아마존 위협 인텔리전스 연구자들은 공격자들이 PHP2Shell 취약점을 보안 패치 공개 나흘 전부터 노렸다고 밝혔다. 취약한 시스템에서 원격 코드 실행을 허용하는 두 취약점은 10월 21일 패치됐지만, 아마존은 현재도 실제 공격이 광범위하게 이뤄지고 있다고 경고했다.

CVE-2026-109618과 CVE-2026-109619로 추적되는 두 취약점은 심각도가 높은 취약점이다. PHP 보안팀은 10월 21일 패치를 배포했다. 하루 전에는 관리자가 업데이트가 나오는 즉시 설치할 수 있도록 준비하라고 당부했다.

PHP 핵심 개발자 지나 피터 바냐드(Gina Peter Banyard)는 공식 보안 패치 적용이 유일한 영구 방어책이라고 경고했다. 영국 국가사이버보안센터(NCSC)는 영국 기관에 PHP 서버를 즉시 업데이트하거나 패치를 적용할 때까지 서버를 오프라인으로 전환하라고 요청했다.

PHP팀은 조정된 공개 시점 이틀 전까지 계획대로 진행했지만, PHP2Shell 취약점의 일부 세부 정보가 온라인에 유출된 뒤 10월 20일부터 목표 공개 일정을 앞당겨야 했다고 밝혔다. 유출된 정보에는 두 CVE 식별자와 일부 핵심 인프라 제공업체에 전달된 완화 조언도 포함됐다. 패치가 나오기 전에 공개된 일부 개념 증명(PoC)은 작동하지 않았다고 PHP 보안팀은 설명했다.

아마존에 따르면 첫 공격 시도는 패치 공개 나흘 전인 10월 17일 토요일 시작됐다. 공개 몇 시간 뒤에는 공격자들이 VPN IP 주소를 통해 여러 PHP2Shell 개념 증명 공격을 배포했다. 아마존은 익명화 네트워크와 연관된 IP 주소에서 허니팟을 노린 정황을 확인했지만, 공격자가 공개 전에 취약점 정보를 어떻게 얻었는지는 밝혀지지 않았다고 전했다. 시도별 페이로드와 익명화 인프라가 달라 여러 공격자가 관여했을 가능성이 있으며, 실제 시스템에서 공격이 성공했을지는 불분명하다.

아마존의 보고에 앞서 Cloudflare, watchTowr, Previdian, Hadrian, Patchstack 등 여러 사이버보안 업체도 공개 전 실패한 공격 시도를 탐지했다. 아마존은 PHP2Shell 취약점이 현재 실제 환경에서 광범위하게 악용되고 있다며, 공개일이 가장 이른 공격 시점이라고 단정해서는 안 된다고 경고했다.

PHP는 WordPress, Drupal, Joomla 같은 콘텐츠 관리 시스템을 포함해 인터넷 웹사이트의 최대 80%를 구동하는 오픈소스 웹 개발 언어다. VirusTotal은 온라인에 노출된 PHP 호스트가 510만 대를 넘으며, 그중 약 380만 대는 공격에 노출될 수 있는 포트를 하나 이상 열어 둔 것으로 집계했다.

관련 자료: PHP 보안 패치 배포, PHP팀의 패치 사전 안내, 지나 피터 바냐드의 경고, 영국 NCSC의 안내, PHP팀의 공개 일정 설명, Cloudflare의 분석, watchTowr의 분석, Previdian의 게시물, Hadrian의 경고, Patchstack의 게시물, 아마존 위협 인텔리전스 보고서, VirusTotal의 PHP 노출 현황