아마존, 공개 나흘 전 시도 관측…CISA, 패치 못하면 오프라인
PHP가 로그인 없이 원격으로 코드를 실행할 수 있는 매우 치명적인 취약점 두 건을 고친 긴급 패치를 21일(현지시간) 배포했다.
클라우드 보안업체 Wiz에 따르면 결함은 웹 애플리케이션이 아니라 PHP 엔진 자체에 있어 앱 코드가 깨끗해도 노출된다. 미 사이버안보기반시설안보국(CISA)은 즉시 패치하거나, 불가능하면 해당 시스템을 오프라인으로 내리라고 권고했다.
취약점은 PHP 엔진에 있다
PHP 프로젝트는 21일 보안 공지에서 CVE-2026-109618과 CVE-2026-109619를 공개했다. 두 취약점을 고친 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35다. 각 취약점의 CVSS v4.0 점수는 9.2다. 웹 요청을 처리하는 모든 PHP 설치가 대상이며, Apache의 mod_php에서 위험이 가장 크다.
한 취약점은 메모리 부족 처리 중 요청 데이터가 반쯤만 초기화된 채 남아, 이후 정리 절차가 이를 유효한 것으로 다루는 구조다. 다른 하나는 이전 요청의 내부 상태가 메모리 해제 뒤에도 남았다가 같은 워커가 다음 요청에서 쓰는 사용 후 해제다. 로그인 없이도 웹 워커 계정 권한으로 원격 코드 실행이 확인됐다. 지원이 끝난 8.1 이하에는 공식 바이너리가 없고, 7.4·8.0·8.1용 최소 소스 백포트만 제공됐다.
완전한 완화책은 없으며, 업데이트가 유일한 안전한 선택이다.
— PHP 보안팀, php.net 10월 21일 · “There are no complete mitigations, updating is the only safe choice.”
Wiz는 당시 최신 WordPress·Drupal·Joomla 컨테이너에서 인증 없는 원격 코드 실행을 시연했다. 비밀번호·토큰·API 키 등 프로세스 메모리를 읽는 경로도 따로 확인했다. 취약 코드는 PHP 5.4까지 거슬러 올라가며, 패치 적용 뒤에도 워커를 재시작해야 옛 코드가 메모리에서 사라진다. 연구진은 Wiz Atlas와 Gemini 4 Argon, GPT-5.6 Sol을 썼고, 8월 19일 첫 결함을 찾아 24일 PHP에 보고했다.
AI가 취약점을 찾아냈다
보안업체 Calif는 OpenAI의 Patch the Planet 프로그램에서 GPT-5.6 Sol로 치명적 결함을 찾았다. Wiz도 독립적으로 두 취약점을 발견·신고했다고 OpenAI가 21일 밝혔다.
PHP 재단에 따르면 Calif 연구원 라이언 A가 8월 11일 같은 뿌리의 원격 코드 실행을 보고한 뒤 수정이 최우선 과제가 됐다. 원래 22일 공개가 목표였으나 20일 CVE 식별자가 온라인에 돌자 일정을 하루 앞당겼다. 기술적 세부사항은 유출되지 않았고, 배포판과 LTS 벤더는 패치를 미리 받아 패키지를 준비한 상태였다.
AI가 쓰이면서 더는 장벽이 아니다. 대규모 언어 모델은 서로 다른 PHP 버전·설정·메모리 배치에 맞춰 익스플로잇을 적응시키는 데 도움이 된다.
— Wiz Research, Wiz 블로그 10월 21일 · “With AI this is no longer a barrier. LLMs can help adapt an exploit to different PHP versions, configurations and memory layouts.”
OpenAI는 자사 지식 범위 안에서 최전선 AI가 공격자보다 먼저 이 취약점을 찾아 방어측에 준비 시간을 줬다고 했다. 운영자가 취약 버전을 가려낼 수 있도록 PHP 버전 점검용 Codex 기술도 함께 공개했다.
아마존, 공개 전 시도 관측
아마존이 보안 블로그에서 밝힌 바에 따르면 공개 나흘 전인 17일 MadPot 허니팟에서 PHP2Shell 익스플로잇 시도가 포착됐다. 시도는 상용 익명화 네트워크 IP에서 나왔고, 행위자가 어떻게 정보를 얻었는지는 불명이다.
공개 당일 오전 2시(UTC)께부터 개념증명 익스플로잇이 보이기 시작했고, 오전 8시까지 여러 익명 인프라에서 추가 시도가 들어왔다. 페이로드와 경로는 저마다 달랐다. 공개 금지 기간이 풀린 뒤 수 시간 안에 익스플로잇이 더 나왔고, 센서에 바로 쓰이기 시작했다.
PHP2Shell은 현재 인터넷상에서 광범위한 악용 시도를 받고 있다. 조사는 공개일이 아니라 적어도 17일부터 시작해야 한다. 설정만으로는 두 CVE를 완전히 막을 수 없다.
당국, 패치 못하면 오프라인 권고
CISA 경고는 인터넷에 노출된 시스템부터 우선 패치하라고 적시했다. PHP는 다른 소프트웨어에 내장돼 있어 존재 자체가 눈에 띄지 않을 수 있다. 지원이 끝난 8.1 이하를 계속 쓰는 조직도 같은 조치 대상이다.
발표 시점 기준으로는 실제 침해 악용을 관측하지 못했다. 대규모 성공 침해 사례가 확정됐는지는 아직 정리되지 않았다.