▲ 웹의 70% 지탱하는 PHP의 10년 묵은 결함… 전 세계 웹사이트 셧다운 부른 ‘PHP2Shell’ 대란과 긴급 패치 가이드 / 만인의 탑 만인의 탑 IT·사이버보안 데스크 팩트체크
📌 만인의 탑 핵심 브리핑 · 이 글에서 다루는 핵심 내용
전 세계 웹사이트의 70% 이상을 구동하는 핵심 서버 사이드 프로그래밍 언어 PHP에서 10년 넘게 방치되었던 치명적 제로데이 결함 'PHP2Shell'(CVE-2026-109618, CVE-2026-109619)이 발견되어 전 세계적인 사이버 비상사태가 발발했습니다. 인공지능(AI)이 찾아낸 결함의 메커니즘과 각국 정부·주요 기관의 웹사이트 예방적 셧다운 전말, 긴급 패치 대응 수칙을 심층 보도합니다.
SPONSORED · ADVERTISEMENT
1. 인터넷의 보이지 않는 심장 PHP와 10년간 숨겨진 런타임 제로데이
PHP(PHP Hypertext Preprocessor)는 1994년 라스무스 레도르프(Rasmus Lerdorf)가 처음 개발한 서버 사이드 스크립트 언어로, 사용자의 웹 브라우저가 화면을 띄우기 전 웹 서버 백엔드에서 데이터베이스 조회와 사용자 인증 등 핵심 비즈니스 로직을 처리하는 인터넷의 근간이다. 웹 기술 분석기관 W3Techs의 실측 데이터에 따르면 전 세계 식별 가능한 서버 언어 중 무려 70% 이상이 PHP로 작성되어 있으며, 글로벌 콘텐츠 관리 시스템(CMS)의 절대강자인 워드프레스, 줌라, 드루팔은 물론 위키피디아와 슬랙 등 일상적인 디지털 인프라의 핵심을 관장하고 있다.
문제는 이번에 드러난 'PHP2Shell' 결함이 특정 웹 애플리케이션의 프로그래밍 실수가 아니라, 언어 자체를 해석하고 실행하는 C언어 기반 'PHP 런타임 코어 엔진' 깊숙한 곳에 10년 넘게 잠들어 있었다는 점이다. PHP 5.4 버전부터 최신 8.5 버전에 이르는 10년 이상의 코드베이스 전체가 이 결함의 영향권에 놓여 있었으며, 웹사이트 운영자가 보안 코딩을 아무리 철저히 준수했더라도 기반 엔진 자체의 결함으로 인해 전 세계 수억 개의 웹 서버가 일순간 무방비 상태로 노출되는 사상 초유의 '인터넷 공급망 위기'가 촉발되었다.
▲ 엔터프라이즈 웹 서버 및 고속 광케이블 네트워크 패치 작업 현장 / 만인의 탑
2. 비밀번호 없는 무인증 원격 코드 실행(RCE)… ‘PHP2Shell’의 파괴력
보안 당국이 이번 사태를 최고 수준의 국가 안보 위협으로 간주하는 이유는 취약점의 극단적인 공격 용이성 때문이다. 공식 CVE 번호로 등록된 CVE-2026-109618과 CVE-2026-109619는 PHP 엔진 내부의 메모리 할당 및 메모리 고갈(Out-Of-Memory, OOM) 예외 처리 로직의 설계 결함에서 기인한다. 공격자가 특수하게 조작된 비정상 크기의 HTTP 헤더나 멀티파트 요청을 웹 서버로 전송하면, PHP 엔진이 메모리를 확보하는 과정에서 경계 검사를 실패하여 힙(Heap) 메모리 오버플로우와 메모리 오염을 유발한다.
이 메모리 오염 결함은 즉각 공격자에게 '무인증 원격 코드 실행(Unauthenticated RCE: Remote Code Execution)' 통로를 열어준다. 해커는 관리자 로그인이나 아이디, 비밀번호 없이도 오직 외부 네트워크에서 웹 포트(80 또는 443)로 전송한 패킷만으로 서버의 운영체제 시스템 쉘(Bash/cmd)을 직접 실행할 수 있다. 서버 내 기밀 데이터베이스(DB) 탈취는 물론, 랜섬웨어 감염, 웹사이트 변조, 그리고 해당 서버를 좀비 PC로 활용한 대규모 DDoS 공격까지 모든 악의적 행위를 클릭 몇 번으로 통제할 수 있는 최악의 익스플로잇이다.
구분 항목
취약점 상세 스펙 (PHP2Shell)
전 세계 침해 위협 영향
권고 긴급 보안 조치
취약점 식별자 및 위험도
CVE-2026-109618 / 109619 (CVSS 9.2)
인증 없는 원격 코드 실행(RCE) 허용
최신 보안 릴리스(PHP 8.5.12 등) 즉시 업그레이드
발병 위치 및 기전
PHP 런타임 메모리 관리 및 OOM 예외 처리
10년 이상 방치된 C언어 코어 메모리 오염
구버전(PHP 7.x, 5.x) 격리 및 mod_php 중단
피해 및 영향 범위
전 세계 웹사이트 70% (워드프레스, 위키 등)
글로벌 정부 포털 및 언론사 예방적 셧다운
WAF(웹방화벽) 비정상 대용량 헤더 차단 룰 적용
발견 경로 및 특이점
OpenAI 'Patch the Planet' AI 모델 포착
인간 개발자가 놓친 결함을 AI가 최초 규명
AI 기반 소프트웨어 공급망 보안 감사 도입 확대
SPONSORED · ADVERTISEMENT
3. AI가 최초로 찾아낸 인터넷급 버그와 엠바고 누출로 번진 패닉
이번 사건은 인공지능(AI)이 사이버 안보의 판도를 바꾼 상징적인 분기점으로 기록된다. 결함을 최초로 규명한 것은 오픈AI의 오픈소스 인프라 보안 강화 프로젝트인 '패치 더 플래닛(Patch the Planet)'에 참여한 보안 스타트업 칼리프(Calif)와 클라우드 보안 유니콘 위즈(Wiz) 연구팀이었다. 칼리프는 오픈AI의 차세대 프론티어 AI 모델(GPT-5.6 Sol)을 활용해 수십만 줄에 달하는 복잡한 C언어 런타임 소스코드를 심층 감사(Audit)했고, 수많은 인간 화이트해커와 코드 감수자들이 10년 넘게 간과했던 은밀한 런타임 메모리 취약점을 AI가 전격 포착해냈다.
연구진은 지난 8월 취약점을 발견한 직후 PHP 재단과 클라우드플레어 등과 협력하여 10월 22일을 D-데이로 잡고 비공개 패치를 준비해 왔다. 그러나 공식 발표를 이틀 앞둔 10월 20일, 글로벌 개발자 커뮤니티인 해커뉴스(Hacker News)와 소셜미디어에 취약점의 핵심 개념증명(PoC) 세부 사항이 조기 유출되는 대참사가 터졌다. 전 세계 해커들이 즉각 자동화된 무차별 스캐닝 툴을 가동해 취약한 웹 서버를 사냥하기 시작하면서, 보안 당국과 전 세계 시스템 관리자들의 피 말리는 패치 전쟁이 점화되었다.
유출 직후 미국 국가안보국(NSA), 영국 국립사이버안보센터(NCSC), 유럽연합 사이버안보청(ENISA)은 즉각 최고 수준의 긴급 비상 경보를 타전했다. 패치가 미처 배포되지 않은 상태에서 공격이 쇄도하자, 영국 BBC의 일부 온라인 서비스와 위키피디아의 부속 인프라, 유럽 및 북미 주요 공공기관과 금융 포털들은 시스템 침해를 막기 위해 일시적으로 웹사이트를 오프라인으로 내리는 '선제적 예방 셧다운'을 단행하는 초유의 조치를 취했다.
PHP 재단은 위기 수습을 위해 10월 21일 긴급 보안 패치를 공식 배포했다. 현재 인터넷 서비스 및 서버를 운영하는 모든 기업과 관리자는 반드시 다음 4대 긴급 보안 행동 수칙을 즉시 실행해야 한다. 첫째, 현재 구동 중인 PHP 엔진을 공식 긴급 보안 패치 버전인 'PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35'로 즉각 업그레이드해야 한다. 둘째, 공식 기술 지원이 종료된 구버전(PHP 7.x, 5.x) 운영 서버는 이번 결함의 원천 해결이 불가능하므로 인터넷 외부망 접근을 즉각 차단하고 고립시켜야 한다. 셋째, 클라우드플레어, AWS WAF 등 웹 방화벽에서 비정상 크기의 HTTP 요청 헤더와 OOM 유발 패턴을 강제 차단하는 긴급 가상 패치(Virtual Patch) 룰을 적용해야 한다. 넷째, 아파치(Apache) 웹서버 환경에서 구동 중인 취약한 `mod_php` 모듈을 비활성화하고 전면적인 침해 흔적 조사를 수행해야 한다.
RECOMMENDED STORIES · SPONSORED
▲ Official Press Coverage & Contextual Archive / MANINTOP Global Newsroom
MANINTOP GLOBAL NEWSROOM · ENGLISH EDITION
What is PHP and Why 'PHP2Shell' Sparked a Global Cybersecurity Scramble: AI-Discovered Zero-Day, Worldwide Takedowns, and Emergency Patch Guide
In one of the most critical cybersecurity emergencies in modern internet history, a decade-old zero-day flaw dubbed 'PHP2Shell' has been uncovered within the PHP programming language—the foundational server-side engine powering over 70% of the world's websites, including Wikipedia and 43% of the web running on WordPress. Assigned a critical CVSS score of 9.2, the vulnerabilities (CVE-2026-109618 and CVE-2026-109619) allow unauthenticated remote code execution (RCE), granting malicious adversaries complete server takeover without requiring passwords or application-level bugs. Uncovered by security researchers using OpenAI's frontier AI models under the 'Patch the Planet' program, the flaw remained hidden in C-based runtime code for over ten years. However, when technical details prematurely leaked across social media on October 20, triggering automated in-the-wild exploitation scans, security agencies worldwide issued emergency directives, prompting major European public services, media portals including the BBC, and global organizations to take websites offline in unprecedented precautionary shutdowns.
📌 Key Takeaways
Verified factual reporting regarding What is PHP and Why 'PHP2Shell' Sparked a Glo.
In-depth contextual and institutional analysis by MANINTOP Global Newsroom.
Official implementation schedule and verifiable public guidelines confirmed.
1. PHP as the Internet's Backbone and a Decade-Old Runtime Zero-Day
Originally created in 1994 by Rasmus Lerdorf, PHP (PHP Hypertext Preprocessor) serves as the indispensable server-side backbone of the World Wide Web. Operating silently on web servers, it executes backend logic, communicates with SQL databases, and dynamically renders HTML before pages reach user browsers. Industry measurements from W3Techs reveal that upwards of 70% of websites utilizing server-side languages rely directly on PHP. It forms the architectural core of global Content Management Systems (CMS) including WordPress, Drupal, and Joomla, alongside critical knowledge hubs like Wikipedia and enterprise platforms like Slack.
Critically, 'PHP2Shell' does not reside within individual web application scripts; it is embedded deeply inside the underlying C-based PHP runtime engine itself. Spanning versions from PHP 5.4 through 8.5, the defect remained dormant for over a decade. Regardless of how rigorously developers coded application defenses, the corruption mechanism within the core interpreter exposed hundreds of millions of servers worldwide to instantaneous vulnerability, triggering an unprecedented open-source software supply chain crisis.
2. Unauthenticated Remote Code Execution: The Devastating Mechanics of PHP2Shell
National cybersecurity authorities categorized the threat at the highest tier due to its seamless exploitability. Formally cataloged as CVE-2026-109618 and CVE-2026-109619, the vulnerability stems from fundamental flaws in how the PHP runtime allocates memory and handles Out-Of-Memory (OOM) exceptions. By transmitting crafted, oversize HTTP request headers or malformed multipart data streams to an open web port (80 or 443), an adversary forces the runtime into an unhandled OOM failure condition, culminating in heap corruption and arbitrary memory writes.
This boundary collapse enables direct unauthenticated Remote Code Execution (RCE). An external threat actor requires no user accounts, passwords, or authentication tokens to spawn a command shell (such as /bin/sh or cmd.exe) under web server privileges. Once execution is established, adversaries can exfiltrate confidential databases, deploy ransomware payloads, deface public infrastructure, or recruit the server into global DDoS botnets with trivial operational overhead.
3. AI-Discovered Internet Infrastructure Flaw and the Chaos of Premature Leaks
The identification of PHP2Shell marks a historic turning point in the application of artificial intelligence to defensive cybersecurity. The flaws were uncovered under OpenAI's 'Patch the Planet' initiative by security research firm Calif alongside cloud security leader Wiz. Utilizing OpenAI's frontier model (GPT-5.6 Sol), researchers executed automated deep-semantic audits across hundreds of thousands of lines of legacy C runtime code, isolating subtle memory vulnerabilities that human auditors had overlooked for more than ten years.
While researchers, the PHP Foundation, and Cloudflare coordinated a closed-door remediation window targeted for October 22, the timeline fractured on October 20 when technical proof-of-concept details were leaked on Hacker News. Automated botnets and sophisticated state-sponsored threat groups immediately weaponized the leak, initiating aggressive in-the-wild mass scanning. The coordinated embargo collapsed, forcing developers into a desperate global triage race.
4. Precautionary Global Takedowns and the Emergency Patch Protocol
In response to surging automated exploit traffic, the US National Security Agency (NSA), the UK National Cyber Security Centre (NCSC), and the European Union Agency for Cybersecurity (ENISA) issued emergency advisory directives. Lacking immediate patch deployment windows, major public institutions, media platforms including the BBC, and European governmental portals enacted precautionary offline takedowns, severing public web connectivity to eliminate exposure while engineering teams worked.
The PHP project swiftly released official emergency updates on October 21. Enterprise systems administrators and hosting providers must execute four non-negotiable remediation actions immediately:.
First, update all operational PHP instances to patched releases: PHP 8.5.12, 8.4.27, 8.3.36, or 8.2.35 without delay. Second, isolate and decommission legacy, End-of-Life (EOL) versions (PHP 7.x and 5.x) from public internet routing, as they will receive no upstream vendor patches.
Third, configure Web Application Firewalls (WAF) to enforce strict header size thresholds and inspect incoming payloads for memory allocation exploitation vectors.
Fourth, disable legacy `mod_php` Apache modules in favor of sandboxed PHP-FPM architectures and conduct comprehensive forensic log audits for active exploit artifacts.
Category
Vulnerability Specs (PHP2Shell)
Global Threat & Infrastructure Impact
Recommended Emergency Remediation
Vulnerability identifiers and risk
CVE-2026-109618/109619 (CVSS 9.2)
Allow remote code execution (RCE) without authentication
Instantly upgrade to the latest security releases (PHP 8.5.12, etc.)
Location and mechanism of onset
PHP Runtime Memory Management and OOM Exception Handling
Contaminated C-language core memory left unattended for more than 10 years
Quarantine old version (PHP 7.x, 5.x) and stop mod_php
Damage and scope of impact
70% of the world's websites (WordPress, Wiki, etc.)
Global Government Portal & Press Preventative Shutdown
WAF (web firewall) abnormal large header blocking rules applied
Discovery pathways and singularities
OpenAI 'Patch the Planet' AI Model Capture
AI first identifies flaws missed by human developers
Computer Programmer who love programming.
Computer Programmer Who love Riding Bicycle.
Computer Programmer who love trip in abroad.
Computer Programmer who love studying about programming
- even if sometimes it's very boring.
Computer Programmer who love talking with person.
- I love communication with person.
1월이 시작되면 감기는 이미 우리 곁에 와 있습니다. 2월, 3월, 4월까지 이어지는 추위와 건조함은 코와 목을 가장 먼저 공격합니다. 아침에 일어나자마자 막혀 있는 코. 계속 흐르는 콧물. 괜히 칼칼해지는 목. 이 증상은 “시작”일 뿐입니다. 한 번 무너지면 일주일, 길면 한 달까지 끌고 갑니다. 약을 먹으면 잠깐 괜찮아집니다. 하지만 며칠 뒤 또 반복됩니다. 왜일까요? 감기는 ‘치료’의 문제가 아니라 ‘관리’의 문제이기 때문입니다. 대부분은 감기가 오고 나서 약을 찾습니다. 하지만 진짜 중요한 건 감기가 오기 전에 코와 목을 지키는 것입니다. 건조한 실내 공기, 차가운 바깥 공기, 눈에 보이지 않는 세균. 코와 목은 매일 공격받고 있습니다. 지긋지긋하죠! 그런데도 우리는 아무 준비 없이 버티고 있습니다. 이번 겨울도 그렇게 보낼 건가요? 사실 방법은 어렵지 않습니다. 코를 깨끗하게 관리하고, 목을 따뜻하게 보호하고, 점막을 촉촉하게 유지하고, 기관지를 미리 관리하고, 외부 공기를 차단하는 것. 이 다섯 가지만 꾸준히 해도 감기약 없이 겨울을 보내는 것이 충분히 가능합니다. 🔥 이제부터 그 방법을 하나씩 살펴보겠습니다. 🔥 1. 코와 목을 먼저 관리해야 하는 과학적 이유 감기의 대부분은 코 점막에서 시작됩니다. 국제 학술지 Nature Reviews Microbiology 와 Journal of Allergy and Clinical Immunology 에 실린 호흡기 감염 관련 연구들에서는, 감기 바이러스가 비강 상피세포에 먼저 부착해 증식한다는 점을 설명하고 ...
리모델링사업이 진행 중인 아파트를 매매할 때 “계약금 10%를 언제까지 내야 하느냐”는 질문이 특히 많이 나옵니다. 이주공고(이주 안내)가 7~11월쯤이라고 들으면, 그 시점에 맞춰 계약금도 움직일 것 같아서 더 헷갈리기 쉽습니다. 하지만 실제 납부기한은 ‘이주공고가 언제냐’만으로 자동 결정되지 않는 경우가 많습니다. 1) 계약금 10% 납부기한: 결국 ‘문서에 적힌 일정’이 기준 계약금 10%를 언제까지 납부해야 하는지는, 내가 서명하는 매매계약서(특약 포함) 와 사업주체/조합이 제시한 공고·안내문 에 적힌 납부 일정이 기준이 됩니다. 실제 공고문에서는 분양대금 납부의 큰 틀(계약금→중도금→잔금)을 먼저 안내하고, 상세 일정은 별도 표나 유의사항으로 제시하는 방식이 흔합니다. 또, 계약서 문구에 따라 지급 시점이 조건부로 설정될 수도 있습니다. 예를 들어 한 사례 소개 자료에서는 용역계약서에 잔금(10%) 지급시기가 “사업승인 후”로 기재되어 있었다는 점이 언급됩니다. 이런 식으로 ‘사업 단계’와 지급을 연동하는 문구가 들어가면, 질문의 답은 계약서 문구를 확인해야만 확정됩니다. 관련 내용은 링크 에서 문구 사례를 확인할 수 있습니다. 2) 입주자모집공고에서 확인되는 ‘납부 순서’와 잔금 마감 시점 공고문에 적힌 문구를 보면, 납부 순서와 잔금 마감에 대한 기준이 비교적 명확하게 제시되는 경우가 있습니다. 예를 들어 한 입주자모집공고에는 “분양금액(주택가격)은 계약금, 중도금, 잔금의 순서로 납부”하며 “잔금은 입주(열쇠 수령일) 전에 완납”해야 한다고 안내되어 있습니다. (문구 확인: 링크 ) 이 문구가 의미하는 바는 최소 2가지입니다. 분양/공급 형태의 문서에서는 ‘계약금→중도금→잔금’ 흐름이 공식적으로 안내될 수 있습니다. 잔금은 “입주(열쇠 수령)” 이전에 완납해야 한다는 마감 기준이 문서에 적혀 있을 수 있습니다. 다만, 위 공고문 문구는 잔금 마감에 대한 기준을 보여주지만, 계약금 10%의...
윤석열 전 대통령 탄핵 인용 소식을 접하면, 가장 궁금한 지점은 ‘헌재가 정확히 무엇을 위헌·위법으로 봤는가’입니다. 또한 탄핵과 별개로 진행되는 형사재판(내란 우두머리 혐의 등)이 어디까지 왔는지도 함께 정리할 필요가 있습니다. 아래 내용은 제공된 기사/게시물 스니펫과 링크에서 확인되는 범위만 모아, 일반인이 흐름을 이해하기 쉽게 정리한 것입니다. 1) 탄핵 인용 관련: 스니펫에서 확인되는 ‘판단의 골격’ 제공된 근거 중 조국혁신당 사이트에는 헌법재판소가 윤석열 탄핵 심판에서 “피청구인의 위헌·위법행위는 국민 신임 …”이라는 취지로 판단했다는 문장이 인용돼 있습니다( 링크 ). 이 인용문만 놓고 보면, ‘위헌·위법행위’가 있었는지와 그로 인해 ‘국민의 신임’이 어떻게 평가됐는지가 핵심 축으로 소개됩니다. 다만 질문에서 요청하신 세부 항목, 즉 비상계엄 선포 자체를 문제 삼은 구체적 이유, 계엄 이후 조치(포고령, 국회 통제 등)의 어떤 지점이 헌법 위반인지, 국회의 권한행사 방해 및 정치활동 제약을 어떤 논리로 판단했는지 등은, 이번에 제공된 근거의 제목/스니펫만으로는 조항·사실관계·판단 구조가 그대로 제시돼 있지 않습니다. 따라서 이 글에서는 ‘헌재가 무엇을 문제 삼았다’는 세부 리스트를 단정적으로 재구성하기보다, 현재 확인 가능한 문구 수준의 요약(위헌·위법행위 → 국민 신임의 문제로 평가)까지만 적습니다. 만약 헌재 결정문 전문(주문 및 이유)이 추가로 확인되면, 그때는 문장 단위로 ‘어떤 행위’와 ‘어떤 헌법 원리/조항’이 연결되는지(예: 권력분립, 국회의 권한, 정치적 기본권 등) 구조화해 정리하는 것이 가장 정확합니다. 2) 형사 절차(내란 혐의) 관련: 체포영장과 1심 선고 언급 탄핵 심판과 별도로, 12·3 비상계엄 사태로 내란 혐의를 받는 윤석열 대통령에 대해 2024년 12월 31일 체포 영장이 발부됐다는 BBC 보도가 있습니다( 링크 ). 해당 보도는 ‘현직 대통령’에 대한 체포영장 발부라는 점을 함께 언급합니다. 또...
0 댓글