PHP2Shell 취약점으로 로그인 없이 웹서버 장악 가능, 미 CISA·NSA·FBI가 즉시 패치하고 못 하면 서버를 끄라고 경보했다
워싱턴
웹사이트와 웹 애플리케이션 서버에 널리 쓰이는 프로그래밍 언어 PHP에서 로그인 없이 서버 안에서 명령을 실행할 수 있는 치명적 취약점 2건이 발견됐고, 미국 사이버보안·인프라보안국(CISA)과 국가안보국(NSA), 연방수사국(FBI)이 잇따라 즉시 패치를 촉구했다. 세 기관은 10월 21일부터 23일까지(미국 시간) 취약점 번호 CVE-2026-109618과 CVE-2026-109619를 각각 경보와 보도자료, 공익 공지(PSA)로 알렸다. 즉시 갱신이 어려운 조직은 해당 시스템을 오프라인으로 돌리라는 권고도 같았다.
CISA는 'php2shell' 취약점이 인증 없는 원격 코드 실행을 허용한다고 밝혔다
CISA는 10월 21일 경보에서 두 취약점이 "php2shell"로 불리며 PHP에서 인증 없는 원격 코드 실행을 허용한다고 밝혔다. 영향을 받는 것은 웹 요청을 처리하는 모든 PHP 설치다. CISA는 아파치(Apache)와 mod_php 조합, PHP-FPM, php-cgi, FrankenPHP, LiteSpeed를 예로 들었다. 이 가운데 mod_php 조합은 PHP 측이 최고 위험으로 분류했다고 CISA는 덧붙였다.
패치 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35다. CISA는 조직들이 이 버전으로 즉시 갱신해야 한다고 밝혔다. 다만 CISA는 경보 게시 시점까지 이 취약점이 실제 공격에 성공한 사례는 관측하지 못했다고 밝혔다. CISA 사이버 계정은 같은 날 X에 두 취약점 번호를 적고 조직들이 즉시 패치해야 한다고 알렸다.
🚨 Organizations should immediately patch critical PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619. These vulnerabilities enable unauthenticated #RCE and affect PHP installations serving web requests. Learn more: 🔗 https://t.co/8vu6SvNzfB pic.twitter.com/LUWik7aQcG
— CISA Cyber (@CISACyber) 2026년 10월 21일
CISA는 이 경보를 10월 23일 갱신했다. 의심스러운 활동을 찾는 시그마(SIGMA) 탐지 규칙을 추가하고 파트너 기관 자료를 반영했다. 파트너 자료에는 영국 국가사이버보안센터, 호주 신호국 산하 호주 사이버보안센터, 뉴질랜드 국가사이버보안센터, 캐나다 사이버보안센터, 네덜란드 국가사이버보안센터의 안내가 들어 있다.
같은 날 NSA도 별도 보도자료로 경보를 냈다.
NSA는 사이버 행위자들이 이 취약점을 무기화할 가능성이 높다고 경고했다
NSA는 10월 21일 보도자료에서 PHP 개발 쪽이 이날(수요일) 오픈소스 패치를 내놨다고 밝혔다. NSA는 PHP('PHP: Hypertext Preprocessor'의 약칭)가 대부분의 주요 운영체제에서 작동하고 웹서버에서 직접 실행되며 HTML에 넣어 동적 웹 페이지를 만드는 데 쓰인다고 밝혔다. NSA는 그만큼 널리 쓰여 이 결함이 악용에 알맞은 환경을 만들 수 있다고 밝혔다. NSA는 이 취약점 묶음에 "PHP2Shell"이라는 별칭을 붙이고, 악의적 사이버 행위자 가운데 이를 악용하려는 세력을 식별하는 일을 우선순위에 두고 있다고 밝혔다.
NSA는 공격자가 사전 접근이나 인증 없이 영향받는 웹서버를 장악할 수 있다고 밝혔다. NSA는 이 경로로 민감한 데이터를 훔치거나 서비스를 방해하거나 네트워크 깊숙이 이동할 수 있다고 덧붙였다. NSA는 이 취약점이 호스팅된 애플리케이션이나 설정이 아니라 PHP 자체의 결함이며, 영향받는 PHP 버전을 쓰는 서버는 공격에 노출된다고 밝혔다.
미국 국가안보를 책임지는 NSA는 "사이버 행위자들이 PHP2Shell 취약점을 무기화할 가능성이 높다"고 밝혔다. 위험이 심각해 미국 연방 정부 부처와 기관 전체에서 즉시 패치가 필요하다고도 했다. NSA는 앞으로 몇 주간 PHP에 의존하는 인터넷 노출 장비와 서비스를 경계하고, 로깅을 강화하며, 패치가 호환되지 않는 지원 종료(EOL) PHP 서비스를 교체하라고 권고했다. NSA의 사이버보안 계정도 같은 날 X에 이 경보를 올렸다.
Effective Immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities. PHP is widely used for web applications. These vulnerabilities often provide a direct path to the server's file system or…
— NSA Cyber (@NSACyber) 2026년 10월 21일
NSA는 이 게시글에서 이 취약점들이 서버의 파일 시스템이나 데이터베이스로 가는 직접 경로를 자주 제공한다고 밝혔다. 즉시 갱신이 어렵다면 시스템을 오프라인으로 돌릴 것을 권고했고, 곧 구체적인 지침을 내겠다고 예고했다.
NSA는 다른 소프트웨어 업체들도 패치가 준비되는 대로 내놓을 수 있다며 업데이트를 면밀히 지켜보라고 했고, 최신 완화 지침은 PHP 개발 측 보안 공지 페이지에서 볼 수 있다고 밝혔다. NSA는 정보공동체와 CISA 등 전문가들과 협력해 정부와 국가안보 시스템의 취약점을 찾아 해결하겠다고 밝혔다.
CISA는 PHP를 쓰는 시스템부터 전수 파악하라고 요구했다
CISA는 먼저 조직 안에서 PHP가 돌아가는 모든 시스템을 파악하라고 요구했다. PHP는 다른 소프트웨어 안에 들어 있는 경우가 많아 겉으로 드러나지 않을 수 있다고 CISA는 밝혔다. CISA는 이어 인터넷에 노출된 시스템부터 즉시 패치하라고 했다. 즉시 갱신하지 못하거나 지원이 끝난 PHP 8.1 이하를 계속 쓰는 조직은 PHP 기반 시스템을 패치나 갱신이 끝날 때까지 오프라인으로 돌려야 한다.
CISA는 PHP 개발 측의 공식 보안 공지를 읽고 패치 지침을 확인하라고 당부했다. 웹 애플리케이션 방화벽은 시스템을 갱신하기 전까지 일부 보호를 제공할 수 있다고 CISA는 밝혔다. CISA는 PHP 작업 프로세스가 셸을 실행하거나 도구를 내려받는 의심스러운 활동을 감시하라고 권고했다.
FBI는 10월 23일 공익 공지 I-102326-PSA를 냈다. 10월 21일 FBI의 소셜미디어 게시에 이은 후속 공지다. FBI는 PHP가 웹사이트와 웹 애플리케이션을 움직이는 널리 쓰이는 프로그래밍 언어이며, 두 취약점이 악의적 사이버 행위자가 PHP 핵심에서 원격으로 코드를 실행하게 해 민감한 데이터와 네트워크를 위험에 빠뜨릴 수 있다고 밝혔다. FBI 사이버수사국은 10월 21일 X에 이 소식을 올렸다.
Two critical vulnerabilities have been identified in PHP, a widely used programming language that powers websites and web applications. These vulnerabilities (CVE-2026-109618 and CVE-2026-109619) could allow malicious cyber actors to remotely execute code in PHP core, potentially… pic.twitter.com/tnwiQv5v0F
— FBI Cyber Division (@FBICyberDiv) 2026년 10월 21일
FBI는 보안 업데이트가 이미 나와 있으며 즉시 적용해야 한다고 밝혔다. PHP가 들어 있는 곳을 파악할 때는 인터넷에 노출된 시스템과 PHP를 번들로 포함한 업체 제품을 우선하고, 웹서버에서 PHP 프로세스가 예기치 않게 명령 셸을 실행하거나 파일을 내려받는지 감시하라고 FBI는 요구했다. FBI는 최신 정보는 PHP 개발 측 공지와 유럽연합 CERT-EU 보안 권고 2026-018, CISA의 악용 확인 취약점(KEV) 목록에서 볼 수 있다고 밝혔다. FBI는 기업과 웹사이트 운영자에게 자사 시스템이 영향을 받는지 확인하라고 요구했다. 침해 징후를 발견하면 영향받은 시스템을 격리하고 웹서버와 PHP 로그를 보존한 뒤 가까운 FBI 지부나 ic3.gov에 신고해 달라고 당부했다. FBI는 이 신고가 수사기관이 배후 세력을 식별하고 다른 조직이 피해를 보기 전에 경고하는 데 쓰인다고 밝혔다.
출처 (KST)
- 미국 CISA, "Critical Vulnerabilities in PHP Require Immediate Patching"(2026년 10월 21일 게시, 10월 23일 갱신): https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
- 미국 국가안보국(NSA), "NSA Advisory: Critical Patches Recommended for PHP Vulnerabilities"(2026년 10월 21일): https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-critical-patches-recommended-for-php-vulnerabilities/
- 미국 연방수사국(FBI), "Critical Vulnerability Alert: PHP Core"(공익 공지 I-102326-PSA, 2026년 10월 23일): https://www.fbi.gov/investigate/cyber/alerts/2026/critical-vulnerability-alert-php-core
- CISA 사이버 계정 X 게시글: https://x.com/CISACyber/status/2112947079458717969
- NSA 사이버보안 계정 X 게시글: https://x.com/NSACyber/status/2112903220209098897
- FBI 사이버수사국 X 게시글: https://x.com/FBICyberDiv/status/2112921648252719420