PHP 자체 보안 취약점 발견…“인증도 없이 서버 장악”

티오리 “패치가 유일한 근본 조치”…일부 흔적은 24분이면 지워질 수도 PHP 자체 결함으로 인증 없이 서버를 장악할 수 있는 ‘PHP2Shell’ 취약점이 발견돼 공격 코드까지 퍼지고 있다. 이해를 돕기 위한 이미지. 사진=게티이미지코리아 웹사이트 서버 제작에 가장 널리 쓰이는 언어 PHP에서 자체 결함이 발견됐다. 외부인이 인증 없이 서버를 차지할 수 있는 취약점으로, 유출된 자료로 만든 공격 코드도 이미 퍼지고 있다.인공지능(AI) 기반 사이버 보안 기업 티오리(대표 박세준)에 따르면, PHP 개발진은 전날 취약점을 고친 8.2.35, 8.3.36, 8.4.27, 8.5.12 버전을 내놨다.티오리는 해당 취약점인 ‘PHP2Shell’(CVE-2026-109618, CVE-2026-109619)을 직접 재현한 뒤 점검법과 대응법을 정리해 공개했다.PHP는 웹사이트를 만들 때 사용하는 프로그래밍 언어다. 이용자가 사이트에서 글을 읽거나 로그인하면 서버에서 PHP로 짠 프로그램이 이를 처리한다.● 원격으로 서버 장악…위험도 최고 등급 ‘치명적’PHP2Shell은 PHP 자체의 결함으로 발생하는 취약점이다. 웹사이트를 어떻게 만들었는지와 관계없이 공격 대상이 될 수 있다.공격자는 서버에 원하는 명령을 내릴 수 있고, 서버가 처리하던 데이터를 엿볼 수도 있다. 해당 취약점은 위험도 지표 CVSS v4.0에서 9.2점을 받아 가장 높은 ‘치명적’ 등급에 들었다.공격 방법은 PHP 개발진이 취약점을 공개하기도 전부터 새어 나갔다. 유출된 자료는 개념증명(PoC) 시연 영상과 취약점을 고친 실행 파일이다. 개념증명은 공격이 실제로 통하는지 보여주는 시험용 공격 코드다.특히 웹사이트의 구현 방식과 관계없이 취약한 PHP 버전을 쓰면 예외 없이 공격 대상이 된다. PHP 개발진은 “업데이트 말고 완전한 방어책은 없다”고 밝혔다.● 근본 조치는 업데이트뿐티오리는 “패치가 유일한 근본 조치”라고 설명했다. 공개된 결함 이외에도 비슷한 패턴의 변종이 있는 것으로 알려져 원인 자체를 고쳐야 한다는 것이다.티오리는 당장 업데이트가 어려운 곳을 위한 임시 완화 방안도 제시했다. 로그인 상태를 기억하는 세션 기능의 설정 두 가지를 끄는 조치다. 다만 이 조치는 일부 공격 경로만 막고, 사이트에 따라 로그인·장바구니 같은 기능이 작동하지 않을 수 있다.이미 공격을 받았는지도 살펴야 한다. 이번 공격은 웹사이트 프로그램보다 깊은 곳에서 일...