2026년 10월 21일, PHP에서 원격 코드 실행(RCE)이 가능한 심각한 보안 취약점 2건이 공개됐습니다.
PHP는 워드프레스(WordPress)를 비롯해 다양한 웹사이트와 웹 애플리케이션에서 사용하는 서버 측 프로그래밍 언어입니다. 이번 문제는 개별 웹사이트나 플러그인이 아닌 PHP의 핵심 실행 엔진에서 발견됐다는 점에서 주의가 필요합니다.
이번 취약점은 PHP2Shell로 불리며, 두 취약점 모두 CVSS 기준 9.2점의 높은 위험도를 기록했습니다.
그렇다면 PHP2Shell은 어떤 문제이며, PHP나 워드프레스로 웹사이트를 운영하고 있다면 어떻게 대응해야 할까요?
🔎 1. PHP2Shell 취약점이란?
PHP 개발팀은 2026년 10월 21일, 심각한 보안 취약점 2건을 해결하기 위한 보안 업데이트를 공개했습니다.
| 구분 | 내용 |
|---|---|
| 취약점 명칭 | PHP2Shell |
| 공개일 | 2026년 10월 21일 |
| 취약점 번호 | CVE-2026-109618, CVE-2026-109619 |
| 위험도 | CVSS 9.2점 |
| 주요 문제 | 메모리 관리 및 오류 처리 |
| 주요 위험 | 원격 코드 실행, 정보 노출, 서비스 장애 |
| 대응 방법 | 보안 패치 적용 및 서버 점검 |
이번 취약점의 핵심은 공격자가 특정 조건에서 서버에 직접 로그인하지 않고도 악성 코드를 실행할 가능성이 있다는 것입니다.
공격에 성공하면 서버 파일에 접근하거나 데이터를 탈취하고, 웹사이트를 변조하는 등의 피해로 이어질 수 있습니다.
다만 모든 PHP 서버가 자동으로 해킹되는 것은 아닙니다. 실제 위험도는 PHP 버전과 서버 실행 환경, 애플리케이션 구성 등에 따라 달라집니다.
⚠️ 2. PHP2Shell은 왜 위험할까?
이번 취약점은 PHP 내부의 메모리 관리 및 오류 처리 과정에서 발생했습니다.
① CVE-2026-109618: 메모리 부족 처리 오류
PHP가 메모리 부족 상황을 처리하는 과정에서 내부 데이터를 올바르게 관리하지 못할 수 있는 문제입니다.
특정 조건에서 메모리 손상이 발생하면 공격자가 이를 악용해 원격 코드 실행으로 이어지게 할 가능성이 있습니다.
② CVE-2026-109619: Use-After-Free 오류
Use-After-Free는 프로그램이 이미 해제한 메모리 영역을 다시 참조하는 오류입니다.
이러한 메모리 오류는 프로그램의 비정상 종료나 정보 노출을 일으킬 수 있으며, 특정 조건에서는 악성 코드 실행으로 이어질 가능성도 있습니다.
특히 이번 문제는 PHP 실행 엔진 자체와 관련돼 있기 때문에, 워드프레스 테마나 플러그인만 업데이트한다고 해결되는 문제가 아닙니다.
Apache의 mod_php 환경뿐 아니라 PHP-FPM 환경에서도 실행 경로에 따라 위험이 발생할 수 있어 실제 서버 구성을 확인해야 합니다.
🌐 3. 전 세계 웹사이트가 영향을 받을까?
PHP는 블로그, 기업 홈페이지, 쇼핑몰 등 다양한 웹서비스에서 사용됩니다.
대표적인 PHP 기반 소프트웨어는 다음과 같습니다.
- WordPress: 블로그 및 홈페이지 제작
- Drupal: 콘텐츠 관리 시스템
- Joomla: 웹사이트 제작 및 관리
- Magento: 전자상거래 플랫폼
- MediaWiki: 위키 기반 웹사이트
PHP를 사용하는 웹사이트가 많다는 점에서 이번 취약점의 잠재적인 영향 범위는 상당히 넓습니다.
다만 PHP를 사용하는 모든 웹사이트가 취약한 것은 아닙니다. 이미 보안 패치가 적용됐거나 별도의 보안 조치가 마련된 시스템도 있기 때문입니다.
또한 웹사이트의 상당수가 PHP를 사용한다는 사실과 실제 해킹 피해가 발생했다는 사실은 구분해야 합니다.
🛡️ 4. 실제 해킹 공격도 시작됐을까?
제공된 자료에 따르면 Cloudflare는 PHP2Shell 취약점을 노린 공격 시도 트래픽을 관측하고, 웹 애플리케이션 방화벽(WAF)을 통한 탐지 및 차단 규칙을 배포했다고 밝혔습니다.
이는 공격자들이 해당 취약점을 악용하려는 움직임이 나타났다는 의미입니다.
다만 공격 시도가 관측됐다는 사실이 실제 서버 침해 성공을 의미하지는 않습니다. 현재까지의 피해 규모와 실제 침해 여부는 별도로 확인해야 합니다.
Cloudflare와 같은 보안 서비스를 이용하면 추가적인 방어에 도움이 될 수 있지만, WAF만으로 취약점이 근본적으로 해결되는 것은 아닙니다.
가장 중요한 대응은 PHP 보안 패치를 적용하는 것입니다.
🤖 5. AI가 취약점 분석과 패치 과정에 활용됐다
이번 PHP2Shell 사건에서는 AI를 활용한 보안 연구도 주목받았습니다.
제공된 자료에 따르면 OpenAI의 Patch the Planet 프로젝트와 Google의 보안 연구진 등이 취약점 분석 및 패치 검증 과정에 참여했습니다.
특히 AI를 활용해 기존 코드의 복잡한 실행 경로를 분석하고, 잠재적인 취약점과 공격 가능성을 확인하는 방식이 관심을 끌었습니다.
다만 이번 문제가 AI에 의해 처음 발견됐다고 단정하기는 어렵습니다. PHP 재단의 설명에 따르면 첫 번째 취약점의 근본적인 문제는 2024년 내부 보안 검토 과정에서도 확인된 바 있습니다.
이번 사례는 AI가 기존에 알려진 문제를 분석하고 실제 공격 가능성을 구체화하는 데 도움을 줄 수 있다는 점을 보여줍니다.
앞으로 AI는 새로운 소프트웨어 개발뿐 아니라 기존 시스템의 보안 취약점을 탐지하고 수정하는 분야에서도 중요한 역할을 할 것으로 보입니다.
💻 6. PHP 보안 업데이트 버전 확인하기
이번 취약점에 대응하려면 실제 서버에서 사용하는 PHP 버전을 확인하고 수정된 버전으로 업데이트해야 합니다.
제공된 자료에 기재된 보안 업데이트 버전은 다음과 같습니다.
| PHP 버전 계열 | 수정 버전 |
|---|---|
| PHP 8.5 | 8.5.12 이상 |
| PHP 8.4 | 8.4.27 이상 |
| PHP 8.3 | 8.3.36 이상 |
| PHP 8.2 | 8.2.35 이상 |
PHP 8.1 이하 버전을 사용하고 있다면 해당 버전에 대한 보안 지원 여부를 확인하고, 지원되는 버전으로 업그레이드하는 것을 권장합니다. 일부 운영체제 공급업체에서 별도 보안 패치를 제공할 수 있으므로 관련 공지도 확인해야 합니다.
※ 위 버전 정보는 제공된 자료 기준입니다. 실제 업데이트 전에는 PHP 공식 보안 공지에서 수정 버전과 지원 여부를 확인하시기 바랍니다.
PHP 버전 확인 방법
서버 터미널에서 다음 명령어를 실행하면 현재 CLI에서 사용하는 PHP 버전을 확인할 수 있습니다.
php -v명령어 실행 결과에 PHP 버전 정보가 표시됩니다.
다만 이 명령어가 보여주는 버전과 실제 웹사이트에서 사용하는 PHP 버전이 다를 수 있습니다. PHP-FPM, Apache 모듈 또는 Docker 컨테이너를 사용한다면 해당 실행 환경도 별도로 확인해야 합니다.
웹호스팅 서비스를 이용하는 경우에는 호스팅 관리자 페이지에서 PHP 버전을 확인하거나 업체에 보안 패치 적용 여부를 문의하는 것이 좋습니다.
📝 7. 워드프레스 운영자도 확인해야 할 사항
워드프레스는 PHP를 기반으로 동작하기 때문에 이번 취약점과 관련해 서버 환경을 점검할 필요가 있습니다.
특히 워드프레스 자체를 최신 버전으로 업데이트했다고 해서 PHP 엔진의 취약점까지 자동으로 해결되는 것은 아닙니다.
다음 항목을 확인해 보시기 바랍니다.
- 호스팅 서버에서 사용하는 PHP 버전 확인
- PHP 보안 패치 적용 여부 확인
- 호스팅 업체의 보안 공지 확인
- 워드프레스와 플러그인의 PHP 호환성 점검
- 업데이트 전 데이터베이스와 파일 백업
- 업데이트 후 로그인, 게시글 작성 등 주요 기능 테스트
- 비정상적인 접근 기록 및 서버 오류 로그 확인
Cloudflare 등의 WAF를 이용하고 있더라도 PHP 업데이트를 생략해서는 안 됩니다. 방화벽은 추가 방어 수단이며, 취약점을 근본적으로 해결하려면 패치 적용이 필요합니다.
🖥️ 8. 서버 관리자라면 추가로 점검할 부분
직접 서버나 클라우드 환경을 운영한다면 PHP 버전뿐 아니라 실제 배포 환경도 확인해야 합니다.
Docker를 사용하는 경우에는 컨테이너를 단순히 재시작하는 것만으로 해결되지 않을 수 있습니다. 수정된 PHP가 포함된 이미지를 사용하고, 필요한 경우 이미지를 다시 빌드한 뒤 배포해야 합니다.
AWS, Google Cloud, Azure 등의 클라우드 환경에서도 직접 설치하거나 관리하는 PHP 및 컨테이너는 운영자가 업데이트해야 할 수 있습니다. 관리형 서비스라면 공급업체의 보안 공지와 업데이트 정책을 확인해야 합니다.
패치가 즉시 불가능한 경우에는 외부 접근 제한이나 서비스 임시 중단 등 위험을 줄이기 위한 조치도 검토할 수 있습니다.
✅ 마무리: PHP 사용 자체보다 중요한 것은 보안 관리
이번 PHP2Shell 취약점은 웹사이트의 기반이 되는 PHP 실행 엔진에서 심각한 보안 문제가 발생할 수 있다는 사실을 보여줬습니다. 즉 PHP취약점으로 해킹을 당할 위협이 생긴것인데요.
특히 일부 실행 환경에서는 인증되지 않은 공격자가 원격으로 코드를 실행할 가능성이 있어 신속한 대응이 필요합니다.
다만 PHP를 사용한다는 이유만으로 모든 웹사이트가 위험하거나 이미 해킹됐다고 단정할 수는 없습니다.
중요한 것은 실제 사용 중인 PHP 버전을 확인하고, 공식 보안 패치를 적용하며, 서버의 접근 기록과 정상 작동 여부를 점검하는 것입니다.
워드프레스 운영자라면 워드프레스와 플러그인 업데이트에만 의존하지 말고, 웹호스팅 또는 서버의 PHP 실행 환경까지 확인하시기 바랍니다.
보안 취약점은 발견 자체도 중요하지만, 발견 이후 얼마나 빠르고 정확하게 대응하느냐가 더욱 중요합니다.
※ 본 글은 제공된 자료를 바탕으로 정리했습니다. 실제 업데이트 버전과 취약점 대응 현황은 PHP 공식 보안 공지 및 사용 중인 호스팅·운영체제 공급업체의 안내를 우선 확인하시기 바랍니다.