안녕하세요, 쿠로이로입니다. AI 를 활용해 다양한 것을 만들어 놀아보는 학생입니다 (자신 소개는 여기 → 「AI 로 만들어 놀아보는 학생, 쿠로이로입니다 [자신 소개]」).
이번에는 최근 IT 뉴스에서 오랫동안 화제가 되어온 PHP 취약점에 대해 다루겠습니다. 저 또한 AI 를 활용해 웹 애플리케이션을 개발할 때 PHP 를 사용하기도 하므로, "이것은 저에게도 관련이 있을까?"라고 생각하며 조사해 보았습니다.
결론부터 말씀드리면, PHP 를 기반으로 운영 중인 사이트를 보유한 사람은 거의 모두 관련이 있습니다. 워드프레스로 블로그를 운영하시는 분도 대상입니다.
※이 글은 '무슨 일이 일어났는지', '본인이 대상인지', '어떻게 수정해야 하는지'를 정리한 것입니다. 공격의 구체적인 방법은 적지 않았습니다. ※2026 년 10 월 23 일 기준의 정보입니다. 상황이 매일 변하므로 최신 정보는 PHP 공식 사이트나 사용 중인 서버 회사의 공지사항을 확인하시기 바랍니다. ※저는 보안 전문가가 아니라 뉴스나 전문가의 설명을 읽고 정리한 학생입니다. 자신의 사이트에서 판단이 어려우면 서버 회사나 전문가에게 상담하시기 바랍니다.
무슨 일이 있었는지
2026 년 10 월 21 일, PHP 개발 팀이 심각도 '긴급'으로 분류된 취약점 2 개를 수정한 버전을 공개했습니다. 발견한 연구자들이 붙인 이름은 'PHP2Shell'이며, 번호는 다음 두 가지입니다.
- CVE-2026-109618
- CVE-2026-109619
심층도 점수는 10 점 만점 중 9.2(CVSS v4.0) 입니다. 일찍이 '10.0'이라는 숫자도 유포되었으나, PHP Foundation 이 이를 '오류'라고 정정했습니다.
공식 웹사이트에도 "모든 PHP 사용자는 즉시 업데이트를 강력히 권장합니다"라고 명시되어 있어, 상당히 진지한 호소입니다.
그럼 PHP 가 무엇인지? 레스토랑을 예로 들어보면
이후부터는 웹사이트를 레스토랑에 비유하여 설명하겠습니다.
- 웹사이트는 레스토랑입니다.
- 사이트를 찾아온 사람 = 고객 ('이 페이지 보여줘'가 '주문'이라는 뜻)
- WordPress 와 같은 메뉴 및 레시피 앱
- PHP 는 주방 (Kitchen) 과 그곳에서 일하는 요리사를 의미합니다.
고객의 주문을 받아 레시피대로 요리 (페이지) 를 만들어 제공하는 것이 PHP 의 업무입니다. 세계 웹사이트의 약 70% 가 PHP 로 작동한다고 알려져 있으며, 대부분의 식당이 같은 제조사의 주방 장비를 사용하는 것과 같습니다.
왜 그렇게 위험한 거야?
이번 '구멍'을 한 마디로 표현하자면, 고객이扮한 사람이 주문 방식을 바꾸기만 하면 주방으로 들어가고 원하는 요리를 마음대로 만들어내는 상태입니다. 게다가 회원가입 (로그인) 도 필요 없습니다.
전문 용어로는 '원격 코드 실행 (RCE)'이라고 합니다. 서버가 탈취당하면 메뉴가 변경되거나 (사이트 변조),レジ나 고객 명단이 빼앗기거나 (데이터 유출), 가게가 악의의 거점이 되거나 (스팸 메일의 발원지) 모든 것이 가능합니다.
두 개의 구멍은 모두 주방 후속 정리 실수입니다.
- CVE-2026-109618: 메모리 부족으로 조리 과정이 중단된 상태에서, 후속 정리 과정에서 그 조리 중인 음식을 '완성된 요리'로 잘못 취급하는 실수입니다.
- CVE-2026-109619: 이전 주문자의 접시를 씻지 않고 다음 주문자에게 사용하거나, 이전 주문자가 사용 완료 후 정리해야 할 접시를 다음 주문 시 실수로 그대로 사용하는 오류입니다. 이전 주문자의 남은 음식 (다른 사람의 데이터) 이 노출될 수도 있습니다.
둘 다 의도적으로 이상한 주문을 내면, 이를 의도적으로 이 상태로 만들 수 있다는 점이 문제입니다.
핵심은 메뉴 (WordPress) 가 아니라 주방 (PHP) 자체의 문제라는 점입니다. 메뉴를 새로 만들더라도 주방 설비가 고장 났다면 그것은 아무런 의미가 없듯이, "플러그인을 최신으로 업데이트했다"는 이유로 안심할 수 없습니다.
이미 공격이 시작되었습니다.
더욱이 이번에는 수정판이 나올 전부터 공격이 시작되었습니다.
- 10 월 17 일: 아마존의 사기 서버에서 첫 번째 공격 시도가 발견됨
- 10 월 20 일: 취약점 번호가 외부로 유출됨. PHP 가 "21 일 수정 버전을 발표한다"고 예고함.
- 10 월 21 일: 일정을 1 일 앞당겨 수정판을 공개합니다. 같은 날 공격이 더욱 증가합니다.
아마존은 이미 광범위하게 악용되고 있다고 지적하며, 10 월 17 일 이후의 로그를 확인하도록 권장하고 있습니다. 국내에서도 안전을 위해 서비스를 일시 중단한 곳이 많았다고 합니다.
클라우드flare 에 따르면, 뉴스 보도 이후 45 분 만에 수만 건, 2 시간 만에 수십만 건의 공격 시도가 발생했으며, 21 일 밤에는 수백만 건으로 급증했습니다.
이 취약점을 발견한 것은 AI 였습니다.
가장 놀라웠던 점은 바로 이 부분입니다. 이번 취약점은 AI 를 통해 발견되었습니다.
- 8 월 1 일: AI 보안 기업 칼리프 (Calif) 가 OpenAI 의 AI 'GPT-5.6 Sol' 을 활용해 첫 번째 단서를 발견했습니다. 이후 OpenAI 도 다른 부분을 찾아냈습니다.
- 8 월 19 일: 보안 기업 위즈 (Wiz) 는 별도로 조사하던 중 구글 AI '제미니 4 아르곤' 등을 통해 동일한 문제를 발견했습니다.
- 8 월 24 일: PHP 개발 팀에 보고
- 10 월 21 일: 수정판 공개와 함께 내용을 발표합니다.
여러 팀이 같은 8 월에 모두 AI 를 활용해 동일한 취약점을 발견했습니다. 또한 Wiz 에 따르면, 해당 취약점이 있는 코드는 10 년 이상 존재해 왔다고 합니다. OpenAI 의 그레그 블록만은 2024 년에 일부는 발견되었으나, 당시에는 큰 문제로 간주되지 않았다고 말했습니다.
와이즈는 "과거에는 팀이 수 개월 걸렸던 작업을 한 명의 연구자가 한 주 만에 완료했다"고도 언급했습니다 (이는 해당 연구자들의 설명이며, 다른 출처에서 확인된 숫자는 아닙니다).
AI 는 방어하는 측이 되기도 하고, 공격하는 측이 되기도 합니다.
여기서는 앞서 언급한 사기 전화 관련 기사와 같은 내용입니다. AI 가 취약점을 빠르게 발견할 수 있다면, 악의적인 행위자도 AI 를 이용해 공격을 더 빠르게 수행할 수 있다는 뜻입니다.
레스토랑에서는 AI 가 정말로 뛰어난 검사관입니다. 10 년 이상 누구도 발견하지 못했던 주방의 결함을 단숨에 찾아냅니다. 하지만 같은 검사관은 도둑에게도 고용될 수 있습니다. "이 식당의 뒷문은 여기가 약하다"는 사실을 도둑에게도 같은 속도로 알려버리는 것입니다.
OpenAI 또한 "공격하는 쪽이 방어하는 쪽과 같은 능력을 공격 도구 제작에도 활용하게 될 것"이라고 경고했습니다. 뉴스 보도 후 45 분 만에 수만 건의 공격이 발생했다는 사실도 이와 무관하지는 않을 것 같습니다.
반대로 말하면, "수정판이 나오면 곧 올리겠습니다"라고 해도 이미 늦은 시대가 되었습니다. 발견 속도가 빠르고 공격 속도가 빠릅니다. 따라서 방어하는 측도 즉시 올리거나 할 수 없습니다.
대상인가? 확인 방법
1. PHP 를 사용하고 계신가요
이런 사람들은 사용하는 가능성이 높습니다.
- WordPress 를 이용해 블로그나 가게 사이트를 운영 중입니다.
- 렌탈 서버 (X 서버, ConoHa WING, 사쿠라 등) 에 사이트를 구축하고 있습니다.
- 라벨, 드롭러, 주마, 마그네토, EC-CUBE 등으로 구축된 사이트가 있습니다.
2. PHP 버전을 확인합니다
레스토랑에서는 주방 장비의 '모델 번호'를 확인하는 작업을 합니다. 리콜이 발생하면 먼저 자신의 가전제품 모델 번호를 확인하는 것과 같습니다. 확인 방법은 여러 가지가 있습니다.
- 렌탈 서버: 관리 화면의 'PHP 버전 설정'과 같은 메뉴에서 확인 가능합니다.
- WordPress 관리 화면의「도구」→「사이트 헬스」→「정보」→「서버」에 적혀 있습니다.
- 내 서버: php -v 명령어를 입력하면 표시됩니다.
3. 아래 표와 비교해 보세요.
사용 중인 버전 상태 확인 및 조치 사항: 8.5 시리즈 수정 버전이 있으므로 8.5.12 이상으로 업그레이드. 8.4 시리즈 수정 버전이 있으므로 8.4.27 이상으로 업그레이드. 8.3 시리즈 수정 버전이 있으므로 8.3.36 이상으로 업그레이드. 8.2 시리즈 수정 버전이 있으므로 8.2.35 이상으로 업그레이드 (단, 8.2 는 2026 년 12 월 31 일 지원 종료). 7.4/8.0/8.1 시리즈는 공식 수정 버전이 없으므로 8.3 이상으로 업그레이드. OS 패키지라면 OS 측의 대응 여부를 확인. 7.3 이전 또는 5 시리즈는 수정 버전이 없으므로 즉시 업그레이드. 불가능하다면 공개를 중단.
발견자 중 한 명에 따르면 PHP 5.4 이후의 모든 버전이 적어도 하나의 취약점을 포함하고 있다고 합니다. "구버전이라 상관없다"는 생각보다는, 오히려 구버전일수록 위험하다고 생각해야 합니다.
어떻게 해야 할까
가장 중요한 일: 업데이트
업데이트만이 유일한 해결책입니다. 이에 덧붙이자면, 주방의 결함을 고치려면 제조사가 출시한 수리된 장비로 교체하는 것밖에 없습니다.
- 렌탈 서버 담당자: 많은 기업이 이미 대응하고 있습니다. 공지 페이지를 확인한 뒤 관리 화면에서 새 버전으로 전환하세요.
- 자신이 서버를 직접 관리하는 경우: OS 패키지에 포함된 PHP 의 경우 OS 업데이트를 통해 수정이 적용됩니다. 업데이트 후 PHP 를 재시작하지 않도록 주의하세요.
- WordPress 사용자는 PHP 버전을 업그레이드하기 전에 플러그인이나 테마가 새로운 PHP 와 호환되는지 확인하고, 백업을 먼저 취한 뒤 변경하는 것이 안전합니다.
또한, 동일한 8.1 버전에서도 Ubuntu 22.04 에는 수정이 적용되었으나 Amazon Linux 2023 에는 수정 계획이 없다고 알려져 있습니다. 운영 체제마다 다르므로, 본인의 환경에 맞는 발표를 확인해 주세요.
업데이트가 즉시 적용되지 않을 때
PHP 공식 문서에는 연결 설정 (메모리 한도 변경, 업로드 진행 기능 설정 변경 등) 도 안내하고 있습니다. 다만, 이는 "공격의 진입점을 줄이는 것만으로는 안전하지 않다"고 명확히 명시되어 있습니다.
카페에서는 '장비가 고장 난 채 남아있지만, 의심스러운 주문이 통하지 않도록 붙여진 종이' 정도로만 설명할 수 있습니다.
그 외에도 이런 연결 방법이 있습니다.
- 클라우드flare 를 통해 서비스를 이용하는 사이트는 모든 플랜에 방어 규칙이 포함되어 있습니다. 마치 입구에 경호원이 의심스러운 주문을 걸러주는 것처럼 (이것도 임시방편입니다).
- 회사 내부 전용 시스템은 VPN 내부에 배치하거나 연결 가능한 IP 주소를 제한하여, '회원제 상점처럼 아는 사람만 접근할 수 있는 상태'로 만듭니다.
- 수리가 되지 않고 보호할 수 없다면 일단 공개를 중단하겠습니다. 수리 작업이 완료될 때까지 임시 휴무로 운영합니다.
참고로 로그도 확인합니다.
10 월 17 일 이후의 액세스 로그에서 HTTP 500 오류의 급격한 증가나 평소와 다른 요청이 있는지 확인해 보세요. 다만, 흔적이 발견되지 않는다고 해서 안전한 것은 아닙니다. 걱정이 된다면 서버 업체나 전문가에게 상담을 받으세요.
조사한 결과 느낀 점
보통은 AI 에 코드를 맡겨 앱을 만들지만, 이번 일을 통해 '내가 직접 쓴 코드'뿐만 아니라 그 외 부분에도 결함이 있을 수 있음을 다시 한번 깨달았습니다. PHP 와 같은 기반이 되는 부분은 제가 직접 수정할 수 없습니다. 제가 할 수 있는 것은 버전을 정확히 알고, 즉시 배포할 수 있도록 준비하는 것뿐입니다.
그리고 10 년 이상 누구도 발견하지 못했던 취약점을 AI 가 몇 주 만에 찾아낸다는 사실은 놀라운 동시에 조금도 두려운 점도 있습니다. 앞으로는 '오래되어 안정적이므로 괜찮다'는 소프트웨어가 사라지고, AI 가 차례로 취약점을 찾아내며 그 때마다 긴급하게 수정하는 흐름이 늘어날지도 모릅니다.
「作って終わり」ではなく、作ったものを動かし続けるなら、ときどきお知らせを見るクセをつけたいと思います。
결론
오늘 할 일은 간단합니다.
- PHP 버전을 확인합니다.
- 수정판 (8.2.35 / 8.3.36 / 8.4.27 / 8.5.12) 의 값을 더 높입니다.
- 공개할 수 없다면 공개를 중단하거나 접근을 제한해야 합니다.
블로그를 운영하시는 친구나, 웹사이트를 운영하시는 가족이 있다면 이 글을 공유해 주세요. "우리 서버는 이렇게 되어 있었다"는 이야기가 있다면 댓글로 알려주세요.
참조한 페이지
- ITmedia NEWS「PHP 의『긴급』레벨 취약성, 개발자가 수정 버전을 공개『즉시 업데이트를』」 https://www.itmedia.co.jp/news/article/2610/22/2000002480/
- ITmedia NEWS「PHP 에『긴급』등급의 취약점 2 개 발견, 일본 시간 21 일 밤에 수정판 공개 예정」https://www.itmedia.co.jp/news/article/2610/21/2000002446/
- 창의숲「PHP 의 치명적인 취약점 2 개가 수정됨, 즉시 업데이트」
- Tenable「php2shell (CVE-2026-109618, CVE-2026-109619) 자주 묻는 질문」https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote
- 라피드 7「CVE-2026-109618 및 CVE-2026-109619」https://www.rapid7.com/blog/post/etr-cve-2026-109618-and-cve-2026-109619-critical-unauthenticated-remote-code-execution-in-php/
- Wiz「PHP2Shell: AI 가 인터넷 70% 를 타격하는 치명적인 RCE 취약점을 발견함」https://www.wiz.io/blog/php2shell-php-rce
- 포춘이 "AI 가 70% 의 인터넷을 마비시킬 수 있는 PHP 취약점을 발견했다" https://fortune.com/2026/10/21/ai-tools-discovered-the-php-vulnerability-that-could-take-down-70-of-the-internet-now-the-race-is-on-to-patch-it-before-ai-powered-hackers-attack/
- 시스리 인덱스「PHP 의 중대한 취약점 (2026 년 10 월) 대응｜수정 버전을 출시하지 않는 7 개 버전 및 8.1 버전의 업무 시스템을 어떻게 할 것인가」https://www.c3index.co.jp/blog/blog_3602/
출처: note 원문
번역: Qwen 3.5(.48) 초벌 + 교정 41청크
원문 보기 | 출처: note.com