캐너를 출시했습니다. 이 도구는 의도적으로 메모리 고갈을 테스트하므로 사용 시 주의가 필요합니다.
PHP 재단 이사장 엘리자베스 배런은 WIRED에 다음과 같이 전했습니다:
현재까지 원격 코드 실행에 성공한 시도는 확인되지 않았습니다.
보안 예산이 이미 이동하고 있는 방향
가트너의 9월 16일 예측에 따르면 글로벌 AI 사이버보안 지출은 2026년에 513억 달러, 2027년에는 약 860억 달러에 달할 것으로 예상됩니다. 또한 2026년 전 세계 AI 지출은 27조 달러로 전망됩니다.
PHP2Shell은 이러한 예측된 비용의 원인이 아닙니다. 오히려 이 사례는 기업이 실행 중인 소프트웨어를 인지하고, 취약점을 신속하게 패치하며, 피해가 발생하기 훨씬 전에 위협을 감지하는 것이 얼마나 중요한지를 잘 보여줍니다.
이 글을 읽고 계신다면, 이미 앞서 나가고 있습니다. 뉴스레터로 그 위치를 유지하세요.
자주 묻는 질문
PHP2Shell이란?
PHP2Shell은 CVE-2026-109618 및 CVE-2026-109619라는 두 가지 치명적인 PHP 취약점의 별칭으로, 각각 10점 만점에 9.2점으로 평가되며, 인증되지 않은 공격자가 서버에서 코드를 실행하거나 비밀번호 및 API 키와 같은 민감한 프로세스 메모리를 읽을 수 있습니다.
공개 후 공격이 얼마나 빠르게 증가했습니까?
클라우드플레어(Cloudflare) CEO 매튜 프린스(Matthew Prince)는 공개 발표 10시간 전에 수천 건의 악용 시도가 있었고, 45분 이내에 수만 건, 2시간 이내에 수십만 건, 이후에는 수백만 건의 시도가 있었다고 밝혔습니다.
실제로 시스템이 침해되었습니까?
확인된 침해 사례는 없습니다. AWS는 10월 17일자로 악용 시도를 감지했지만 성공 여부를 확인할 수는 없다고 밝혔으며, PHP 재단(PHP Foundation)도 성공적인 원격 코드 실행 사례를 인지하지 못했다고 전했습니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
이비아м 와야스
이비암 와야스는 2019 년부터 암호화폐 뉴스 분야를 취재해 왔습니다. 그는 나이지리아 국립오픈대학교에서 컴퓨터공학을 전공했으며, 코인포마니아, 암호화폐 뉴스 오스트레일리아, 알코인버즈 등 다양한 암호화폐 뉴스 플랫폼에 기고했습니다. 컴퓨터공학 배경을 바탕으로 현재 암호화폐, 로봇공학, 장수 관련 뉴스를 집중적으로 다루고 있습니다.
