"PHP"
뉴스
PHP2셸 취약점 확산, 정부·보안업계 긴급 패치 대응
PHP 엔진의 인증 없는 원격코드실행 취약점 'PHP2셸'(CVE-2026-109618, CVE-2026-109619)이 2026년 10월 21일 공개되자 정부와 보안업계가 일제히 대응에 나섰다. 국가안보실은 22일 민관군 긴급회의를 열었고, 과학기술정보통신부와 한국인터넷진흥원은 업데이트 권고문과 긴급 대응 수칙을 배포했다. 개인정보보호위원회는 연결된 데이터베이스의 이용자 개인정보까지 유출될 수 있다고 경고했다. 티오리, 스틸리언, 이스트시큐리티 등 보안기업들은 무료 점검 도구와 웹방화벽 대응 규칙을 잇따라 공개했다. 업계는 차단 규칙이 보조 수단일 뿐이며 근본 해결책은 PHP 공식 패치 적용이라고 입을 모았다.
시장·실적·공급망PHP2셸 취약점, 보안 전문가가 짚은 기업 대응법
박세준 티오리 대표는 PHP2셸로 불리는 PHP 취약점(CVE-2026-109618, CVE-2026-109619)이 CVSS 4.0 기준 9.2점의 치명적 등급이라고 설명했다. 그는 공격에 성공하면 서버에서 임의 코드 실행과 개인정보 유출, 서비스 변조로 이어질 수 있다고 말했다. 아마존은 공식 패치 공개 전인 10월 17일부터 관련 공격 시도를 관측했으며, 소포스와 팔로알토네트웍스는 초기 발표한 침해 사례를 추가 분석 후 정정하거나 철회했다고 밝혔다. 그는 10월 27일 현재 검증된 실제 침해 피해 사례는 확인되지 않았다고 말했다. 기업과 기관은 사용 중인 PHP 버전을 파악해 수정 버전(8.5.12, 8.4.27, 8.3.36, 8.2.35)으로 업데이트해야 한다고 권고했다.
국내 반도체 생태계Node.js Node2shell 취약점, 서버 원격코드실행 위험 노출
보안기업 티오리가 Node.js 런타임의 브로틀리 압축 해제 모듈에서 발견된 취약점 'Node2shell(CVE-2026-111497)'에 대한 자체 검증을 완료하고 대응 가이드를 공개했다고 26일 밝혔다. 이 취약점은 Out-of-bounds write 결함으로, 공격자가 조작된 Brotli 데이터를 전송하면 서버 다운이나 메모리 노출, 원격 코드 실행으로 이어질 수 있다. Express 5의 body-parser, Node.js 전역 fetch(), axios·got·node-fetch 등 주요 라이브러리가 노출 경로로 확인됐으며, Node.js 22.x·24.x·26.x 버전 중 미패치 버전이 영향을 받는다. Node.js 보안팀은 22.23.4, 24.22.1, 26.12.1 이상 버전으로 업데이트를 권고했고, 티오리는 임시 완화 방안과 무료 점검 서비스 nodejsguard.io를 함께 공개했다.
PHP 파운데이션, 전담인력 1명뿐 — 핵심 보안패치 늦어진 배경
PHP를 개발·관리하는 PHP 파운데이션은 전담 인력이 1명뿐이고 대부분 파트타임인 계약직 14명과 함께 일한다고 로이터 인터뷰에서 밝혔다. 이번에 공개된 원격코드실행 취약점(PHP2Shell)의 근본 원인인 메모리 부족(OOM) 문제는 2024년에 이미 발견됐지만 인력 부족으로 수개월간 작업이 중단과 재개를 반복했다. 보안업체 체인가드(Chainguard)가 임베고를 실수로 조기에 공개하는 일도 있었다. 패치 자체는 간단한 업데이트로 적용 가능했지만, 전체 PHP 설치 중 약 73%가 수명종료(EOL) 버전을 쓰고 있었고 PHP 5.x 사용 비율도 7.7%에 달해 실제 현장 대응은 더 어려웠다.
PHP 치명적 취약점 CVE, AI 발견에 엠바고 조기 유출
PHP 재단이 조율된 공개를 준비하던 두 개의 치명적 취약점(CVE-2026-109618, CVE-2026-109619, CVSS 9.2)이 정식 발표 전에 유출돼 논란이 일고 있다. 해커뉴스 이용자 petecooper는 자신이 엠바고 사실을 몰랐다며 사과문을 올렸고, 자신에게 정보를 전한 쪽도 엠바고가 없다고 알려줬다고 설명했다. 소셜미디어 등에서 이미 여러 유출이 돌면서 PHP 재단은 발표 일정을 하루 앞당겼으나, 보안기업 체인가드는 예정보다 6시간 이상 앞서 내용을 공개했다. 체인가드 CEO 댄 로렌크는 여러 연구자와 논의한 뒤 내린 결정이며 공개 직후 관련 그룹에 알렸다고 링크드인에서 해명했다. 해당 취약점은 PHP 런타임 자체의 버그로, 공격이 아니라 AI 도구를 이용한 조사 과정에서 발견된 것으로 전해졌다.
국내 반도체 생태계PHP2shell 취약점, 엔키화이트햇 무상 스캐너로 노출자산 점검
엔키화이트햇이 PHP 코어의 원격 코드 실행 취약점 'PHP2shell' 노출 여부를 점검하는 진단 스캐너와 기술 분석 보고서를 공개했다. PHP2shell은 CVE-2026-109618, CVE-2026-109619 두 취약점을 묶어 부르는 이름으로, PHP 5.4부터 8.5.11까지 미패치 버전이 영향을 받는다. 엔키화이트햇은 실제 공격 코드를 사용하지 않고 PHP 버전과 설정 정보만으로 위험 여부를 1차 판별하는 도구를 개발해 무상 공개했으며, 로그인 없이 점검 대상 URL만 입력하면 확인할 수 있다. 분석 보고서에는 취약점 발생 원인, 영향받는 시스템·버전, 완화 조치와 공식 패치 가이드가 담겼다.
시장·실적·공급망엔비디아 DSX POD 공개, AI 데이터센터 구축기간 단축
앤트로픽은 선제형 개인 에이전트 '클로드 듀엣'을 공개했고 메타는 '뮤즈' 확산을 3분기 실적에서 강조하며 AI 에이전트 경쟁이 가열됐다. 엔비디아는 독일 GTC 베를린에서 베라 루빈 시스템과 냉각·전력·네트워크 설비를 미리 조립해 컨테이너째 공급하는 참조설계 'DSX POD'를 공개했고, 구글 클라우드는 베라 루빈 기반 A5X 인스턴스를 11월 출시한다고 밝혔다. 메타는 올해 자본지출 전망치를 최대 1,450억 달러로 제시했다. PHP 개발팀은 전 세계 웹사이트 약 70%가 쓰는 PHP의 치명적 취약점을 긴급 패치했고, 국내 과기정통부는 민간 사이버 위기경보를 '주의'로 올렸다.
OpenAI, PHP 핵심엔진 취약점 발견해 패치 공동대응
OpenAI는 10월21일 보도자료를 통해 자사의 'Patch the Planet' 보안 프로그램에서 AI 모델 GPT-5.6 Sol을 활용해 PHP의 핵심 엔진에서 치명적 취약점을 발견했다고 밝혔다. PHP는 전세계 웹사이트의 약 70%에서 쓰이는 오픈소스 언어로, 해당 결함은 CVE-2026-109618과 CVE-2026-109619로 등록됐으며 심각도 9.2점을 받았다. 두 취약점은 메모리 관리와 오류 처리 과정의 결함으로, 로그인 없이도 원격으로 악성코드를 실행하거나 비밀번호·인증 토큰 등 서버 메모리 정보를 노출시킬 수 있다. PHP재단은 이 문제를 2024년부터 인지했지만 해결책을 찾지 못했고, Calif와 Wiz 등 보안업체와 OpenAI 연구진이 참여해 두 달간 공동 대응한 끝에 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 패치를 배포했다. 당초 10월22일로 예정된 공개는 10월20일 일부 조기 유출로 인해 10월21일로 앞당겨졌다.