PHP 취약점 2건, 인증 없이 서버 장악 가능…텐센트 클라우드 점검 권고

인증 절차 없이 원격에서 서버를 완전히 장악할 수 있는 PHP 취약점 2건이 공개되면서 텐센트 클라우드(Tencent Cloud)가 자체 점검과 업데이트를 권고했다.

텐센트 클라우드 보안센터는 21일 위험 공지에서 PHP의 원격 코드 실행 취약점이 공개된 것을 탐지했다고 밝혔다. 취약점 번호는 CVE-2026-109618과 CVE-2026-109619, 코드명은 'php2shell'이다. 보안센터는 인증을 거치지 않은 원격 공격자가 특수하게 만든 'multipart POST' 요청을 보내면 메모리 손상이 일어나고, 이어 원격 코드 실행으로 이어져 서버 전체를 장악당할 수 있다고 설명했다.

multipart POST는 파일 업로드나 양식 제출 때 웹 서버로 데이터를 보내는 방식이다. 웹 서비스가 일상적으로 받는 형태의 요청이 공격 경로가 될 수 있다는 의미다. 보안센터는 업무에 영향이 없도록 이용자가 서둘러 자체 점검을 하고, 영향 범위에 해당하면 곧바로 업데이트와 수정을 진행해 외부 공격자의 침입을 막으라고 권고했다.

텐센트 클라우드의 공지는 PHP 개발진의 패치 공개와 같은 날 나왔다. PHP 개발진은 심각도 9.2점(10점 만점)의 치명적 취약점 2건을 고치는 보안 패치를 21일(현지시간) 공개했다. 개발진은 하루 전인 20일 보안 권고문으로 심각도를 먼저 알렸다. PHP 개발진이 공개한 이 패치에 대해 유럽과 영국의 보안 기관은 즉시 적용하지 못하는 서버를 공용망에서 분리하거나 내리라고 권고했다.

영향 범위를 둘러싼 진단은 넓다. 보안업체 watchTowr는 PHP 5 이후 모든 버전이 영향을 받을 수 있다고 밝혔다. 워드프레스 보안 플러그인 업체 Wordfence는 PHP 서버에서 돌아가는 모든 워드프레스 사이트가 취약하다고 경고했다. 블룸버그는 이 고위험 취약점이 공개 전에 이미 해커에게 악용됐으며 전 세계 2,260만 개 이상의 인스턴스가 노출됐다고 보도했다.

원격 코드 실행(RCE)은 공격자가 외부에서 서버에 임의의 코드를 실행하는 유형이다. 웹사이트 변조나 데이터 유출로 이어질 수 있다. 결함이 PHP 자체에 있어 개별 이용자 단말이 아니라 서비스를 운영하는 서버가 공격 대상이 된다는 점도 특징이다.

클라우드 사업자들도 움직였다. 구글($GOOGL)은 21일 구글 클라우드가 지원하는 모든 PHP 버전의 서버리스 기반 이미지를 갱신해 배포하고 있다고 밝혔다. 구글은 클라우드 자체에는 취약점이 없지만 클라우드에서 PHP를 구동하는 이용자는 위험에 노출될 수 있다고 설명했다. 구글은 이용자에게 PHP 8.2 이상으로 업그레이드하고 패치된 버전으로 서비스를 다시 배포하라고 권고했다.

오픈AI(OpenAI)는 이번 사안을 근래 가장 중대한 보안 사고 중 하나로 평가했다. 영향이 심각하고 PHP 애플리케이션이 널리 쓰인다는 이유에서다. 오픈AI는 사이버 방어 인력 지원에 10억달러(약 1조3260억원)를 투입하겠다고 밝혔고, 프런티어 AI 모델이 이 취약점을 공격자보다 먼저 찾아냈다고 설명했다.

가상자산 업계의 거래소, 지갑, 데이터 사이트 등 웹 서비스 상당수는 서버단 기술에 의존한다. PHP로 서비스를 운영하는 국내 사업자도 점검 대상이 될 수 있다. 텐센트 클라우드의 공지에는 특정 가상자산 서비스에 대한 언급이 없다.

운영자는 서비스에 쓰는 PHP 버전을 확인해 패치가 적용된 버전으로 올린 뒤 다시 배포해야 한다. 패치를 바로 적용하기 어려운 서버는 유럽·영국 보안 기관의 권고처럼 공용망에서 분리하는 방안이 제시됐다.