안랩 "PHP2Shell 공격 코드, 깃허브에 빠르게 확산"

안랩의 보안 위협 분석 조직 ASEC이 PHP 취약점 PHP2Shell 관련 공격 코드가 깃허브에서 빠르게 확산하고 있다고 24일 밝혔다. ASEC은 검증되지 않은 코드를 실행할 경우 추가 위협에 노출될 수 있다고 경고했다.

ASEC이 'PHP2Shell'로 검색해 포크를 제외한 깃허브 저장소 상위 100개를 확인한 결과 99개가 해당 취약점을 다루는 저장소였다. PHP2Shell은 별도 인증 없이 서버에서 악성 명령을 실행할 수 있게 하는 두 개의 PHP 취약점 CVE-2026-109618과 CVE-2026-109619를 묶어 부르는 명칭이다.

분석 대상 저장소 가운데 46개는 방어 목적, 36개는 개념 증명(PoC)이나 실습 환경용으로 분류됐다. 분석 대상 저장소가 받은 총 1394개의 스타 중 1158개(83%)가 PoC 저장소에 몰렸고, 방어 목적 저장소가 받은 스타는 148개였다. 분석된 PoC 저장소 27개 중 21개는 스타가 10개 미만이었다.

ASEC은 이번 분석이 코드를 직접 검증한 것이 아니라 저장소 이름과 설명, 토픽을 기준으로 이뤄졌다고 설명했다.

ASEC은 PHP를 패치된 버전인 8.2.35, 8.3.36, 8.4.27, 8.5.12로 업데이트할 것을 권고했다. 이미 외부에 노출된 서버는 비정상 요청이나 의심스러운 파일 등 침해 흔적을 점검해야 한다고 덧붙였다.

앞선 악용 관측

앞서 2026년 10월 21일 해외 보안 업체 워치타워는 자사 공격 탐지 서버 네트워크에서 이 취약점이 악용되는 것을 관측했다고 밝혔다.