클라우드플레어, PHP 결함 공격 시도 수백만 건 관측

클라우드플레어($NET)가 PHP 엔진의 원격 코드 실행 취약점 2건을 노린 공격 시도를 수백만 건 관측했다. 다만 PHP 재단은 원격 코드 실행에 성공한 사례는 파악하지 못했다고 밝혔다. PHP 개발팀은 21일(현지시간) 두 취약점을 고친 보안 업데이트를 공개했다. 본지가 앞서 전한 패치·기관 권고 이후 새로 나온 것은 클라우드플레어의 공격 관측 규모와 PHP 재단의 성공 사례 부재 설명이다.

PHP 개발팀은 공식 보안 공지에서 CVE-2026-109618과 CVE-2026-109619의 심각도를 CVSS 9.2로 평가하고, 웹 요청을 처리하는 PHP 설치 환경에 즉시 업데이트를 권고했다. 패치가 공개되자 유럽과 영국의 보안 기관은 바로 적용하지 못하는 서버를 공용망에서 분리하거나 내리라고 권고했다.

수정 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35다. PHP 8.1 이하 버전은 정기 보안 업데이트 지원이 종료됐다. 다만 PHP 개발팀은 이번 취약점에 대해 PHP 8.1·8.0·7.4용 제한적 소스 백포트를 제공했으며, 배포판이나 장기지원 업체의 수정 패키지도 확인해야 한다. PHP 개발팀은 일부 리눅스 배포판과 장기지원 업체가 수정 사항을 별도로 제공할 수 있다며 해당 업체에 확인하라고 안내했다.

위즈(Wiz) 보안 연구팀은 PHP 엔진의 메모리 처리 결함을 악용하면 인증 없이 서버에서 코드를 실행하거나 프로세스 메모리의 민감 정보를 노출할 수 있다고 밝혔다. 연구팀은 워드프레스, 드루팔, 줌라 환경에서 원격 코드 실행을 시연했다. 결함이 각 서비스 자체의 코드가 아니라 PHP 엔진에 있어 특정 콘텐츠관리시스템에만 국한되지 않는다.

영향 범위는 넓다. 위키피디아의 기반 소프트웨어인 미디어위키를 비롯해 워드프레스와 드루팔 등 PHP를 쓰는 플랫폼이 널리 퍼져 있다. 위즈는 PHP가 전체 웹사이트의 약 70%에서 쓰인다고 추산했다. 다만 이는 위즈의 집계로, 모든 사이트가 같은 방식으로 노출됐다는 뜻은 아니다.

공격 시도는 패치 공개 전부터 관측됐다. 아마존($AMZN) 위협 인텔리전스는 자사 미끼 시스템에서 10월 17일 PHP2Shell 공격 시도를 확인했다고 밝혔다. 매튜 프린스(Matthew Prince) 클라우드플레어 CEO는 X에서 "공개 발표 전 10시간 동안 자사 네트워크에서 공격 시도가 수천 건 관측됐다"고 말했다. 공개 후 2시간 동안에는 수십만 건으로 늘었고, 이후 수백만 건에 이르렀다는 설명도 덧붙였다.

이 수치는 시도 건수이며, 침해에 성공한 건수와는 별개다. 엘리자베스 배런(Elizabeth Barron) PHP 재단 사무총장은 더버지(The Verge)에 "현재까지 원격 코드 실행에 성공한 시도는 파악하지 못했다"고 말했다. 공격 시도가 많이 관측됐더라도 실제 침해 여부는 서비스별로 따로 따져야 한다는 뜻이다.

구형 서비스의 패치 가능성도 걸림돌이다. 더버지는 오래된 기술을 업데이트할 수 없다는 이유로 일본 모바일 게임 두 개가 서비스를 종료한다고 전했다. PHP 개발팀은 패치가 어려운 시스템을 위한 임시 완화책이 완전한 해결책은 아니며 업데이트만이 완전한 조치라고 밝혔다.

국내에서도 PHP로 만든 웹 서비스를 운영하는 곳은 점검 대상이다. 호스팅 업체를 쓰는 운영자는 업체에 업데이트 적용 여부를 물어야 한다.

위즈는 취약점 발견과 익스플로잇(공격 코드) 개발 과정에 AI 모델이 기여했다고 밝혔다. 다만 AI가 취약점을 단독으로 찾았거나 공격을 수행했다고 볼 근거는 공개된 자료에 없다. 서비스 운영자는 실제 구동 중인 PHP 버전과 공급업체의 보안 업데이트 적용 여부부터 확인해야 한다.