PHP2Shell 취약점 완전 정리 : 인증 없이 서버를 장악하는 치명적 결함, 국내 11만 대 서버가 위험하다
2026년 10월 21일, 전 세계 웹 서버의 약 70%가 사용하는 PHP 언어에서 ‘PHP2Shell’이라는 이름의 치명적 보안 취약점이 공식 공개됐다. CVE-2026-109618과 CVE-2026-109619 두 건으로, 둘 다 CVSS 9.2점(Critical)을 받았다. 가장 무서운 점은 공격자가 로그인이나 어떤 인증 절차도 거치지 않고, 단순히 조작된 HTTP 요청만 보내면 서버에서 원하는 명령을 실행할 수 있다는 것이다. 이 취약점은 PHP 코어 자체에 존재하기 때문에 워드프레스, 그누보드, 라이믹스, 쇼핑몰, 기업 홈페이지 등 PHP로 만든 거의 모든 웹사이트가 영향을 받는다. 애플리케이션 코드가 아무리 안전하게 작성돼 있어도 PHP 버전이 취약하면 소용이 없다. 국내 상황 : 안랩 추산 취약 서버 약 11만 건 안랩이 인터넷 자산 검색 서비스를 통해 조사한 결과, 패치 배포 전 기준으로 국내에서 취약한 PHP 버전이 설치된 서버가 약 11만 건으로 집계됐다. 전 세계 6위에 해당하는 규모다. 특히 오랜 기간 운영된 중소 쇼핑몰, 학교·공공기관 홈페이지, 개인 블로그 등에서 업데이트가 제때 이뤄지지 않은 사례가 많다. 더 우려되는 점은 패치가 공식 배포되기 전부터 공격 시도가 관측됐다는 사실이다. 아마존 등 해외 보안 업체들은 10월 17일부터 이미 관련 공격 시도가 있었다고 보고했다. 국내에서는 아직 대규모 침해 피해가 공식 확인되지 않았지만, 보안업계는 “실제 피해가 확인되지 않았다는 것은 아직 발견되지 않았을 뿐”이라며 즉각적인 점검을 촉구하고 있다. 주요 호스팅·클라우드 업체의 긴급 대응 카페24 : PHP 보안 패치를 적용하고 고객사에 조치 사항을 공지했다. “원격 코드 실행으로 이어질 수 있는 심각한 취약점”이라고 평가했다. 가비아 : 22일 새벽부터 패치 작업을 시작해 취약 버전 전반에 대한 보안 조치를 완료했다. 지원 종료 버전에는 백포트 패치와 완화 조치를 적용했다. 네이버클라우드 : 3차 보안 패치를 적용 중이며 고객에게 ...