다카이치 사나에가 긴급하다고 외친 PHP 위기, 일반 사용자는 어떻게 대비해야 할까?

출처:Decrypt

편집｜Odaily(@OdailyChina), 번역｜Moni

편집자 주: 최근 PHP에서 두 가지 심각한 보안 취약점이 발견되었으며, CVSS v4 점수가 모두 9.2점에 달합니다. 공격자는 로그인 없이도 영향을 받는 서버에서 악성 코드를 실행하거나 서버를 완전히 장악할 수 있습니다. 핀란드, 프랑스, 네덜란드 등 여러 국가에서는 웹사이트를 일시적으로 폐쇄하는 등 예방 조치를 취했으며, PHP 측도 긴급 수정 버전을 발표했습니다. 이번 취약점은 여러 구버전 PHP에 영향을 미치며, 보안 기관은 패치 공개 후 대규모 공격이 빠르게 촉발될 수 있다고 경고했습니다.

어젯밤, 일본 총리 다카이치 사나에는 X에 "모두의 긴급한 대응이 필요한 중대한 요청"을 게시하며 PHP 관련 리스크를 알렸습니다.

본문은 취약점의 원리, 영향 범위 및 사건 경과를 정리하고, 웹사이트 운영자와 일반 암호화폐 사용자가 취해야 할 대응 조치를 분석합니다. Odaily에서 번역했습니다.

최근 이틀 동안 인터넷을 사용했다면, 이 네트워크 공포를 이미 접했을 가능성이 큽니다: 심각한 취약점이 전 세계 거의 모든 웹사이트를 위협하고 있습니다. 핀란드는 정부 웹사이트 폐쇄를 발표했고, 미국 국가안보국(NSA)은 PHP를 사용하는 모든 조직에 웹사이트 폐쇄를 권고했으며, 네덜란드와 프랑스도 같은 조치를 취했습니다.

그러나 이것은 사이버 전쟁이 아니라, PHP에서 두 가지 주요 보안 취약점이 폭로된 것입니다.

PHP는 웹사이트 서버 측에서 실행되는 백엔드 소프트웨어입니다. 서버를 웹사이트 콘텐츠를 저장하고 사용자 요청에 따라 웹 페이지를 생성하는 컴퓨터라고 생각할 수 있습니다. WordPress 보안 회사 Wordfence에 따르면, 모든 WordPress 웹사이트 뒤에는 PHP를 실행하는 서버가 있습니다.

참고로, Wordfence 자체 웹사이트도 다운되었습니다.

PHP 취약점이 왜 우려를 낳을까요? 실제로, 관련 취약점을 통해 낯선 사람이 로그인 없이 서버에서 직접 자신의 명령을 실행할 수 있습니다. 보안 업계에서는 이런 취약점을 "미인증 원격 코드 실행"(Unauthenticated Remote Code Execution, RCE)이라고 부릅니다.

더 쉽게 말하면, "이제 다른 사람이 당신 대신 서버를 조작할 수 있다"는 뜻입니다.

서버에 귀하의 계정 정보, 주소 또는 주문 내역이 저장되어 있다면, 해당 데이터도 공격자의 손에 들어갈 수 있습니다. 웹 호스팅 서비스 제공업체 GoDaddy는 이러한 취약점이 데이터 탈취, 웹사이트 페이지 변조에 사용될 수 있으며, 공격자가 인터넷을 통해 영향을 받는 서버에서 자신의 코드를 실행하여 데이터 도난 심지어 서버 완전 장악으로 이어질 수 있다고 경고했습니다.

PHP 측은 어떤 발표를 했나?

PHP 언어 개발을 지원하는 비영리 조직 PHP 재단(PHP Foundation)은 경고를 발령했습니다:

PHP 보안 팀 사전 공지: 2026년 10월 21일(수) 14:00 UTC에 보안 업데이트를 발표할 예정이며, 두 가지 심각한 취약점을 포함합니다. 두 취약점 모두 CVSS v4 점수가 9.2이며, PHP 사용자는 사전에 업데이트 준비를 권장합니다. 관련 세부 정보가 사전에 공개되거나 취약점이 적극적으로 악용되고 있다는 증거가 발견되면 업데이트가 앞당겨 발표될 수 있습니다."

여기서 9.2점은 공통 취약점 점수 시스템(CVSS)에서 나온 것으로, 취약점이 인터넷을 통해 얼마나 쉽게 도달할 수 있는지, 얼마나 큰 피해를 줄 수 있는지 등의 요소를 기준으로 위험도를 평가합니다. 점수 범위는 0~10점이며, 9.0점 이상은 심각한 취약점으로 분류됩니다. 따라서 만점 10점에는 미치지 못했지만, 두 취약점의 위험도는 상당히 높습니다.

PHP는 수요일에 몇 분 앞당겨 수정 버전을 발표했습니다. 각각 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35이며, 이번 취약점이 PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed 등 웹 요청을 처리하는 PHP 환경에 영향을 미친다고 확인했습니다. 특히 Apache mod_php의 위험이 두드러지며, 애플리케이션 코드가 실행되기 전에 공격이 발생할 수 있습니다.

그러나 공식 보안 공지에서는 분명하게 강조했습니다: "모든 PHP 사용자는 즉시 업데이트할 것을 강력히 권장합니다."

그러나 수정 프로그램 발표가 모든 사용자가 이미 수정을 완료했다는 것을 의미하지는 않으므로 여전히 경계해야 합니다.

이 취약점들은 어떻게 작동하나?

첫 번째 취약점 CVE-2026-109618은 PHP가 요청을 처리할 때 메모리가 고갈되는 상황에서 발생합니다. 이후 PHP는 아직 완전히 구성되지 않은 데이터를 완료된 데이터로 처리할 수 있습니다.

두 번째 취약점 CVE-2026-109619는 특정 방문자 요청이 남긴 잔여 데이터가 삭제되어야 함에도 메모리에 남아 있어, 후속 요청이 이 잔여 데이터의 영향을 받을 수 있게 합니다.

이 상황을 요리사가 이미 쓰레기통에 버려진 주문서를 계속 읽는 것으로 상상할 수 있습니다. 누군가 쓰레기통에 위조된 메뉴를 넣으면 요리사는 그 내용대로 요리하게 됩니다. 이번 취약점에서 "메뉴"는 공격자의 악성 코드이며, 서버가 이 코드를 실행합니다.

PHP는 일반적인 Apache 구성 방식인 mod_php를 사용하는 서버가 가장 높은 위험에 직면한다고 밝혔습니다. 이 구성에서는 시연된 공격이 "어떤 애플리케이션 코드가 실행되기 전에도" 실행될 수 있습니다.

다시 말해, 웹사이트 자체의 방어 메커니즘인 로그인 페이지와 WordPress 보안 플러그인조차 아직 작동하기 전이라는 것입니다.

PHP 재단 연구원들은 PHP의 업로드 진행률 추적 기능이 확인된 공격 진입점 중 하나라고 지적했습니다. 이 기능은 파일 업로드 진행률을 추적하는 데 사용되며, 기본적으로 활성화된 지 10년이 넘었지만 실제로 이를 사용하는 웹사이트는 거의 없습니다.

취약점 정보 유출, 이어서 공격 발생

이 취약점 관련 정보는 원래 이렇게 일찍 공개되어서는 안 되었습니다. 실제로 이번 주 화요일에 누군가 Hacker News 포럼에 두 가지 PHP 취약점이 원래 그 주 목요일에 공개될 예정이라고 게시하면서, "출처: 나를 믿으라, 형제여" 외에는 아무런 증거가 없다고 인정했습니다.

결과적으로 이 네티즌의 말이 맞았습니다.

보안 회사 watchTowr는 두 취약점이 실제로 존재하며 당시 여전히 공개 금지 기간(embargo)에 있었다고 확인했습니다. 즉, 수정方案이 준비되기 전까지 관련 당사자들이 취약점 세부 정보를 공개하지 않기로 합의한 상태였습니다. 이후 PHP는 업데이트 발표 시점을 하루 앞당겼습니다.

Cloudflare 최고기술책임자 Dane Knecht는 수요일 새벽 X 플랫폼에 "우리는 이미 초기 공격이 시작되는 것을 관찰했으며, 새로운 공격 경로가 나타남에 따라 완화 조치를 지속적으로 업데이트하고 있습니다"라고 게시했습니다.

이 소식이 게시되었을 때 패치 정식 발표까지는 약 6시간이 남아 있었습니다.

Cloudflare는 즉시 모든 고객에게 긴급 방화벽 규칙을 배포하여 필터를 통해 알려진 공격 패턴을 차단했습니다. 그러나 Dane Knecht는 이러한 조치가 "임시 대응 수단으로만" 사용될 수 있다고 강조했습니다.

각국 정부, 긴급 폐쇄 조치

핀란드 공영 방송사 Yle에 따르면, 핀란드 국가 IT 센터 Valtori는 예방 목적으로 공공 네트워크 서비스를 오프라인으로 전환하기 시작했습니다. 네덜란드 국가 사이버 보안 기관도 자체 웹사이트를 폐쇄했습니다.

프랑스의 경우, 내무부는 관련 프레임워크 배포자가 보안 패치를 출시하기 전까지 각 주 정부 웹사이트가 "일시적으로 오프라인" 상태였다고 밝혔습니다.

EU 사이버 긴급 대응팀 CERT-EU는 일시적으로 패치를 설치할 수 없는 조직에 대해 "수정方案이 사용 가능해질 때까지 인터넷에 노출된 애플리케이션을 공용 네트워크와 격리하는 것을 고려하라"고 권고했습니다.

이후 호주, 일본, 영국의 관련 기관들도 대략 같은 권고를 발표했습니다.

쉽게 말해 "랜선을 뽑는" 것입니다.

X 플랫폼의 일부 인기 게시물은 PHP가 "2004년 이후 모든 버전"에 취약점이 있다고 주장했습니다.

이 주장은 PHP 5 이후 모든 버전이 영향을 받는다는 초기 추정에서 비롯되었습니다. 그러나 CERT-EU는 이 추정이 소셜 미디어 게시물에 근거한 것임을 인정했습니다.

전자상거래 보안 회사 Sansec는 영향을 받는 버전 범위가 PHP 5.4부터 시작하여 이후 버전을 포함한다고 봅니다. 이는 취약점 영향 범위가 2004년이 아닌 2012년까지 거슬러 올라갈 수 있음을 의미합니다. 그래도 여전히 상당히 오래된 소프트웨어 버전입니다.

현재 PHP 측은 PHP 8.2 이상 버전에 대해서만 공식 릴리스 버전 업데이트를 제공합니다. 따라서 "구버전에는 수정方案이 없다"는说法은 부분적으로 맞습니다.

이번 취약점의 심각성을 고려하여, PHP 보안 팀은 PHP 7.4, 8.0, 8.1에 대해서도 간소화된 소스 코드 패치를 발표했습니다. 각 Linux 배포판도 수정 프로그램을 자체 유지 관리 버전으로 백포트하고 있습니다.

보안 회사 Mallory의 집계에 따르면, 10월 20일 기준 약 88.4만 대의 인터넷 노출 호스트가 PHP 8.1 또는 그 이전 버전을 표시하고 있습니다. 이 호스트들은 공개적으로 버전 정보를 표시하는 약 150만 대 호스트의 약 59%를 차지합니다.

공유 호스팅 하나가 많은 웹사이트를 호스팅할 수 있으므로 실제 영향을 받는 웹사이트 수는 더 많을 수 있습니다.

일부 네트워크 게시물은 Node.js도 영향 범위에 포함시켰습니다. Node.js는 다른 웹 기술이며, 단지 같은 날 이번 사건과 무관한 보안 업데이트를 발표할 예정이었을 뿐입니다. 시간이 겹치면서 혼란이 발생했습니다.

패치가 발표되었다고 해서 모든 서버가 즉시 업데이트를 완료할 수 있는 것은 아닙니다.

PHP 재단은 성명에서 "자원봉사자가 유지 관리하는 https://rpms.remirepo.net에 의존하는 경우, 즉시 Linux 배포판 공식 패키지로 전환하거나 소스 코드에서 직접 빌드하여 업데이트를 즉시 적용할 것을 강력히 권장합니다. 해당 패키지 저장소는 오늘 업데이트를 발표하지 않을 것입니다"라고 밝혔습니다.

이 성명은 주로 Red Hat 계열 Linux 서버를 대상으로 자원봉사자가 유지 관리하는 인기 패키지 소스를 가리킵니다.

암호화폐 사용자도 걱정해야 하나?

솔직히 말하면, 일반 사용자는 즉시 공황에 빠질 필요는 없지만, 가볍게 여겨서도 안 됩니다.

예를 들어, 웹사이트가 침해당하는 것은 블록체인을 직접 공격하지 않고도 지갑 자산을 도난당하게 만들 수 있습니다.

2024년, 공격자들은 DeFi 프로토콜 Compound와 Celer의 프런트엔드 페이지를 악성 페이지로 리디렉션하여 사용자가 지갑을 연결하도록 유도하고 자산을 탈취했습니다. 2025년에는 Curve Finance도 유사한 공격을 받았습니다.

그러나 이러한 사건은 PHP 취약점이 아닌 DNS 하이재킹에 속하지만, 공격 수법에는 유사점이 있습니다: 웹사이트는 정상적으로 보이고 URL도 이상하지 않지만, 클릭하는 "승인" 버튼이 토큰을 다른 주소로 전송할 수 있습니다.

서버가 침해되면 공격자도 사용자에게 이러한 악성 페이지를 제공할 수 있습니다. 제로데이 취약점을 악용하는 데 있어 해커들은 종종 다양한 공격 수법을 빠르게 고안해냅니다.

동시에 이러한 취약점을 발견하는 것도 점점 쉬워지고 있습니다. 첨단 인공지능 모델이 소프트웨어 취약점을 발견하는 데 점점 더 많이 사용되고 있습니다. 6월, 전문가들은 Decrypt에 이러한 도구가 대중화되면서 향후 더 많은 취약점이 나타날 수 있다고 말했습니다.

앞으로 무슨 일이 일어날까? 사용자는 무엇을 해야 하나?

일반 사용자가