EU는 PHP 취약점 패치가 어렵다면 사이트 중단을 고려하라고 권고했다

PHP 개발팀은 10월 21일 심각도 점수 9.2점(CVSS v4.0 기준)을 받은 취약점 두 건의 수정본을 공개할 예정이라고 밝혔다. 유럽연합 사이버보안 기관 CERT-EU는 패치를 적용하기 어려운 조직에 취약한 웹사이트를 일시 중단하거나 외부 네트워크와 연결을 끊는 방안을 고려하라고 권고했다. 취약점은 인증 없이 원격 코드 실행을 허용할 수 있다.

수정본 공개 예정 시각은 2026년 10월 21일 오후 2시(GMT)이며, PHP 개발팀은 패치 버전이 나오면 신속히 업데이트하라고 당부했다. 영향을 받는 버전의 구체적인 정보는 패치 공개 때 발표할 예정이다.

취약점 식별번호 CVE-2026-109618과 CVE-2026-109619, PHP 5 이상이 영향을 받을 수 있다는 범위, 초기 심각도 10.0점은 10월 20일 정보가 유출됐을 때 연구자들이 제시한 내용이다. PHP 공식 권고문은 식별번호와 영향 범위를 공개하지 않았다. 두 취약점은 연구자들 사이에서 ‘php2shell’로 불린다. 보안업체 watchTowr도 영향 범위가 공식 권고문에서 확인되지 않았다고 밝혔다.

CERT-EU와 호주 사이버보안센터(ACSC)는 PHP 5 이후 버전이 영향을 받을 가능성이 있다고 안내했지만, PHP는 취약 버전을 아직 공개하지 않았다. ACSC는 조직들이 자사 환경의 PHP 시스템을 파악하고 패치 적용을 준비하며 의심스러운 활동을 감시하라고 권고했다. 다만 현재까지 취약점이 실제 공격에 악용된 정황은 관찰하지 못했다고 밝혔다.

PHP는 웹사이트와 공유 서버 서비스, 관리 인터페이스 구축에 널리 쓰이며 WordPress, Drupal, Joomla, Magento 같은 콘텐츠 관리 시스템의 기반이 된다. 보안업체 Huntress는 PHP 사용 사실을 명시하지 않은 소프트웨어 제품 중에도 내부적으로 PHP를 실행하는 사례가 많다고 설명했다. GoDaddy는 공격자가 인터넷을 통해 표적 서버에서 코드를 실행할 수 있으며, 데이터 탈취나 웹사이트 변조, 시스템 장악으로 이어질 수 있다고 밝혔다.

PHP가 직접 수정본을 제공할 것으로 예상되는 브랜치는 지원 중인 8.2~8.5다. PHP 공식 웹사이트 기준으로 8.1 이하 버전은 지원이 종료돼 PHP 자체의 수정본을 받을 수 없다. 이 버전을 쓰는 운영자는 최신 버전으로 이전하거나 리눅스 배포판 또는 서버 임대 사업자가 수정된 버전을 제공하는지 확인해야 한다.

일본에서는 보육 시설용 SaaS ‘Kodomon’, 게임 ‘Shadowverse: Worlds Beyond’, ‘Sakura Rental Server’가 10월 21일 오후 11시께부터 긴급 점검에 들어갔거나 점검 계획을 발표했다. ITmedia NEWS에 따르면 온라인 상점 제작 서비스 ‘BASE’와 서버 임대 서비스 ‘X Server’도 비슷한 조치를 할 예정이다. 매체 보도와 업체 발표를 통해 이들 서비스 가운데 일부가 PHP 취약점의 영향을 받는 것으로 확인됐다. 일본 정보처리추진기구(IPA)는 PHP를 쓰는 웹사이트와 애플리케이션 운영자에게 사용 현황을 파악하고 수정본이 공개되면 신속히 적용할 준비를 하라고 당부했다.

웹 기술 사용 현황을 조사하는 W3Techs에 따르면 서버 측 언어를 확인할 수 있는 웹사이트 가운데 69.3%가 PHP를 사용한다. 수정본 공개 전에 취약점 정보가 논의된 만큼, 공격자가 패치를 분석해 공개 직후 공격 코드를 만드는 ‘패치 공백’ 위험이 커질 수 있다.

GMO Flatt Security는 이 취약점이 PHP 세션 관리 기능과 관련된 메모리 손상 문제로 보이며, 취약점 악용을 주장하는 코드가 인터넷에 이미 유포되기 시작했다고 밝혔다. 설정 변경만으로 위험을 줄이는 데는 한계가 있어 근본적인 대응은 패치 버전을 적용하는 것이라고 설명했다. 운영자는 수정본 공개 뒤 즉시 패치할 수 있는지 판단하고, 적용할 수 없다면 피해 확산을 막기 위해 사이트를 일시 중단하는 방안 등을 검토해야 한다.