PHP2Shell 제로데이, 패치 전부터 공격 시도 포착

아마존이 PHP 프로그래밍 언어의 치명적 취약점 2건(PHP2Shell)을 노린 공격 시도가 패치 공개 나흘 전부터 시작됐다고 밝혔다. 패치는 2026년 10월 21일 PHP 파운데이션과 업계 파트너들이 공개했다. 보안 매체 시큐리티위크가 이 같은 내용을 보도했다.

아마존에 따르면 최초 공격 시도는 취약점이 공개되기 전인 2026년 10월 17일 익명화 네트워크에서 나왔다. 아마존은 여러 해커가 연관된 것으로 보이며 PHP2Shell이 현재 광범위하게 악용되고 있다고 설명했다.

클라우드플레어 CEO 매슈 프린스는 공격 시도가 취약점 공개 전 수천 건 수준에서 2시간 만에 수십만 건으로 늘었고, 현재는 수백만 건에 이른다고 말했다. 취약점 세부 내용은 2026년 10월 20일 온라인에 유출됐고 이후 공격 코드가 빠르게 확산했다.

패치 미적용 서버 157만 대 추정

보안업체 워치타워는 유포 중인 공격 코드 대부분이 작동하지 않거나 대상 서버를 다운시키는 데 그친다고 밝혔다. 반면 센시스는 2026년 10월 21일 기준 인터넷에 연결된 PHP 호스트 약 157만 대가 패치되지 않은 상태로 집계됐다고 밝혔다. 벌른체크는 최소 100만 대가 지원이 종료된 PHP 버전을 사용한다고 전했다.

CISA는 2026년 10월 21일 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35로 즉시 업데이트할 것을 권고했다. 전문가들은 PHP2Shell을 Log4j 라이브러리에서 발생한 Log4Shell 취약점에 비유했다. Log4Shell 사태 당시에는 취약한 Log4j 라이브러리가 어디에 쓰였는지 파악하기 어려웠다.