PHP 치명적 보안 취약점 발견, 긴급 업데이트 배포

비밀번호 없이 서버를 장악할 수 있는 PHP 취약점 'PHP2Shell'이 발견돼 전 세계 사이버 보안에 비상이 걸렸다. 위험도는 CVSS 4.0 기준 10점 만점에 9.2점으로 가장 높은 치명 등급에 해당한다. PHP 개발진은 2026년 10월 21일 한국시간 밤 11시 2건의 보안 취약점을 해결하는 긴급 업데이트를 배포한다.

외부 공격자가 로그인 없이 원격으로 서버에 침투해 악성 코드를 실행할 수 있는 결함이다. 이를 악용하면 고객 데이터가 유출되거나 홈페이지 화면이 변조될 수 있다. 쇼핑몰과 워드프레스 등에 널리 쓰이는 PHP 특성상 피해 규모가 커질 수 있어 각국 보안 당국도 대응에 나섰다. EU 컴퓨터긴급대응팀(CERT-EU)은 업데이트 즉시 적용과 조치가 어려우면 웹사이트 접속 일시 차단을 검토하라고 권고했다.

국내 보안 전문가들은 방치된 구형 PHP 사이트와 외주 제작 쇼핑몰에 대한 점검을 당부했다. 업데이트 적용만으로는 해커가 심어둔 원격 조종 파일(웹셸)을 제거할 수 없어 서버의 이상 징후를 별도로 살펴봐야 한다는 조언이 나왔다.