PHP2Shell 취약점 총정리: AI가 찾은 10년 묵은 구멍, 일본 해킹 사태와 관계는? 일반인이 할 일까지 (2026년 10월)

한눈에 보기

• 무슨 일: 웹사이트를 만드는 언어 PHP에서 로그인 없이 서버를 조종할 수 있는 결함 2건이 나왔고, 10월 21일 수리 버전이 배포됐습니다.
• 왜 큰일: 수리 전에 내용이 새어 나가 공격이 먼저 시작됐습니다. 정부는 10월 22일 사이버 위기경보를 '관심'에서 '주의'로 올렸습니다.
• AI 이야기: 보안회사 연구원들이 AI 도구로 10년 넘게 숨어 있던 결함을 찾았습니다.
• 일본 이야기: 9~10월 일본의 개인정보 유출 연쇄와 이번 결함 사이에 확인된 연결은 없습니다. 이번 주 일본 서비스 중단은 해킹 피해가 아니라 예방 차단입니다.
• 나는: 폰·PC를 고칠 일은 없습니다. 오래된 사이트와 같은 비밀번호를 쓰는 중요한 계정만 정리하면 됩니다.

1. 기본 배경: PHP가 뭔가

PHP는 웹사이트가 돌아가게 하는 프로그램 언어입니다. 식당에 비유하면 손님(방문자)은 보지 못하는 주방입니다. 주문(클릭)을 받아 화면을 만들어 내놓는 곳이죠.

쓰는 곳이 매우 많습니다. 웹 기술 조사업체 W3Techs에 따르면 서버 언어를 알 수 있는 웹사이트의 69.3%가 PHP를 씁니다(2026년 10월). 쇼핑몰, 커뮤니티, 워드프레스 블로그, 관공서 홈페이지가 대표적입니다.

PHP는 버전마다 '수리 기한'이 정해져 있습니다. 지금 공식 수리를 받는 버전은 8.2부터 8.5까지이고, 8.1 이하는 이미 기한이 끝났습니다.

2. 무엇이 문제였나

주방 뒷문 잠금장치에 결함이 있었던 셈입니다. 열쇠(로그인) 없이도 밖에서 특정한 방식으로 두드리면 문이 열리고, 들어온 사람은 서버에서 명령을 마음대로 실행할 수 있습니다. 그래서 서버 명령창을 뜻하는 'Shell'을 붙여 PHP2Shell이라고 부릅니다.

결함은 2건입니다. 하나는 메모리가 부족할 때 정리 과정이 꼬이는 문제(CVE-2026-109618), 다른 하나는 이미 비운 메모리를 다음 요청이 다시 쓰는 문제(CVE-2026-109619)입니다. 위험도는 둘 다 10점 만점에 9.2점, '치명적' 등급입니다.

특정 사이트의 실수가 아니라 PHP 자체의 결함이라, PHP로 웹 요청을 처리하는 설치 전부가 대상입니다.

3. AI가 발견했다는 건 무슨 뜻인가

AI가 혼자 찾은 것은 아닙니다. 미국 보안회사 위즈(Wiz)의 연구원 4명이 AI 도구(구글 Gemini, 오픈AI GPT 계열 모델 등)를 함께 써서 찾았습니다. 위즈는 이 중 Gemini 모델의 기여가 특히 컸다고 밝혔습니다.

위즈가 공개한 경과를 날짜순으로 보면, 착한 쪽이 먼저 찾아 몰래 고치는 과정이 두 달 걸렸다는 것을 확인할 수 있습니다.

날짜	일어난 일
8월 19일	처음 발견
8월 20~21일	워드프레스·드루팔 사이트에서 실제로 뚫리는 것 확인
8월 24일	PHP 보안팀에 비공개로 알림
9월 21일	PHP 쪽 수리 작업 시작
10월 21일	수리 버전 배포와 함께 공개

눈여겨볼 점은 두 가지입니다. 결함은 PHP 5.4 이후 지난 10년간의 버전에 걸쳐 있었고, 그동안 사람의 점검으로는 드러나지 않았습니다. 위즈는 정상급 전문가 팀이 몇 달 걸렸을 일을 AI와 함께 약 1주일 만에 해냈다고 설명합니다.

4. 그래서 어떤 일이 일어났나

원래 순서는 '몰래 수리 → 수리 버전과 함께 공개'입니다. 이번에는 그 순서가 무너졌습니다.

• 10월 17일: 아마존 보안팀이 공개 나흘 전에 이 결함을 노린 공격 시도를 포착했습니다.
• 10월 20일: 정해진 공개일보다 먼저 결함의 존재가 알려졌습니다.
• 10월 21일: PHP 개발팀이 수리 버전(8.5.12 / 8.4.27 / 8.3.36 / 8.2.35)을 배포했습니다. 같은 날 일본 다카이치 총리는 X에 "곧바로 적용하기 어렵다면 사이트 기능을 잠시 멈추는 것도 방법"이라고 썼습니다.
• 10월 22일: 과학기술정보통신부가 사이버 위기경보를 '주의'로 올렸습니다.

공개 직후 공격이 얼마나 빨리 늘었는지, 또 각국이 어떻게 대응했는지 보도를 정리하면 다음과 같습니다.

구분	내용
공격 시도	클라우드플레어 CEO: 공개 전 수천 건 → 공개 45분 뒤 수만 건 → 2시간 안에 수백만 건
일본	재무성·기상청·국세청, 노무라·미쓰비시UFJ·ANA·JR동일본이 일부 인터넷 서비스를 일시 중단
유럽	독일·프랑스·네덜란드·핀란드·체코 정부 사이트, 영국 BBC 등이 일시 중단
국내	안랩 추정 취약 호스트 약 11만 건, 카페24·가비아·네이버클라우드 등이 패치 적용·공지

사이트를 닫은 곳들은 대부분 '예방 조치'라고 밝혔습니다. 핀란드와 벨기에는 자국 사이트에서 공격 시도를 찾지 못했다고 했습니다. 문이 깨졌다는 뜻이 아니라, 고치는 동안 문을 잠가 둔 것입니다.

5. 요즘 일본 해킹 사태와 관련 있나

요즘 일본 뉴스에는 두 가지가 섞여 나옵니다. 9~10월 내내 이어진 개인정보 유출과 이번 주의 서비스 중단입니다. 겉보기엔 한 사건 같지만 성격이 다릅니다.

두 사건을 나란히 놓으면 '털린 곳'과 '미리 닫은 곳'이 구분됩니다.

	9~10월 유출 연쇄	이번 주 서비스 중단
무슨 일	실제로 침입당해 회원 정보가 빠져나감	PHP 결함을 막으려고 스스로 닫음
시기	결함 공개(10월 20~21일) 이전부터	10월 21~22일
PHP2Shell과의 관계	공개된 자료로는 연결이 확인되지 않음	직접 관계(방어)

그렇다고 일본 유출 사태가 AI와 무관한 것은 아닙니다. 일본 보안회사 GMO 사이버시큐리티는 10월 19일, 일본 기업을 노린 공격 서버에서 중국에서 만든 AI 침투 도구 '아르텍스(ARTEX)'를 확인했다고 발표했습니다. 이 서버의 표적은 일본 기업 약 20곳이었고, 그중 8곳이 9~10월에 정보 유출을 공표한 기업이었습니다. 같은 성격의 AI 공격 서버도 6대 더 찾았습니다.

아르텍스는 원래 보안 점검용으로 공개된 무료 도구입니다. 클로드·GPT·딥시크 같은 AI를 팀원처럼 묶어 쓰는데, 이달 초에는 국내 금융사 해킹에서도 악용 정황이 보도됐습니다. 개발자는 "개발 의도와 정반대"라며 업데이트를 멈췄습니다.

일본의 사고 건수도 늘었습니다. 보안회사 트렌드마이크로 집계로 2026년 1~9월 일본에서 공표된 보안 사고는 607건으로, 2025년 한 해(594건)를 이미 넘었습니다. 침입 경로는 부정 접근이 54.5%, 취약점 악용이 30.6%였습니다.

6. 뉴스 제목만 봐서는 모르는 핵심

1. 일반인의 폰·PC는 직접 해당이 없습니다. PHP는 사이트 운영자의 서버에 있습니다. 앱이나 PC 업데이트로 해결되는 문제가 아닙니다.
2. 진짜 위험은 예전에 가입했던 사이트입니다. 관리가 끊긴 오래된 쇼핑몰이나 동호회 사이트가 뚫리면 거기 저장된 내 정보가 샙니다.
3. 이번에는 수리보다 공격이 먼저였습니다. 정부가 경보를 올리고 각국이 사이트를 닫은 이유가 이것입니다.
4. 업데이트만으로 끝나지 않습니다. 정부는 업데이트 뒤 반드시 웹 서비스를 재시작해야 적용된다고 강조했습니다. 이미 뚫린 곳은 침입자가 심어 둔 뒷문(웹셸)도 찾아야 합니다.
5. 수리를 못 받는 사이트가 있습니다. 8.1 이하 옛 버전은 공식 수리 대상이 아닙니다. 이런 사이트는 지원 버전으로 옮겨야 합니다.

7. 앞으로 어떻게 되나

당분간은 공격 시도가 이어질 가능성이 큽니다. 공격 방법이 이미 퍼졌고, 고치지 않은 서버가 남아 있기 때문입니다. 핀란드 정부 IT센터는 업데이트 뒤 시험까지 거쳐야 해 복구에 며칠에서 몇 주가 걸릴 수 있다고 했습니다.

그리고 수리 기한이 곧 끝나는 버전이 있습니다. PHP 공식 지원표에서 버전별 보안 수리 종료일을 확인할 수 있습니다.

버전	이번 수리 버전	보안 수리 종료
8.5	8.5.12	2029년 12월 31일
8.4	8.4.27	2028년 12월 31일
8.3	8.3.36	2027년 12월 31일
8.2	8.2.35	2026년 12월 31일
8.1 이하	없음	이미 종료

8.2는 지금 고쳐도 두 달 뒤면 수리가 끊깁니다. 운영자라면 이번 기회에 8.4 이상으로 옮기는 편이 다음 사태를 줄이는 길입니다.

더 큰 흐름은 'AI 대 AI'입니다. 이번 결함은 AI로 찾았고, 일본 유출 연쇄에는 AI 침투 도구가 쓰였습니다. 구멍을 찾는 속도와 공격하는 속도가 함께 빨라지고 있다는 뜻입니다. 일본 정부도 AI로 사이버 공격을 모의하는 팀을 만든다고 보도됐습니다.

8. 누가 무엇을 하면 되나

내 상황에 맞는 줄만 보면 됩니다.

나는	할 일
일반 이용자	오래된 사이트와 같은 비밀번호를 쓰는 메일·은행·포털 계정 비밀번호 바꾸기, '유출 안내'를 사칭한 문자·메일의 링크 누르지 않기
호스팅으로 쇼핑몰·블로그 운영	호스팅 업체 공지에서 패치 완료 확인, 쓰는 PHP 버전이 8.1 이하면 변경
서버 직접 운영	수리 버전으로 올린 뒤 재시작, 이상 접속·웹셸 점검, 침해 의심 시 KISA(02-405-4700) 신고

일반 이용자에게 필요한 것은 비밀번호 정리 하나입니다. 사이트 쪽 수리는 운영자의 몫입니다.

정리

1. PHP2Shell은 PHP 자체의 결함 2건으로, 로그인 없이 서버를 조종할 수 있는 치명적 등급입니다.
2. 보안회사 연구원들이 AI 도구로 찾아 두 달간 비공개로 고쳤지만, 공개 직전 새어 나가 공격이 먼저 시작됐습니다.
3. 이번 주 일본·유럽의 서비스 중단은 해킹 피해가 아니라 예방 차단입니다.
4. 일본의 9~10월 유출 연쇄와 PHP2Shell의 연결은 확인되지 않았고, 대신 AI 침투 도구 아르텍스가 확인됐습니다.
5. 일반인은 비밀번호 정리, 운영자는 수리 버전과 재시작, 8.2 이하는 업그레이드가 할 일입니다.

출처

• PHP 공식 공지(2026년 10월 21일): https://www.php.net/
• PHP 지원 버전표: https://www.php.net/supported-versions.php
• 과학기술정보통신부 정책뉴스: https://www.korea.kr/news/policyNewsView.do?newsId=148974113
• Wiz Research, PHP2Shell: https://www.wiz.io/blog/php2shell-php-rce
• W3Techs, PHP 사용 통계(2026년 10월): https://w3techs.com/technologies/details/pl-php
• Help Net Security(2026년 10월 21일): https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/
• Korea Times(로이터, 2026년 10월 23일): https://www.koreatimes.co.kr/world/20261023/govts-companies-take-websites-offline-over-php-flaws
• Kathmandu Post(로이터, 2026년 10월 23일): https://kathmandupost.com/world/2026/10/23/hacking-attempts-surge-as-firms-race-to-patch-php-flaws
• nippon.com(지지통신), 다카이치 총리 경고: https://www.nippon.com/en/news/yjj2026102101249/
• 중앙이코노미뉴스(2026년 10월 23일): https://www.joongangenews.com/news/articleView.html?idxno=557629
• ScanNetSecurity, GMO 사이버시큐리티 ARTEX 확인(2026년 10월 21일): https://scan.netsecurity.ne.jp/article/2026/10/21/56522.html
• 시사저널, 국내 금융사 해킹과 ARTEX: https://www.sisajournal.com/news/articleView.html?idxno=389362
• ITmedia, 일본 보안 사고 9개월 607건(2026년 10월 21일): https://www.itmedia.co.jp/enterprise/articles/2610/21/news022.html