PHP 파운데이션, PHP2Shell 취약점 패치 공개

PHP 파운데이션이 웬즈데이에 PHP 취약점 2건에 대한 패치를 공개했다. PHP2Shell로 명명된 이 취약점은 CVE-2026-109618과 CVE-2026-109619로 지정됐으며, 영향을 받는 시스템에서 인증 없이 원격 코드를 실행할 수 있게 한다. 보안 연구진이 두 취약점을 발견했고, TechCrunch가 이를 보도했다.

PHP 파운데이션은 패치 공개에 앞서 대형 인터넷 기업과 웹 호스팅 업체 등 PHP에 의존하는 업체들에 패치를 미리 제공했다. 조율된 엠바고 아래 이뤄진 사전 배포였다.

패치 작업을 위해 은행, 소매업체, 게임 사이트, 온라인 스토어, 병원, 일부 정부 기관이 서버를 내리거나 웹사이트를 중단했다. 각국 정부도 웬즈데이부터 자국민과 웹사이트 운영 기업에 위험 완화를 촉구하기 시작했다.

2024년 발견됐지만 방치된 취약점

두 취약점은 2024년에 처음 발견됐으나 당시에는 악용 가능성이 없다고 판단돼 패치되지 않았다. 이후 연구진이 취약점을 악용할 방법을 찾아내면서 PHP 파운데이션에 통보했고, 조율된 수정 작업과 엠바고가 시작됐다.

PHP는 무료 오픈소스 언어로, WordPress, Drupal, Joomla, MediaWiki 등을 구동한다. 웹에 노출된 인터넷의 약 70%가 PHP에 의존하는 것으로 알려져 있다.