치명적 PHP 취약점 PHP2Shell 공개, 10월 21일 패치 나와
PHP 개발팀이 예정보다 하루 앞선 10월 21일 수정 패치를 내놓았고, 네덜란드와 덴마크 등 유럽 정부·기관 사이트가 잇따라 접속을 중단했다.
원격에서 인증 없이 서버 명령을 실행할 수 있는 치명적 PHP 취약점 2건이 'PHP2Shell'이라는 이름으로 공개됐다. 각 취약점의 심각도는 10점 만점에 9.2로 평가됐다. PHP 개발팀은 10월 21일 예정보다 하루 앞당겨 수정 패치를 배포했다. 취약점 세부 내용과 공격 시연이 예정보다 먼저 유출된 데 따른 조치다.
취약점은 AI를 활용해 발견됐다. 보안업체 Calif는 GPT-5.6 Sol을 사용해 8월에 문제를 보고했고, 보안업체 Wiz는 자체 AI 도구와 구글의 Gemini 4 Argon, GPT-5.6 Sol을 함께 활용해 독립적으로 같은 취약점을 확인했다.
패치가 나오기 전후로 유럽 각지에서는 웹사이트 접속 중단이 이어졌다. 네덜란드 정부 포털과 로테르담 항만, 축구 협회, 주요 정당, 여러 병원이 공개 웹사이트를 내렸다. 소프트웨어 기업 Notubiz의 서비스를 쓰는 네덜란드 지방자치단체 100곳 이상과 주 정부, 물 관리 당국도 영향을 받았다. 덴마크에서는 학교 소통 플랫폼이 중단됐고, 핀란드·독일·프랑스는 정부 웹사이트를 일시 차단했다. 독일 프라이부르크대, 오스트리아 빈대, 위키미디어 재단, 인터넷 아카이브도 일부 사이트나 시스템을 폐쇄했다.
독일과 핀란드는 사이트 중단이 공격 시도나 데이터 유출 때문이 아닌 예방적 조치라고 밝혔다. Cloudflare는 일부 초기 공격 시도를 관측했다며 고객 보호 조치를 적용했다고 전했다. CISA는 발표 시점까지 확인된 공격 사례가 없다고 밝혔다. 보안업체 Sensis에 따르면 관측된 약 260만 대의 호스트 가운데 약 150만 대가 패치 적용이 쉽지 않은 PHP 버전을 쓰고 있다.
10년 넘게 남아 있던 결함
Wiz에 따르면 해당 결함은 10년 넘게 PHP 코드에 있었으나 실제 공격이 매우 복잡했다. 2024년 PHP 재단은 취약점 하나의 징후를 포착했지만 구체적 공격 경로를 확인하지 못했고 수정 방식을 정하지도 못했다. 재단은 이를 의사결정 구조와 자원 부족에서 비롯된 구조적 실패라고 설명했다. 이상의 내용은 보안 매체 aitimes.com이 전했다.
한눈에 보기
PHP2Shell 패치는 언제 나왔나?
PHP 개발팀이 2026년 10월 21일 예정보다 하루 앞당겨 배포했다.
얼마나 위험한 취약점인가?
두 취약점 모두 심각도가 10점 만점에 9.2로 평가됐으며, 조건에 따라 인증 없이 원격 명령 실행이 가능하다.
패치가 어려운 서버는 얼마나 되나?
Sensis에 따르면 관측된 약 260만 대 가운데 약 150만 대가 패치 적용이 쉽지 않은 PHP 버전을 쓰고 있다.