PHP2Shell 취약점 공격 현실화, 방화벽 25대 침해에 국내 추정 11만 건 점검 체크리스트
웹사이트를 만들 때 널리 쓰는 프로그래밍 언어 PHP에서 "PHP2Shell"이라는 보안 구멍이 발견됐고, 이를 노린 공격이 실제로 일어났다는 보도가 나왔어요.
10월 30일 서울신문 보도에 따르면 한국·미국·일본·대만의 방화벽 240대가 공격 대상이 됐고 그중 25대가 침해됐어요. 날짜별 흐름과 서버 관리자가 확인할 점을 정리했어요.
PHP2Shell 사건 한눈에 보기
날짜별로 보는 흐름
| 날짜 | 일어난 일 |
|---|---|
| 10월 21일 | PHP 개발진이 PHP2Shell 취약점 2건(CVE-2026-109618, CVE-2026-109619)을 확인하고 수정 버전을 긴급 배포 |
| 10월 21~28일 | 공격 시도 72,343건, 출발지 IP 659개 관측 (델프트공대 델프트 위협 인텔리전스 연구소) |
| 10월 22일 | 정부가 관련 기업에 보안 조치 안내 |
| 10월 23~24일 | 해커가 방화벽 240대를 골라 공격, 24대에서 최고 관리자 권한 확보 |
| 침해 규모 | 미국 정부 관련 기관 방화벽 2대와 내부 중앙 관리 서버 1대를 포함해 총 25대 |
쉬운 용어 풀이
- 취약점: 프로그램에 생긴 보안상의 빈틈
- 원격 코드 실행: 멀리서 서버에 명령을 내릴 수 있는 위험
- 방화벽: 외부 침입을 막아 주는 보안 장비
- 패치: 빈틈을 고친 수정 프로그램
PHP2Shell은 인증 없이 서버에서 명령을 실행할 수 있는 결함으로 알려졌어요.
국내 상황과 업체별 대응
국내 추정 규모
보안업체 안랩의 인터넷 자산 검색 기준으로 취약한 PHP가 설치된 것으로 추정되는 국내 호스트는 약 11만 건이고, 전 세계에서 6번째로 많은 수준이에요.
이 수치는 패치가 나오기 전 기준 추정치여서 실제와 차이가 있을 수 있어요.
업체별 대응
| 업체 | 발표된 대응 |
|---|---|
| 카페24 | 패치 적용 후 고객 공지 |
| 가비아 | 웹호스팅 PHP 패치, 지원 종료 버전은 백포트 패치나 완화 조치 적용 |
| 네이버클라우드 | 세 번째 보안 패치 적용 중, 고객에게 업데이트 권고 |
| NHN클라우드 | 내부에서 PHP를 쓰지 않으며 전체 시스템 점검 중 |
| KT클라우드 | 침해 사실 없음, 모니터링 중 |
| 에버스핀 | 웹 보안 게이트웨이에 차단 규칙 적용 |
위 대응은 10월 22일 보도 기준이에요.
AI로 취약점을 찾는 시대
서울신문은 AI를 활용한 취약점 탐지가 늘고 있다며, 오픈AI가 5월 이후 1,300여 개의 버그를 찾았고 구글이 6월 크롬에서 1,072개의 버그를 수정했다고 전했어요.
서버 관리자 점검 체크리스트
아래는 보도에 나온 권고를 바탕으로 정리한 확인 순서예요. 구체적인 패치 버전 번호는 보도에 나오지 않아서 확인되지 않았어요.
1단계~3단계 순서
- 1단계: 내가 쓰는 서버·호스팅의 PHP 버전을 확인하기
- 2단계: 보안 패치를 서둘러 적용하기 (호스팅 업체가 대신 해 주는지도 확인)
- 3단계: 패치 전이라면 임시 완화책과 점검 스크립트로 설정 상태와 침해 여부 확인하기 (보안업체 티오리 강조)
노출 여부 확인과 아직 모르는 것
한 보안업체가 사이트 주소(URL)로 노출 여부를 확인하는 무료 서비스를 제공한다고 보도됐어요.
- 민감 정보가 얼마나 유출됐는지는 확인되지 않음
- 추가 침해가 있었는지는 확인되지 않음
- 관리자 권한을 빼앗긴 장비 중 국내 장비가 있는지는 확인되지 않음
정리하면
PHP2Shell은 인증 없이 서버를 장악할 수 있는 취약점이고, 10월 21일 수정 버전이 나왔어요. 이후 방화벽 240대가 공격 대상이 돼 25대가 침해된 것으로 보도됐어요.
PHP를 쓰는 서버나 홈페이지를 운영한다면 버전 확인과 패치 적용을 먼저 챙기세요. 최신 보안 안내는 PHP 공식 사이트에서 확인할 수 있어요.
