AI가 찾아낸 PHP 치명적 취약점…긴급 패치 배포됐다

웹사이트와 웹 앱 개발에 널리 쓰이는 프로그래밍 언어 PHP에서 서버 장악으로 이어질 수 있는 치명적 취약점 2건이 드러났다. PHP 개발팀은 한국 시간 2026년 10월 21일 오후 11시께 긴급 보안 업데이트를 배포했다. 이 취약점은 보안 기업들이 AI를 활용해 찾아낸 것으로 확인됐다.

PHP는 워드프레스(WordPress) 같은 콘텐츠 관리 시스템을 비롯해 온라인 쇼핑몰과 기업 웹 서비스 등에 쓰인다. 웹페이지 표시와 데이터베이스 연동을 서버에서 처리하는 역할을 맡고 있어 PHP 자체에 중대한 결함이 생기면 수많은 웹사이트가 영향을 받을 수 있다.

문제가 된 취약점은 CVE-2026-109618과 CVE-2026-109619 2건으로 PHP2Shell로 불린다. 보안 기업 워치타워(watchTowr)에 따르면 두 취약점 모두 공격자가 원격으로 서버에서 임의 코드를 실행하는 원격 코드 실행으로 이어질 수 있다. 공격이 성공하면 서버를 장악당해 정보를 읽히거나 기밀 데이터를 탈취당할 수 있고 서버에서 돌아가는 웹사이트나 파일이 변조될 위험도 있다. 취약점 심각도는 공통 취약점 평가 시스템 CVSS 4.0 기준으로 둘 다 9.2점을 받아 가장 높은 긴급 등급으로 분류됐다.

◇ 사전 경고에 업계 비상=PHP 개발팀은 10월 20일 공식 사이트와 메일링 리스트로 주의를 당부하며 한국 시간 21일 오후 11시 수정 프로그램을 내놓겠다고 예고했다. 취약점 세부 내용이 공개되거나 실제 공격이 확인되면 배포 시점을 앞당길 수 있다고도 밝혔다. 당시 개발팀은 영향을 받는 버전과 기술적 원인을 공개하지 않고 수정판 배포와 함께 밝히기로 했다.

유럽연합(EU) 기관과 조직에 사이버 보안 정보를 제공하는 CERT-EU도 긴급 경보를 냈다. CERT-EU는 PHP 5 이후 모든 버전이 영향을 받을 수 있다고 밝혔다. PHP를 쓰는 서버와 애플리케이션을 미리 파악해 수정판이 나오는 대로 곧바로 업데이트할 준비를 하라고 권고했다. 빠른 업데이트가 어렵다면 인터넷에 공개된 애플리케이션을 외부 네트워크에서 일시적으로 분리하는 방안도 제시했다.

보안 연구자 키릴 피르소프(Kirill Firsov)는 php2shell이라는 이름과 함께 실제 공격 장면을 담은 영상을 엑스(X)에 올렸다. 영상에는 워드프레스와 드루팔(Drupal), 마젠토(Magento) 등을 쓰는 시험 환경을 공격해 서버에서 명령을 실행하는 모습이 담겼다. PHP 실행 방식이 서로 다른 여러 환경에서 공격을 재현해 폭넓은 웹 애플리케이션이 영향을 받을 수 있음을 보여줬다.

워치타워는 2건 가운데 CVE-2026-109618 공격 재현에 성공했다고 밝혔다. 다만 패치 공개 전에 악용 방법이 퍼지는 걸 막기 위해 기술적 세부 내용은 공개하지 않았다. 실제 사이버 공격에 악용된 사례는 확인하지 못했다고 설명했다.

◇ AI로 찾고 업계가 함께 대응=PHP2Shell을 이루는 취약점 2건은 보안 기업 캘리프(Calif)와 위즈(Wiz)가 2026년 8월 각자 따로 발견했다. 캘리프에 따르면 회사는 오픈AI(OpenAI)가 2026년 6월 발표한 보안 이니셔티브 패치 더 플래닛(Patch the Planet)의 일환으로 8월 1일 첫 번째 취약점을 찾아내 8월 11일 PHP에 보고했다. 8월 21일에는 두 번째 취약점을 발견했다.

구글(Google) 산하 AI 플랫폼 위즈는 캘리프와 별개로 8월 19일 취약점을 발견해 24일 PHP에 보고했다.

캘리프와 위즈는 오픈AI 코덱스 시큐리티(Codex Security)팀과 PHP 보안팀, 구글 제미나이(Gemini)팀과 함께 취약점 발견과 대응 조율, 패치 검증을 진행했다. 그사이 구글 클라우드(Google Cloud)와 클라우드플레어(Cloudflare), 아마존웹서비스(AWS), 마이크로소프트(Microsoft), 오토매틱(Automattic), 패스틀리(Fastly), 아카마이(Akamai), 임퍼바(Imperva), 버셀(Vercel) 등 업계 파트너들은 PHP를 곧바로 업데이트하기 어려운 조직을 위한 지침과 탐지 방법, 임시 완화책 마련을 도왔다. 캘리프는 엔진엑스(Nginx)를 대상으로 한 공격 시연 영상도 공개했다.

◇ 4개 버전 동시 업데이트=PHP는 오후 10시 30분을 조금 넘겨 릴리스 공지를 올렸고 오후 11시께 8.5.12와 8.4.27, 8.3.36, 8.2.35 버전을 배포했다.

CVE-2026-109618은 메모리 부족 상황 처리 과정에서 생기는 결함이다. 내부 요청 데이터가 일부만 초기화된 상태로 PHP가 중단될 수 있고 이후 요청 정리 과정에서 무효 데이터를 유효 데이터로 처리할 수 있다. CVE-2026-109619는 요청 내부 상태가 그 상태를 담던 메모리가 해제된 뒤에도 남을 수 있는 결함이다. 같은 워커가 처리하는 후속 요청이 정상 초기화로 리셋되기 전에 이 잔존 상태를 쓸 수 있다.

PHP 개발팀은 PHP를 쓰는 웹사이트 관리자에게 수정판으로 곧바로 업데이트하라고 당부했다. 관련 내용은 이곳에서 확인할 수 있다.