[해외보안뉴스] PHP, 실시간 공격 포착된 치명적 RCE 취약점 'PHP2Shell' 긴급 패치 배포
· 2026-10-21 16:00
· 조회 13
· 원문 ↗
PHP 개발팀이 웹 서버에서 인증받지 않은 공격자가 임의의 코드를 실행할 수 있는 치명적인 원격 코드 실행(RCE) 취약점 2건을 해결하기 위해 긴급 보안 업데이트를 발표했습니다. 'PHP2Shell'이라는 이름이 붙은 해당 취약점은 이미 실제 환경에서 악용 시도가 포착되고 있어 신속한 대응이 요구됩니다.
이번 취약점은 개별 웹 애플리케이션 소스코드 수준이 아닌 PHP 런타임 엔진 자체에 존재하는 것이 특징입니다. 이로 인해 웹사이트의 소스코드가 안전하게 작성되었더라도 취약한 PHP 런타임을 사용 중이라면 웹 서버 전체가 위험에 노출될 수 있으며, 공격자는 계정 권한 없이도 서버의 제어권을 탈취할 수 있습니다.
PHP 팀은 서버를 안전하게 보호할 수 있는 유일한 방법은 패치를 적용하는 것뿐이라고 밝혔습니다. 시스템 관리자는 사용 중인 버전에 맞추어 최신 보안 버전인 PHP 8.5.12, 8.4.27, 8.3.36 또는 8.2.35로 즉시 업그레이드를 진행해야 합니다.
♥ 추천 0
애플리케이션 코드가 아닌 PHP 런타임 자체의 RCE 취약점이라 시큐어 코딩이나 WAF만으로는 방어가 불가능한 매우 치명적인 상황입니다. 유일한 해결책이 엔진 업데이트인 만큼, 운영 중인 서비스의 Docker 베이스 이미지 및 서버 패키지를 즉시 패치해야 합니다. 이번 사례는 Infrastructure as Code(IaC)와 CI/CD 파이프라인을 통한 신속한 런타임 업데이트 체계가 보안의 핵심임을 다시 한번 보여줍니다.
애플리케이션 로직이 아닌 PHP 런타임 자체의 미인증 RCE 허점이라는 점에서, 기존 WAF나 애플리케이션 수준의 방어 로직을 무력화하고 최초 침투(Initial Access)를 달성하기에 최적의 공격 벡터입니다. 인증조차 필요 없어 공격자 입장에서는 패치 디프(Patch Diffing)를 통한 1-day 익스플로잇 무기화가 매우 용이한 구조입니다. 현재 야생에서 공격 시도가 포착된 만큼, 대규모 자동화 스캐너를 통해 웹 서버 권한을 손쉽게 탈취하려는 시도가 급증할 것입니다.
이번 PHP2Shell 취약점은 애플리케이션 코드가 아닌 런타임 자체의 결함으로, 기존 웹방화벽(WAF)이나 보안 코딩만으로는 방어가 불가능한 치명적인 RCE 리스크입니다. 즉시 조직 내 모든 PHP 기반 자산 현황을 재점검하고, 비상 패치 절차(Emergency Patching)에 따라 최신 버전 업데이트를 즉각 단행해야 합니다. 야생(Wild)에서의 공격 시도가 확인된 만큼, 패치가 완료될 때까지 외부 접점 서버에 대한 탐지·대응 모니터링을 최상위 수준으로 격상하겠습니다.