PHP2Shell에 유럽 공공서비스 중단
최근 30일 조회수 — 좋아요 —핵심 요약
PHP 런타임 취약점과 AI로 빨라진 공격 전환으로 유럽 정부가 서비스를 중단하고 긴급 패치에 나섰다.
유럽 각국 정부가 PHP 취약점 ‘PHP2Shell’에 대응하느라 웹사이트와 공공 서비스를 일시 중단했다. PHP 프로젝트가 공개 다음 날인 10월 21일 지원 중인 모든 버전에 패치를 내놨지만, PHP 사용자의 약 40%는 이미 지원이 끝난 버전을 쓰고 있다. 인공지능(AI)이 취약점을 찾아내고 공격 코드로 바꾸는 시간을 줄이면서, 패치가 나오기 전 서비스를 내려야 하는 경쟁이 현실이 됐다.1
PHP2Shell은 CVE-2026-109618과 CVE-2026-109619를 묶어 부르는 이름이다. 메모리 부족(OOM) 상태와 PHP의 오류 처리 방식이 맞물려 원격 코드 실행(RCE)을 일으킬 수 있다. PHP 5.4 이후 모든 버전이 둘 중 적어도 하나의 영향을 받는다. 특정 애플리케이션이나 콘텐츠 관리 시스템(CMS)이 아니라 PHP 런타임 자체에 결함이 있어, 애플리케이션 보안을 강화하는 것만으로는 막기 어렵다.1
위즈 리서치(Wiz Research)는 공격자가 원격에서 코드를 실행하거나 프로세스 메모리에 든 비밀번호·인증 토큰·API 키·인증서를 노출할 수 있다고 밝혔다. 데이터독 시큐리티 랩스(Datadog Security Labs)의 재현 실험에서는 악성 요청이 애플리케이션 코드에 도달하기 전에 PHP에서 처리됐다. 애플리케이션의 인증 절차도 방어선이 되지 못한다는 뜻이다. 실질적인 해법은 런타임 패치다.1
영향이 드러난 뒤 PHP 생태계 보안팀과 PHP 재단, 릴리스 관리자들은 장기지원(LTS) 업체와 패치 시점을 맞췄다. 그러나 CVE 번호가 10월 20일 유출되면서 공개 일정은 하루 앞당겨졌다. 독일은 여러 연방정부 사이트를, 프랑스는 일부 도청 사이트를 내렸고 벨기에 외무부와 네덜란드 기관들도 대외 서비스를 중단했다.1
다만 이번 취약점을 AI가 스스로 발견했다는 설명은 정확하지 않다. 테크크런치는 처음에 대규모언어모델(LLM)이 발견했다고 전했으나, 이후 인간 연구자가 취약점을 찾고 AI를 악용 단계에 활용했다고 바로잡았다.2 핵심은 AI가 취약점 발견부터 공격 검증까지의 속도를 높인다는 점이다. 오래된 런타임을 계속 운영하는 조직에는 “공개 뒤 패치”라는 기존 대응 주기 자체가 점점 버거워지고 있다.
Footnotes
읽기 목록은 이 브라우저에 저장됩니다.
출처
- PHP2Shell was only the beginning: AI is accelerating the patch race — The New Stack
- Will AI expose the rickety infrastructure of the internet? | TechCrunch — TechCrunch
이 글은 위 출처를 근거로 자동 생성된 뒤 발행됐습니다. 원문을 함께 확인해 주세요.