PHP 취약점 ‘PHP2Shell’ 사건 총정리: PHP란 무엇이고, 내 홈페이지는 안전할까?

2026년 10월 21일, 전 세계 웹사이트 관리자들이 동시에 긴급 업데이트에 나섰습니다. 웹사이트를 움직이는 대표적인 서버 언어 PHP에서, 로그인 없이도 서버를 통째로 장악할 수 있는 치명적 취약점 두 건이 공개됐기 때문입니다.

이번 사건이 특히 화제가 된 이유는 두 가지입니다. 하나는 이 취약점을 공격자보다 먼저 찾아낸 것이 AI였다는 점, 다른 하나는 홈페이지를 아무리 안전하게 만들었어도 PHP 자체가 뚫리면 소용없다는 점입니다.

이 글에서는 PHP가 무엇인지, 이번 PHP 취약점 사태가 무엇인지, 그리고 내 홈페이지는 안전한지 어떻게 판단할 수 있는지 정리해 보겠습니다.

PHP란 무엇인가?

PHP는 웹사이트의 보이지 않는 뒷단에서 페이지를 만들어 주는 서버 프로그래밍 언어입니다. 이름은 'PHP: Hypertext Preprocessor'의 약자입니다.

식당에 비유하면 이해가 쉽습니다. 방문자가 보는 홈페이지 화면이 홀이라면, PHP는 주방입니다. 방문자가 게시판 글을 열거나 상담 예약 폼을 제출하면, 주방인 PHP가 데이터베이스에서 정보를 꺼내고 저장하며 화면을 만들어 내보냅니다. 이번 취약점은 이 주방의 뒷문이 열려 있었던 것과 같습니다.

PHP는 1990년대에 나온 오래된 언어지만, 지금도 웹의 상당 부분을 떠받치고 있습니다. 대표적인 PHP 기반 서비스는 다음과 같습니다.

• 워드프레스(WordPress): 전 세계에서 가장 많이 쓰이는 홈페이지·블로그 제작 도구

• 그누보드·제로보드: 국내 기업·기관·소규모 사업장 홈페이지에 널리 쓰여 온 게시판 솔루션

• 드루팔·줘라·미디어위키: 기관 사이트, 위키 사이트에 많이 쓰이는 도구

• 일반 웹호스팅: 국내 대부분의 저렴한 웹호스팅 상품이 PHP 환경을 기본으로 제공

내 홈페이지 주소나 관리자 페이지 주소에 '.php'가 보인다면, PHP 위에서 돌아가고 있을 가능성이 높습니다.

PHP2Shell, 무슨 일이 있었나

PHP 프로젝트는 10월 21일 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 네 개 버전의 긴급 보안 업데이트를 배포했습니다. 고친 취약점은 CVE-2026-109618과 CVE-2026-109619 두 건이고, 보안 업계는 이를 묶어 'PHP2Shell'이라고 부릅니다.

두 취약점 모두 PHP가 메모리를 다루는 방식의 결함입니다. 하나는 메모리가 부족한 상황을 처리하는 도중 데이터가 어중간하게 남는 문제이고, 다른 하나는 이미 지운 메모리를 다음 요청이 다시 참조하는 문제입니다. 결과는 같습니다. 공격자가 로그인 없이 외부에서 서버에 자기 명령을 실행할 수 있게 됩니다.

공개 과정도 순탄하지 않았습니다. 원래 패치는 10월 22일에 나올 예정이었는데, 10월 20일 오후 취약점 번호가 잘못된 공개 시각, 부풀려진 위험도 점수(10점 만점)와 함께 커뮤니티와 SNS에 먼저 퍼졌습니다. PHP 측은 일정을 하루 앞당겨 21일에 패치를 내놓았고, 이 과정에서 공격 시연 영상과 패치된 파일이 정식 공개보다 먼저 유출되기도 했습니다.

파장은 컸습니다. 네덜란드, 핀란드, 프랑스, 호주 등 여러 나라 정부가 일부 온라인 서비스를 일시적으로 내렸고, 국내에서도 한국인터넷진흥원(KISA)이 경고를 내며 보안 기업들이 연이어 긴급 대응 가이드를 내놓았습니다.

왜 이렇게 심각한가

보안 취약점은 매주 쏟아집니다. 그런데도 이번 건이 '역대급'으로 불리는 데는 네 가지 이유가 있습니다.

첫째, 홈페이지 코드가 아니라 PHP 자체의 문제입니다. 보통의 해킹은 특정 플러그인이나 게시판의 허점을 노립니다. 이번에는 그 아래 바닥이 뚫렸습니다. 홈페이지를 아무리 꼼꼼하게 만들었어도 취약한 PHP 버전 위에서 돌고 있다면 영향을 받습니다.

둘째, 범위가 넓습니다. PHP 5.4부터 최신 8.5까지, 10년 넘게 쓰인 버전들이 대부분 포함됩니다. 한 보안 기업은 인터넷에 노출된 영향권 PHP 서버를 약 200만 대로 추산했습니다. 연구진은 워드프레스, 드루팔, 줘라, 미디어위키, phpMyAdmin 등 널리 쓰이는 프로그램에서 실제로 공격이 통하는 것을 확인했습니다.

셋째, 이미 악용 시도가 있었습니다. 아마존 위협 인텔리전스는 공식 공개 4일 전인 10월 17일에 이미 이 취약점을 노린 공격 시도를 포착했습니다. 공개 직후에는 GitHub에 'php2shell'이라는 이름의 공격 코드 저장소가 하루 만에 100개 가까이 생겨났습니다.

넷째, 우회책이 없습니다. PHP 측은 완전한 임시 방편은 없고 업데이트가 유일하게 안전한 방법이라고 밝혔습니다. 서버를 직접 업데이트할 수 없는 사이트라면, 누군가 대신 해주기 전까지 그대로 노출돼 있는 셈입니다.

AI가 공격자보다 먼저 찾았다

이번 취약점을 처음 찾아낸 것은 사람만이 아니었습니다. 보안 연구 기업 Calif는 올해 8월 OpenAI의 AI 모델을 활용해 PHP 소스 코드를 감사하던 중 첫 번째 취약점을 발견했습니다. 이 감사는 OpenAI가 오픈소스 보안을 강화하기 위해 운영하는 'Patch the Planet' 프로그램의 지원을 받았고, 클라우드 보안 기업 Wiz의 연구진도 함께 참여했습니다.

연구진은 8월에 워드프레스와 드루팔에서 실제 원격 코드 실행이 가능한 것을 검증한 뒤, PHP 보안팀과 패치를 준비했습니다. OpenAI는 프런티어 AI가 공격자보다 먼저 취약점을 찾아 방어자에게 대비할 시간을 벌어줬다고 설명했습니다.

이 사건이 남기는 메시지는 분명합니다. AI는 수년째 묻혀 있던 보안 구멍을 빠르게 찾아낼 수 있었고, 반대로 공격자도 마찬가지로 빠르게 공격할 수 있는 도구로 기능합니다. 실제로 이번에도 정식 공개 전부터 공격 시도가 있었고, 공개 하루 만에 공격 코드가 퍼졌습니다.

즉, 이제는 취약점이 발견되는 속도도, 악용되는 속도도 빨라졌습니다. 홈페이지의 안전은 '처음에 얼마나 잘 만들었나'보다 '문제가 터졌을 때 얼마나 빨리 고칠 수 있나'에 달려 있습니다.

내 홈페이지는 안전할까?

이번 사건에서 특히 조심해야 하는 홈페이지가 있습니다. 아래 세 가지 중 하나라도 해당한다면 지금 점검이 필요합니다.

1. PHP 기반 도구로 만들었다. 워드프레스, 그누보드, 일반 웹호스팅으로 만든 홈페이지라면 이번 취약점의 영향권에 있을 가능성이 큽니다. 게시판과 문의 폼을 빠르고 저렴하게 붙일 수 있어 국내에서 오랫동안 가장 흔하게 쓰여 온 방식입니다.

2. 만들고 나서 관리하는 사람이 없다. 많은 회사와 가게가 홈페이지를 외주 업체에 맡깁니다. 제작이 끝나면 서버 업데이트를 누가 책임지는지 애매해지기 쉽습니다. 이번처럼 업데이트만이 유일한 해법인 상황에서는, 관리 공백이 곧 위험 노출 기간이 됩니다.

3. 고객 정보를 받는다. 문의 폼, 예약, 회원가입이 있다면 고객의 이름, 연락처, 이메일이 서버에 쌓입니다. 서버가 뚫리면 이 정보가 그대로 노출되고, 유출 사고는 브랜드 신뢰에 직접적인 타격을 줍니다.

외주 구조의 위험은 이미 현실에서 드러났습니다. 올해 7월 세종의 한 병원 홈페이지가 해킹돼 회원들의 아이디, 이름, 생년월일, 전화번호가 유출됐습니다. 뚫린 곳은 운영자가 아니라 홈페이지를 관리하던 위탁업체의 서버였고, 운영자는 협박 메일을 받고 나서야 사실을 알게 됐습니다.

내가 직접 잘못한 것이 없어도, 홈페이지가 올라가 있는 서버와 그 아래 프로그램이 뚫리면 책임과 피해는 홈페이지 주인이 집니다. PHP2Shell은 바로 그 '아래쪽'이 한꺼번에 뚫린 사건입니다.

마치며

PHP2Shell은 AI 시대의 보안이 어떻게 바뀌고 있는지 보여주는 사건입니다. AI는 수년간 숨어 있던 보안 구멍을 찾아내고, 공격자는 그 구멍이 알려지자마자 파고듭니다. 이제 홈페이지의 안전은 문제가 생겼을 때 누가, 얼마나 빨리 대응하느냐에 달려 있습니다.

서버와 프로그램을 직접 관리하는 홈페이지라면, 이번 같은 사건이 터질 때마다 버전을 확인하고 업데이트를 챙겨야 합니다. 그 일을 맡을 사람이 없다면 서버 관리를 직접 하지 않아도 되는 방식을 고려해 볼 때입니다.

네오프레스는 서버를 직접 운영하지 않고도 AI로 홈페이지를 만들고 고칠 수 있는 웹 빌더입니다. 보안에 걱정없이 고객과 홈페이지에만 집중하고 싶다면 가볍게 시작해 보세요.

[네오프레스 무료로 시작하기]