전 세계 웹사이트 70% 비상… PHP 치명적 보안 구멍 터져 긴급 방어 나선 클라우드플레어

요약 전 세계 웹사이트의 약 70%가 사용하는 PHP 런타임에서 치명적인 보안 취약점이 발견되었습니다. 'php2shell'로 명명된 이번 취약점(CVE-2026-109618, CVE-2026-109619)은 Calif.io, Wiz, OpenAI, Quarkslab 등에 의해 공개되었으며, PHP 5.4 이상을 구동하는 모든 웹 서버에 영향을 미칩니다. 공격자가 정교하게 조작된 HTTP 트래픽을 전송할 경우 서비스 거부(DoS), 민감 데이터 유출은 물론 원격 코드 실행(RCE)까지 가능해 워드프레스나 마젠토 같은 대형 웹 플랫폼 전반에 큰 위협이 될 수 있습니다. 해당 취약점은 PHP가 HTTP 요청 처리 중 메모리 부족 등으로 예기치 않게 중단될 때 메모리를 안전하게 정리하지 못하는 구조적 결함에서 비롯됩니다. 첫 번째 취약점(CVE-2026-109618)은 메모리 부족으로 초기화가 덜 된 내부 데이터를 요청 정리 과정에서 유효한 데이터처럼 참조하는 문제이며, 두 번째(CVE-2026-109619)는 치명적 에러 발생 후 해제된 메모리 참조를 다음 요청 처리 시 접근하게 되는 문제입니다. 이는 PHP 런타임 자체의 결함이기 때문에 웹사이트 코드나 플러그인 업데이트만으로는 해결되지 않으며, 서버 관리자가 PHP 자체 보안 패치를 적용해야 합니다. 클라우드플레어(Cloudflare)는 공식 취약점 공개 약 9시간 전부터 PHP 재단, OpenAI, Wiz 등과 협력해 대응책을 마련했습니다. 특히 공식 발표 전에 취약점 정보가 유출되어 실제 고객들을 겨냥한 공격 트래픽이 감지되기도 했습니다. 이에 클라우드플레어는 요청과 응답을 결합해 분석하는 신규 WAF 기능인 '풀 트랜잭션 탐지(Full transaction detection)'를 신속히 도입해 무료 및 유료 플랜 사용자 전원에게 자동 차단 룰을 배포했습니다. 다만 WAF는 임시 방어선일 뿐이므로 모든 서버 관리자는 신속히 공식 PHP 보안 업데이트를 적용해야 합니다.