PHP 서버 장악 결함 2건 긴급 패치…웹사이트 3분의 1은 못 받았다

본문

웹사이트 최대 70%가 쓰는 PHP에서 인증 없이 서버 코드를 실행할 수 있는 결함 2건이 발견돼 21일(현지시간) 긴급 패치가 나왔다. 공식 수정 버전은 PHP 8.2 이상에만 제공돼 구버전 이용 사이트는 아직 패치를 받지 못했다. 웹사이트 서버 언어 PHP에서 인증 없이 외부에서 코드를 실행할 수 있는 결함 2건이 발견돼 21일(현지시간) 긴급 패치가 나왔다. PHP는 전 세계 웹사이트의 최대 70%가 쓰는 언어지만, 공식 수정 버전이 PHP 8.2 이상에만 제공돼 웹사이트의 3분의 1 이상이 아직 패치를 받지 못한 상태다. 두 결함은 CVE-2026-109618과 CVE-2026-109619로, 묶어서 'PHP2Shell'로 불린다. 7.4부터 8.1까지의 구버전에는 이후 백포트 패치(최신 수정을 구버전에 옮겨 적용하는 방식)가 배포되기 시작했다.

PHP를 쓰는 사이트 가운데 27%는 PHP 7을, 7.7%는 PHP 5를 쓰고 있어 아직 패치를 받지 못했다.

한 추산에서는 80만 곳이 넘는 인터넷 호스트가 아예 수정 계획이 없는 낡은 분기를 돌리고 있다. PHP 개발진은 21일 인증 없이 원격 코드 실행이 가능한 결함 2건에 대한 긴급 패치를 내놨고, 호스팅 이용자는 업체에 업데이트 여부를 확인해야 한다. 가상자산 거래소와 지갑, 관련 정보 사이트도 웹 서비스를 운영하는 만큼 서버 환경 점검 대상이다. 이제는 AI가 수십 건의 요청만으로 서버 메모리를 장악하는 방법을 찾아냈다. PHP 서버 운영자는 사용 중인 분기에 맞는 수정 버전으로 올리거나 배포판의 수정 패키지를 설치해야 한다.