20년 된 PHP 결함 PHP2Shell, 웹 70%가 위험

2026년 10월 21일 수요일에 공개된 PHP의 두 건의 치명적 결함이 전 세계 웹을 비상 상태에 빠뜨렸습니다. 해당 결함은 CVE-2026-109618과 CVE-2026-109619로, 원격에서 악성 코드를 실행할 수 있는 결함이며 보안 기업 Wiz가 소프트웨어 역사상 가장 심각한 결함 중 하나라고 평가했습니다. The Verge에 따르면 PHP는 전체 웹사이트의 약 70%에서 어떤 형태로든 사용되며, 위키피디아와 워드프레스, 드루팔을 비롯해 DeviantArt와 4Chan 같은 대형 플랫폼도 포함됩니다. 가장 심각한 점은 이 결함이 약 20년간 모든 PHP 버전에 존재했다는 사실입니다.

1. 20년 된 결함과 패치 대란의 전말

The Verge에 따르면 이번에 공개된 두 결함은 PHP2Shell로 불리며, 패치를 적용하지 않은 취약한 장치에서 원격 코드 실행을 허용할 수 있습니다. PHP 재단의 엘리자베스 배런(Elizabeth Barron) 사무총장은 The Verge에 현재까지 파악된 바로는 성공적인 원격 코드 실행 사례는 없지만 시스템을 업데이트하는 것은 반드시 필요하다고 강조했습니다. Wired가 전한 바에 따르면 PHP 재단은 이번 AWS의 사전 익스플로잇 연구 결과가 공개되기 전까지는 해당 내용을 알지 못했으며, 업그레이드가 절대적으로 필요하다는 점에는 동의한다는 입장을 밝혔습니다. 즉 아직 대규모 침해 성공이 확인된 것은 아니지만, 결함의 등급 자체가 최고 수준이어서 패치가 의무에 가깝다는 것이 재단과 보안 업계의 공통된 설명입니다.

문제는 단순히 서버 몇 대를 업데이트하면 끝나는 수준이 아니라는 점입니다. The Verge에 따르면 결함은 대략 20년 전으로 거슬러 올라가는 모든 PHP 버전에 존재하며, 그중 상당수는 이미 지원이 종료된 버전입니다. 이는 더 이상 적극적으로 유지보수되지 않는 오래된 사이트와 서비스가 위험에 그대로 노출되며, 영구히 서비스를 중단하는 것 외에는 선택지가 거의 없을 수 있음을 의미합니다. 실제로 결함 공개 이후 DeviantArt와 4Chan이 일시적으로 서비스를 중단했으며, 정부 기관의 사이트도 예외가 아니었다고 The Verge는 전했습니다. 일부 정부와 기관은 패치를 적용하기 전에 표적이 되지 않기 위해 주요 웹사이트를 선제적으로 내리기도 했다고 Wired는 보도했습니다. 요컨대 이번 사태는 개별 사이트의 관리 소홀이 아니라, 인터넷 기반 소프트웨어 전반에 깔린 낡은 의존성의 문제입니다.

이번 패치 배포를 사실상 혼자 책임진 인물로 알려진 온드르제이 수리(Ondřej Surý)에 대한 인터뷰도 주목을 받았습니다. The Verge가 전한 The Atlantic의 찰리 워젤(Charlie Warzel) 인터뷰에서 수리는 웹을 구한 일에 대해 담담한 태도를 보이면서도, 영리 기업이 오픈소스를 착취하고 있다는 우려를 제기했습니다. 그는 모든 것이 빠르게 움직이고 있으며 방어하는 사람들에게 부담이 되고 있다고 토로하면서도, 이번 AI 지원 발견이 오히려 변화를 이끄는 전환점이 되기를 바란다고 밝혔습니다. 사람들이 마침내 지금 같은 방식으로는 계속 갈 수 없다는 점을 깨닫기를 바란다는 낙관론도 유지했습니다. 이는 소수 인력에 의존해 온 PHP 생태계의 구조적 문제를 보여주는 대목입니다. Wiz가 이번 결함을 소프트웨어 역사상 가장 심각한 결함 중 하나라고 부른 배경에도, 높은 점유율과 긴 잠복 기간, 그리고 유지보수 인력의 부족이 함께 작용하고 있습니다.

현장의 혼란 속에서 복구 사례도 이어졌습니다. The Verge에 따르면 Internet Archive 운영팀은 신속히 패치와 보안 조치를 마치고 서비스를 복구했습니다. 디지털 사서인 브루스터 케일(Brewster Kahle)은 마스토돈을 통해 심각성을 고려하면 전날 밤 많은 조직에서 활약한 영웅들이 있었다고 감사를 표했습니다. 그는 이번 사태가 자칫 조명과 신호등이 멈추는 등 현실 세계의 문제로 번질 수도 있었다는 취지로 심각성을 강조했습니다. 반면 오래된 기술로 구축되어 업데이트할 수 없는 10년 이상 운영된 게임 World Quest와 Save My Demonic World는 영구히 오프라인될 위험에 처했다고 The Verge는 전했습니다. Kotaku가 전한 대로 적극적으로 유지보수되지 않는 구 인터넷 역사의 상당 부분이 대중의 접근에서 잠길 수 있다는 우려가 나옵니다. 결국 이번 사태는 패치 가능한 사이트와 패치 불가능한 사이트 사이의 운명을 가르는 사건이 되고 있습니다.

2. 공개 전 익스플로잇 정황과 폭증한 공격

Wired에 따르면 수요일 패치가 공개되기 전부터 이미 익스플로잇 시도가 있었습니다. 아마존 위협 인텔리전스(Amazon Threat Intelligence)의 최고정보보안책임자 CJ 모제스(CJ Moses)는 10월 17일 허니팟, 즉 공격 기법을 연구하기 위해 의도적으로 취약하게 둔 서버에서 PHP2Shell 익스플로잇 시도를 포착했다고 밝혔습니다. 이는 수요일 공개일보다 4일 앞선 시점으로, 해당 시도는 상용 익명화 네트워크, 즉 프록시 네트워크 또는 VPN과 연결된 IP 주소에서 발생했습니다. 모제스는 embargo 기간 중 익명 IP에서 허니팟을 노린 점으로 볼 때 위협 행위자의 소행으로 보인다고 설명했지만, 공개 전 익스플로잇 정보를 어떻게 입수했는지는 불분명하다고 덧붙였습니다. PHP 재단 측도 이 사전 익스플로잇 정황을 사전에 알지 못했다고 Wired는 전했습니다.

공개 당일과 직후의 공격량은 폭발적으로 증가했습니다. Cloudflare의 CEO 매튜 프린스(Matthew Prince)에 따르면 공개 발표 전 10시간 동안 Cloudflare 네트워크에서 수천 건의 익스플로잇 시도가 관측되었으며, 공개 후 2시간 만에 수십만 건으로 급증했습니다. AWS 연구진에 따르면 수요일 오전 10시(미 동부시간) 공개 시점을 기준으로 그 몇 시간 전부터 이미 여러 익명화 업체를 통한 다수의 익스플로잇 시도가 허니팟에 도달했으며, 공격 목표도 달라 복수의 행위자가 관여한 것으로 보입니다. AWS는 실제 시스템에서 성공했을지는 기술 분석 중이라고 밝혔지만, 현재 PHP2Shell이 야생에서 광범위하게 악용되고 있다고 강조했습니다. 개념검증(PoC) 익스플로잇도 수요일에 공개적으로 등장하기 시작했으며, 일부는 공개 몇 시간 전에 나타난 것으로 전해졌습니다. 요컨대 패치가 나오자마자 공격자가 패치를 역분석해 익스플로잇을 만드는 전형적인 경쟁 구도가 이번에는 공개 전부터 시작된 셈입니다.

AWS는 이번 조기 익스플로잇 정황이 조율된 취약점 공개 절차가 더 빨라져야 함을 보여준다고 강조했습니다. Wired에 따르면 AWS는 전 세계적으로 AI 도구에 접근할 수 있게 되면서 취약점 분석이 가속화되고, 기술 숙련도가 낮은 행위자도 빠르게 새로운 익스플로잇을 개발할 수 있게 되었다고 지적했습니다. 모제스는 과거에는 공개 개념검증 이후에 소수의 숙련된 행위자가 익스플로잇을 만들었고 나머지는 그들을 기다렸지만, 이제는 그 의존 관계가 약화되고 있다고 분석했습니다. AI 지원 분석이 패치 diff나 권고문을 작동하는 익스플로잇으로 바꾸는 비용을 낮추면서, 더 많은 행위자가 공개 후 수 시간, 심지어 수 분 안에 움직일 수 있게 되었다는 설명입니다. 이번 사태에서 공개 전 10시간 동안 수천 건이던 시도가 공개 후 2시간 만에 수십만 건으로 불어난 흐름은 이러한 분석과 정확히 들어맞습니다. PHP 재단이 성공적인 원격 코드 실행은 아직 확인되지 않았다고 밝힌 점은 다행이지만, AWS가 지적한 대로 야생에서의 광범위한 악용 시도가 이미 진행 중이므로 안심할 단계는 아닙니다.

3. 한국 개발자·기업에게 주는 시사점

① 지원 종료된 PHP를 쓰는 사이트 목록부터 다시 확보해야 합니다

이번 결함은 약 20년간 모든 버전에 존재하고 상당수 구버전은 지원이 종료된 상태이므로, 단순 재시작이나 플러그인 업데이트로 끝나지 않습니다. 국내에서도 워드프레스와 드루팔 기반 자사몰과 언론사 사이트, 대학과 공공기관 홈페이지, 10년 이상 운영된 캠페인 마이크로사이트 상당수가 외부 호스팅과 외주 유지보수에 맡겨져 있어 실제 PHP 버전을 모르는 경우가 많습니다. 우선 전체 도메인과 서브도메인 목록을 확보해 PHP 버전을 스캔하고, 호스팅 업체에 패치 적용 일정과 가상 패치 적용 여부를 문서로 확인해야 합니다. 패치가 어려운 레거시는 일시 오프라인이나 정적 HTML 전환, 관리자 페이지 접근 제한과 파일 업로드 차단 같은 노출면 축소가 현실적인 대안이 됩니다. AWS가 지적한 대로 패치 diff에서 작동하는 익스플로잇이 수 시간 만에 만들어지는 시대에는 버전 파악 속도가 곧 보안 수준입니다.

② 패치 공개 후 수 시간 내 폭증을 전제로 방어 순서를 바꿔야 합니다

AWS의 분석처럼 과거에는 공개 개념검증 이후에 소수의 숙련된 행위자가 움직였지만, 이제는 AI 지원 분석으로 더 많은 행위자가 수 시간 안에 움직일 수 있습니다. 실제로 이번 사태에서는 10월 17일 사전 시도에 이어 공개 전후 수 시간 만에 수천 건에서 수십만 건으로 공격이 폭증했습니다. 이는 월 1회 정기 패치와 수동 배포로는 감당하기 어려운 속도입니다. 국내 기업도 CDN과 웹방화벽 단계에서 PHP2Shell 규칙을 먼저 활성화하고 원본 서버 패치와 이중으로 방어하는 구조를 갖춰야 합니다. 또한 PHP와 워드프레스 코어, 플러그인을 각각 관리하는 담당자와 호스팅 업체의 책임 분계를 사전에 정리하고, 긴급 패치를 위한 유지보수 시간과 롤백 절차를 계약에 명시하는 작업이 필요합니다. 일부 정부가 패치 전 선제적으로 사이트를 내린 것처럼, 패치가 늦어질 경우 서비스를 잠시 내리는 결정을 미리 합의해 두는 것도 중요합니다.

우리의 관점: 이번 사태는 AI가 오픈소스의 숨은 부채를 드러내는 속도가 인간 유지보수 속도를 앞지르기 시작했음을 보여줍니다. PHP처럼 70% 점유율을 가진 기반 소프트웨어조차 소수 인력에 의존한다는 사실은 국내 공공과 커머스의 워드프레스 의존 구조에도 그대로 적용됩니다. 앞으로는 결함 발견 자체보다 발견 후 수 시간 내 확산되는 AI 변형 익스플로잇이 표준이 될 것입니다. 따라서 한국 팀에게 승부는 최신 모델 도입이 아니라 레거시 인벤토리와 웹방화벽 선차단, 호스팅 업체와의 패치 합의 체계를 평시에 갖췄는지에서 갈릴 것입니다.

※ 위 시사점 섹션은 보도된 사실에 기반한 WhatsUpPick 편집팀의 독자적 분석·전망이며, 특정 제품 도입을 권유하는 것이 아닙니다.

참고 자료

• The Verge — PHP2Shell 종합 업데이트 — 사이트 중단 사태와 PHP 재단, 패치 대란 종합 정리
• Wired — 공개 전 익스플로잇 보도 — AWS 허니팟의 10월 17일 사전 시도와 패치-익스플로잇 단축 분석