PHP 서버 장악 결함 2건 긴급 패치…웹사이트 3분의 1은 못 받았다

TokenPost · 2026. 10. 22. 오후 6:45:17

웹사이트 서버 언어 PHP에서 인증 없이 외부에서 코드를 실행할 수 있는 결함 2건이 발견돼 21일(현지시간) 긴급 패치가 나왔다. PHP는 전 세계 웹사이트의 최대 70%가 쓰는 언어지만, 공식 수정 버전이 PHP 8.2 이상에만 제공돼 웹사이트의 3분의 1 이상이 아직 패치를 받지 못한 상태다. 두 결함은 CVE-2026-109618과 CVE-2026-109619로, 묶어서 PHP2Shell로 불린다. 공격자는 로그인 없이 웹 서버에서 코드를 실행하고, 사용자 브라우저에 비정상 출력을 내보낼 수 있다. 웹사이트 자체 코드가 실행되기 전에도 공격이 가능하다. PHP는 브라우저가 아니라 서버에서 돌아가며, 그 결과물인 HTML 등을 브라우저에 보내는 백엔드 언어다. 수정... 더보기