PHP 패닉: 치명적 버그로 인터넷 70% 위험, 전 세계가 발칵 뒤집혔다

요약

• PHP는 인증되지 않은 원격 코드 실행을 허용하며 10점 만점에 9.2점으로 평가된 두 가지 결함인 CVE-2026-109618 및 CVE-2026-109619를 수정하기 위해 10월 21일에 8.5.12, 8.4.27, 8.3.36 및 8.2.35 버전을 출시했습니다.
• 핀란드, 네덜란드, 프랑스는 세부 정보가 조기에 유출되고 Cloudflare가 수정 패치 배포 몇 시간 전 공격을 보고함에 따라 예방 조치로 정부 웹사이트를 오프라인으로 전환했습니다.
• 일반 사용자는 설치할 것이 없습니다. 수정은 웹사이트 소유자와 호스팅 회사의 몫이며, PHP 8.1 이하 버전은 공식 릴리스가 제공되지 않습니다.

오늘 온라인에 접속해 보셨다면 치명적인 취약점이 지구상의 거의 모든 웹사이트를 "장악(pwn)"하겠다고 위협하고 있다는 공포를 보셨을 것입니다.

핀란드는 수요일에 정부 웹사이트의 연결을 해제하기 시작했고, NSA는 PHP를 사용하는 모든 조직에 사이트 폐쇄를 권고하고 있으며, 네덜란드와 프랑스도 같은 조치를 취했습니다. 그리고 아니요, 이것은 사이버 전쟁이 아니었습니다.

범인은 대부분의 사람들이 들어본 적도 없는 프로그래밍 언어인 PHP였습니다. 하지만 당신은 오늘 분명히 그것을 사용했을 것입니다. W3Techs에 따르면 서버 측 언어가 알려진 모든 웹사이트의 약 70%가 PHP로 구동됩니다.

PHP는 웹사이트의 서버(사이트를 저장하고 사용자가 요청하는 각 페이지를 구축하는 컴퓨터)의 막후에서 작동하는 소프트웨어입니다. 예를 들어, WordPress 보안 업체인 Wordfence에 따르면 모든 WordPress 사이트는 PHP 서버에서 작동합니다.

아, 참고로 Wordfence도 현재 다운된 상태입니다.

PHP 자체에서 새로 발견된 두 가지 버그를 통해 낯선 사람이 로그인하지 않고도 해당 서버에서 자신의 명령을 실행할 수 있습니다. 보안 전문가들은 이를 인증되지 않은 원격 코드 실행(unauthenticated remote code execution)이라고 부릅니다. 다른 사람들은 이를 "이제 누군가 다른 사람이 운전하고 있는 상황"이라고 부를 수 있습니다.

해당 서버에 귀하의 계정, 주소 또는 주문 내역이 저장되어 있다면 그것 또한 그들의 것이 됩니다. 웹 호스팅 업체 GoDaddy는 이 결함으로 인해 공격자가 데이터를 훔치거나, 사이트를 변조하거나, 서버를 완전히 장악할 수 있다고 경고했습니다.

“이와 같은 결함은 공격자가 인터넷을 통해 영향을 받는 서버에서 자신의 코드를 실행할 수 있게 하여 데이터 도난, 사이트 변조 또는 완전한 장악으로 이어질 수 있습니다”라고 Godaddy는 말합니다.