# [엔지니어를 위한 것이 아님] 현재 화제가 된 PHP 의 심각한 취약점 'PHP2Shell'이란 무엇인가? 어떤 일이 발생했는지, 왜 큰 논란이 일었는지 시간순으로 설명합니다.

> https://bookfactory.kr/board/news/23426
> 게시판: 뉴스
> 작성자: admin
> 작성일: 2026-10-23T12:39:01.921Z

---

최근 몇 일간 'PHP 의 중대한 취약점'과 '긴급 유지보수' 관련 뉴스를 접한 분도 많을 것입니다. 사쿠라 인터넷이 일부 서비스를 중단하거나, 사이타이즈와 픽시브가 긴급 유지보수를 발표하며 평소 IT 업계에 관심 없는 사람들도 눈여겨볼 만큼 큰 소란이 일었습니다.

다만, 뉴스의 대부분은 전문 용어만 가득 차 있어 "결국 어떤 일이 일어났을까?", "나와 관련이 있을까?"라는 질문이 명확히 이해되지 않는 경우가 많습니다.

이 글은 엔지니어가 아닌 사람들을 대상으로,

- PHP 란 무엇인가
- 어떤 결함이 발견되었는지
- 수정판 공개 전 정보 유출의 배경 (시간 순서)
- 나 자신이 무엇을 해야 할지

전문 용어를 최대한 줄이고 정리하겠습니다.

※2026 년 10 월 22 일 기준 정보입니다. 상황이 계속 변하고 있으므로 최신 정보는 공식 발표를 확인하시기 바랍니다.

## 그런데도 PHP 가 무엇인지?

PHP(피에이치피)는 웹사이트를 구동하기 위한 프로그래밍 언어입니다.

브라우저를 통해 웹사이트를 열면, 그 뒤에서 서버 (웹사이트 데이터를 저장하고 운영하는 컴퓨터) 가 페이지를 생성하여 주고받습니다. 이 과정에서 '로그인 여부 확인', '投稿 저장', '검색 결과 생성'과 같은 처리를 수행할 때 PHP 가 널리 사용됩니다.

사용 규모는 어떨까요? 세계 웹사이트의 약 70% 가 PHP 로 작동한다는 것이 알려져 있습니다. 블로그나 홈페이지 제작으로 유명한 워드프레스 (WordPress) 도 PHP 로 만들어졌습니다.

즉, PHP 자체에 결함이 존재한다면 개별 사이트가 얼마나 세심하게 제작되어 있더라도 모두 위험에 노출될 수 있다는 뜻입니다. 이번 사태가 크게 불거진 가장 큰 이유는 바로 여기에 있습니다.

## 2. 발견된 결함의 내용

### 명칭과 위험도

이번에 발견된 취약점은 2 개이며, 이를 통칭하여'PHP2Shell(피에이치투오쉘)'이라고 부릅니다.

- CVE-2026-109618
- CVE-2026-109619

CVE 는 세계 공통의 취약점 (영어: security vulnerability) 관리 번호입니다.

위험도를 나타내는 'CVSS' 지표에 따르면 두 경우 모두 10 점 만점 중 9.2 점 (긴급) 으로 평가되었습니다. 발견한 한 기업은 이를 10 점 만점으로 평가했습니다.

### 무엇이 일어날까요

간단히 말하면, 로그인하지 않은 외부 사용자가 인터넷을 통해 서버를 탈취할 수 있는 취약점입니다.

전문 용어로는 '인증 불필요 원격 코드 실행 (RCE)'으로 불리며, 취약점 중에서도 가장 위험한 범주에 속합니다. 탈취된 서버에서는

- 저장된 개인정보나 비밀번호가 유출될 수 있습니다.
- 사이트를 변경하거나 바이러스를 설치할 수 있습니다.
- 그 서버를 발판 삼아 다른 시스템을 공격당합니다.

이러한 일이 발생할 수 있습니다.

또한 일부 공격 기법에서는 서버 메모리 (현재 실행 중인 데이터를 임시로 저장하는 공간) 를 침입하여 내용을 훔쳐볼 수 있다는 것이 밝혀졌습니다. 그 메모리에는 다른 사용자의 비밀번호나 시스템의 암호 키 정보가 포함되어 있을 수 있습니다.

### 왜 그런 일이 일어나는지 (기본 원리 간략히)

일단 간단한 원리를 설명드리겠습니다.

웹 서버는 수많은 요청을 하나씩 처리합니다. PHP 는 각 요청 처리가 완료될 때마다 사용했던 메모리를 정리하고 다음 요청 처리로 넘어갑니다.

이번 결함은 메모리 부족 등으로 인해 처리가 중간에 강제 종료되었을 때, 정리 작업이 불완전하게 남아 다음 액세스 처리로 넘어가는 경우를 의미합니다.

- 1 회 접속: 공격자가 의도적으로 거대한 데이터를 전송하여 메모리 부족 오류를 유발함
- 이때, 이미 사용하지 않는 메모리 영역을 가리키는 정보가 남아버립니다.
- 2 회 접근: PHP 가 해당 오래된 정보를 신뢰하여 실행되자, 공격자가 삽입한 데이터가 실행됩니다.

이러한 흐름입니다. 전문 용어로는 '해방된 메모리의 사용' (Use After Free) 이라 불리는 취약점의 한 종류입니다.

핵심은 다음 세 가지입니다.

- PHP 자체의 결함이 있으므로, 사이트 측 프로그램이 얼마나 안전하든 무관합니다.
- 사용되는 기능 중 일부 (파일 업로드 진행 상황을 기록하는 기능) 는 처음부터 활성화되어 있습니다.
- PHP 5.4(2012 년 공개) 이후 거의 모든 버전이 대상입니다. 10 년 이상 숨어있던

### AI 가 발견한 결함도 있습니다.

이번 결함은 AI 를 활용한 조사에서 발견된 점까지 화제가 되고 있습니다.

보안 기업 Calif, Wiz, 그리고 OpenAI 연구원들이 각각 독립적으로 최신 AI 모델을 통해 발견했습니다. Wiz는 "과거에는 팀이 몇 개월을 걸쳤던 작업을 한 명의 연구원이 약 일주일 만에 완료했다"고 설명했습니다.

이것은 반대로 말하면 공격하는 측이 AI 를 활용하면 동일한 속도로 취약점을 발견할 수 있는 시대가 된다는 뜻이기도 합니다.

## 3. 발견부터 공개까지의 시간 순서

이제 이번 논란의 핵심입니다. 본래는 '숨겨서 수정본과 함께 공개할 예정'이었으나, 중간에 정보가 차례로 유출되어 일정 계획이 무너졌습니다.

### 전제: '협조적 공개'라는 규칙

보안 업계에는 협동적 공개라는 관행이 있습니다.

- 발견자는 먼저 개발팀에게만 비밀리에 알립니다.
- 개발 팀은 수정 버전을 만들었습니다.
- Linux OS 을 배포하는 기업이나 주요 서비스 제공자 등 일부 관계자에게는 사전에 수정안을 전달하고 준비를 시키도록 요청합니다.
- 정해진 시간에 수정판 공개와 버그 공표를 동시에 진행합니다.

발표일까지는「엔버고(정보解禁일까지의 발표 금지)」라는 용어로 불리며, 관련자들은 내용을 외부에 유출하지 않는 데 합의했습니다.

그 이유는 수정판보다 먼저 결함이 있는 정보가 유포되면 공격자만 이득을 보게 되기 때문입니다. 반대로 수정판을 일부 사람만 먼저 공개하면 공격자가 그 수정 내용을 분석하여 '어디가 취약점이었는지'를 역추적할 수 있게 됩니다.

이번에는 이 규칙이 여러 상황에서 무너졌습니다.

### 시계열

※시간은 일본 표준시 (JST) 입니다. 보도에 따라 수 십 분 정도의 차이가 있을 수 있습니다.

2024 년

PHP 의 외부 보안 감사에서 발견된 다른 문제를 수정하는 과정에서 개발자가 이번 취약점의 한 징후를 발견합니다. 그러나 구체적인 공격 방법을 찾지 못했고, 제안된 수정안들은 각각 '구현된 프로그램이 작동하지 않게 됨', '다른 취약점을 발생시킴', '수천 개의 확장 기능을 수정해야 함' 등의 문제를 야기하기 때문에 결론을 내리지 못하고 중단됩니다.

2026 년 8 월 11 일 경

캘리포니아와 오픈AI는 각각 이 취약점을 악용해 서버를 탈취할 수 있음을 보고했습니다. PHP 보안 팀은 이를 최우선으로 수정할 예정입니다.

8 월 19 일~24 일

Wiz 또한 독자적으로 발견했습니다. WordPress, Drupal, Joomla(모두 유명한 웹사이트 제작 소프트웨어) 를 대상으로 로그인 없이 침입이 성공했음을 확인하고 PHP 에 보고했습니다.

9 월~10 월 중순

PHP 팀과 관련자 사이에서 비공개로 수정을 진행합니다.

10 월 17 일

공격 관찰을 위해 의도적으로 배치한 아마존 사기용 서버는 공개 4 일 전부터 이 취약점을 노린 공격 시도를 기록했습니다. 공격자가 어떻게 정보를 얻었는지는 아직 밝혀지지 않았습니다.

10 월 21 일 0 시 경 (유니버설 시간 기준 10 월 20 일 15 시)

CVE 번호 2 개가 인터넷掲示板 및 SNS 에 유출되었습니다. 이 때 기술적 세부사항은 누설되지 않았으나, 공개 시간과 위험도에 관한 잘못된 정보도 함께 유포되었습니다.

10 월 21 일 새벽

PHP 가 "10 월 21 일 23 시 (일본 시간) 에 '중대한 취약점 2 개'를 수정한 버전을 공개한다"고 사전에 알렸다. 원래 계획은 22 일이었으나, 유출 사태를 계기로 1 일 앞당겼다. 즉시 공개하지 않은 이유는 Linux OS 배포원 등이 아직 수정 버전을 준비 중이었기 때문이다.

동시기에

발견자 일회성 기업 Calif 가 공격 실연 영상을 실수로 공개했습니다. 영상에는 공격의 흐름 일부가 담겨 있었습니다. 또한 PHP 측에서는 PHP 가 중요 인프라 사업자에게 전달한 임시 대응 정보도 외부로 유출되었을 가능성이 있다고 설명했습니다. 보안 기업 watchTowr 역시 SNS 에서 "유출은 사실이며 재현이 가능했다"고 발언했습니다.

10 월 21 일 오후 12 시 2 분경

클라우드flare(전 세계 사이트의 통신을 중계하고 방어하는 기업)는 공개 전 관측된 공격에 대한 임시 대응책으로 방어 규칙을 제공하기 시작했습니다.

10 월 21 일 오후 4 시 41 분 경

채인거드 (소프트웨어의 안전한 배포를 담당하는 기업) 은 수정된 PHP 를 예정된 일보다 6 시간 이상 일찍 공개했습니다. PHP 측에서는 "채인거드를 일방적으로 위반했고, 공격자가 수정 내용을 먼저 분석할 수 있는 상태를 만들었다"고 강력히 비판했습니다. 채인거드의 CEO 는 시간 순서를 인정하면서도 "공격이 이미 시작되어 있었으므로 사용자를 보호하기 위해 이 조치를 취했다. 정보를 유출한 것은 아니다"라고 반박하고 있습니다.

10 월 21 일 밤 10 시 34 분~23 시 00 분 경

PHP 가 공식적으로 수정 버전을 공개하고 취약점 내용을 공표했습니다.

수정판: PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35

지원 종료 버전 8.1 이전에는 최소한의 수정 사항만 소스 코드 형태로만 제공되었습니다.

공개 직후~10 월 22 일

공격용 코드와 해설이 등장하기 시작했습니다. WatchTower 와 Cloudflare 은 실제 공격을 관측했다고 보고했습니다. 미국의 CISA(사이버 보안 정부 기관) 와 EU 의 CERT-EU 는 즉시 업데이트를 촉구했습니다. 국내에서도 각 기업이 긴급 유지보수를 실시했습니다.

### PHP 측의 반성

PHP 운영 단체인 PHP Foundation 은 2024 년 현재 징후를 감지했음에도 불구하고 이를 해결하지 못했다는 점을 '구조적 실패'로 인정했습니다.

배경으로, PHP 의 보안 대응은 극소수의 유급 개발자와 자원봉사자에 의해 이루어지고 있다는 점이 지적됩니다. 전 세계 웹의 대부분을 지탱하는 소프트웨어가 소수의 손으로 지켜지고 있다는 것입니다. 이는 이번 사건을 통해 다시 한번 드러난 문제입니다.

PHP Foundation 은 의사결정 방식을 부결에서 과반수결로 변경하고 엔지니어 인력을 증원하는 등의 개선책을 발표했으며, PHP 를 의존하는 기업과 정부들에게 자금 지원도 요청하고 있습니다.

## 4. 나는 무엇을 해야 할까?

각 입장별로 정리하겠습니다.

### 웹사이트만 보는 사람들 (일반 이용자)

기본적으로 스스로 어떤 작업을 수행할 필요가 없습니다. PHP 는 사이트 운영 측의 서버에서 실행되는 것이므로, 본인의 스마트폰이나 컴퓨터에 설치되어 있지 않기 때문입니다.

다만, 사용 중인 서비스에서 '불법 접근이 발생했다'는 발표가 향후 나올 가능성은 있습니다. 안심하기 위해 다음 사항을 미리 고려하시는 것이 좋습니다.

- 여러 서비스에서 동일한 비밀번호를 재사용하지 마십시오.
- 2 단계 인증 (로그인 시 스마트폰의 인증 코드 등을 요구하는 기능) 을 지원하는 서비스에서는 미리 설정해 두세요.
- 패스워드 유출 알림 메일이 들어오더라도 메일 내 링크는 열지 말고, 공식 웹사이트나 앱에서 직접 확인하세요. (사기 메일이 증가하기 때문입니다.)

### 자신이 WordPress 블로그나 홈페이지를 운영 중인 사람

이곳은 주의가 필요합니다.

- WordPress 나 플러그인을 업데이트해도 이 결함은 해결되지 않습니다. 해결해야 할 것은 PHP 자체입니다.
- 렌탈 서버를 사용 중이시라면, 계약한 서버 회사의 공지사항을 확인해 주세요. 많은 기업이 이미 대응을 진행 중입니다.
- 서버 관리 화면에서 PHP 버전을 선택할 수 있는 경우, 수정된 버전 (8.2.35 이후 등) 으로 업데이트되었는지 확인하세요.
- PHP 8.1 이전과 같은 오래된 버전을 그대로 두는 경우, 이번 기회를 통해 새로운 버전으로 전환을 고려해 보세요.

자신이 판단하기 어려운 경우, 사이트 제작을 맡긴 업체나 서버 제공사의 지원팀에 "PHP2Shell 대응은 완료되었는지 확인해 주실 수 있나요?"라고 문의하는 것이 가장 확실합니다.

### 웹 서비스를 보유하고 있는 사람 (담당자, 관리자)

회사 내 개발 담당자나 외주 제작사에,

- 해결되었는지 확인하셨나요?
- 공개 전후에 이상한 액세스가 없었는지, 로그를 확인했는지

확인하는 것이 좋습니다. 이번에는 공격 시도가 공개 4 일 전부터 관측되고 있으므로, "업데이트만 하면 끝"이 아니라 이미 침입되지 않았는지도 확인해야 합니다.

## 5. 맺음말

- PHP 는 전 세계 웹사이트의 약 70% 를 지탱하는 언어로, 로그인 없이 서버를 탈취할 수 있는 취약점이 2 개 발견되었습니다.
- 결함은 10 년 이상 숨겨져 있었으며, AI 를 활용한 조사에서 발견되었습니다.
- 원래 수정 버전과 동시에 공개될 예정이었으나, CVE 번호 유출, 실연 동영상의 실수적 공개, 수정 버전의 선제적 배포 및 정보 유출이 잇따라 발생하여 일정일이 앞당겨졌습니다.
- 공표 4 일 전부터 공격 시도가 확인되었으며, 실제 공격 사례도 이미 보고되었습니다.
- 일반적인 이용자는 비밀번호 관리와 사기 메일에 주의해야 하며, 사이트를 운영 중인 사람은 PHP 본체 업데이트를 확인해야 합니다.

이번 사건은 'AI 를 통한 취약점 발견 속도'와 '소수 인원만 지키는 현실'의 차이가 드러난 사례라고 생각합니다. 취약점을 발견하는 측과 공격하는 측 모두 AI 를 사용하는 시대에, 소프트웨어를 방어하는 방식 자체가 재검토되고 있습니다.

### 참조한 정보

- PHP 공식 (php.net) 보안 공지
- 기술평가사 기호.jp「PHP, 중대한 취약점 2 건 수정」
- GMO Flatt 보안 블로그「PHP 의 중대한 취약점『php2shell』에 대한 개요 및 대응 방안」
- Wiz「PHP2Shell: AI 가 치명적인 원격 코드 실행 취약점을 발견함」
- The Register 는 'PHP 가 공급망 보안 업체 Chainguard 를 비난했다'는 제목의 기사를 보도했습니다.
- 네트 시큐리티「PHP2Shell: 치명적인 PHP 취약점 수정」
- 다음 웹「PHP 은 2024 년 발견된 취약점 중 하나를 알고 있었으나 수정안을 합의하지 못함」
- 일본경제기술 (니키치로스테크) 이 보도한 "PHP 의 중대한 취약점으로 인해 긴급 유지보수가 잇따라 이루어지고 있다"는 제목의 기사입니다.
- CISA「PHP 의 치명적 취약점은 즉시 패치해야 한다」

**출처:** [note 원문](https://note.com/cap_8622/n/n83ae074cdff2)

*번역: Qwen 3.5(.48) 초벌 + 교정 66청크*

[원문 보기](https://note.com/cap_8622/n/n83ae074cdff2) | 출처: note.com