PHP 중대 취약점 PHP2Shell 공개…즉시 패치 권고

전 세계 웹사이트의 최대 70%가 사용하는 프로그래밍 언어 PHP에서 중대한 보안 취약점 2건이 공개됐다. 취약점은 공개 포럼에 공개됐으며 PHP 재단은 실제 취약점임을 확인했다. 이 사실은 디지털투데이가 보도했다.

PHP2Shell로 불리는 결함은 공격자가 인증 없이 원격에서 서버에 임의 코드를 실행하거나 프로세스 메모리를 읽을 수 있게 한다. 영향을 받는 버전은 PHP 8.2.34, 8.3.35, 8.4.26, 8.5.11 및 그 이전 버전이며, 지원이 종료된 PHP 8.1 이하 전 버전(7.x, 5.x 포함)도 해당된다.

패치 버전과 기관 권고

PHP 측은 즉시 8.2.35, 8.3.36, 8.4.27, 8.5.12로 업데이트할 것을 권고했다. KISA, 미국 CISA, 영국 NCSC, EU CERT-EU도 업데이트를 권고하거나 위험을 경고했다. 미국 NSA는 즉시 패치할 수 없는 기업에는 서비스를 내릴 것을 조언했다.

취약점은 보안 기업 위즈가 자체 보안 AI 에이전트 위즈 아틀라스와 구글 제미나이 4 아르곤, 오픈AI GPT-5.6 솔을 함께 활용해 찾아냈다. 보안 테스트 기업 칼리프는 오픈AI의 패치 더 플래닛 프로젝트에서 GPT-5.6 솔을 통해 PHP 취약점 중 하나를 발견했다.

유럽의 정부 기관과 병원, 학교, 로테르담항, 파리 경찰, 4chan 등 일부 사이트는 해킹을 피하기 위해 접속을 차단했다고 디 애틀랜틱이 10월 21일(현지시간) 보도했다. 같은 날 Node.js 팀도 고위험 취약점 여러 건을 공개했다.