PHP, 치명적 취약점 2건 긴급 패치 발표

PHP 개발팀이 10월 21일 두 건의 치명적 취약점을 수정하는 긴급 업데이트를 배포했다. 취약점 번호는 CVE-2026-109618과 CVE-2026-109619이며, 'PHP2Shell'이라는 별칭이 붙었다. tech42.co.kr이 보도했다.

두 결함은 PHP가 구동되는 서버에서 인증 없이 원격으로 명령을 실행할 수 있게 한다. PHP 개발팀은 공개에 앞서 수정 버전을 내놓는 방식으로 대응했다.

취약점 발견에는 인공지능 모델도 관여했다. OpenAI는 자사 모델이 보안 프로그램 'Patch the Planet'의 일환으로 연구진의 결함 발견을 도왔다고 밝혔다. 보안 업체 Wiz 역시 Google Gemini 4 Argon 등 여러 도구를 활용해 같은 취약점을 독자적으로 찾아냈다.

공개 전 공격 시도도 확인됐다. Amazon은 10월 17일, 취약점이 공개되기 나흘 전에 해당 결함을 노린 공격 시도를 탐지했다고 보고했다.

국내에서도 대응이 이어졌다. 과학기술정보통신부는 10월 22일 정오 민간 사이버 위기 경보를 '관심'에서 '주의'로 한 단계 상향했다.