취약점 드러낸 PHP '2차 피해 경고'…개발자들, 방어보다 공격코드 더 뒤졌다
깃허브 관련 저장소 100개 분석
이용자 관심 85% 공격코드 집중
검증 안된 방어도구 새 보안 위협
안랩 "공식 패치 우선 적용해야"
전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP의 중대 보안 취약점이 공개되자 이를 악용할 수 있는 공격 코드가 빠르게 확산하고 있다. 관련 소스코드가 공유된 깃허브에서는 이용자 관심도의 85%가 공격 관련 저장소에 집중된 것으로 나타났다. 보안업계는 공격 코드 뿐 아니라 안전성이 검증되지 않은 방어 도구도 새로운 보안 위협이 될 수 있다며 주의를 당부했다.
26일 보안업계에 따르면 안랩이 지난 22일 소스코드 공유 플랫폼 깃허브에서 'php2shell'을 검색해 관련도가 높은 순서로 노출된 상위 저장소 100개를 분석한 결과, 96개가 PHP 취약점이 공개된 지난 21일 생성된 것으로 나타났다. 100개 중 99개는 최근 공개된 PHP 취약점 2건(CVE-2026-109618·CVE-2026-109619)과 관련된 내용을 담고 있었다. 깃허브 저장소는 개발자들이 프로그램 코드와 관련 파일 등을 보관·관리하는 공간이다.
100개 중 방어 관련 저장소는 46개로 공격 관련 저장소(36개)보다 많았지만, 이용자들의 관심은 공격 관련 저장소에 쏠렸다. 깃허브에서 관심도를 나타내는 '스타' 1394개 중 1178개가 공격 관련 저장소에 집중됐다. 특히 공격 가능성을 검증하는 개념증명(PoC)·익스플로잇 저장소 27개에 1158개가 몰린 반면, 방어 관련 저장소가 받은 스타는 148개에 그쳤다.
실제로 안랩은 공개된 PoC 코드를 참고한 재현 테스트를 통해 PHP 취약점 2건(CVE-2026-109618·CVE-2026-109619)과 관련한 원격 명령 실행 가능성을 국내 보안업체로서는 유일하게 확인했다. 테스트에서는 공격 대상 서버가 공격자 PC에 연결돼 웹 서비스 계정 권한으로 명령을 실행할 수 있다는 점을 검증했다.
전문가들은 공식 보안 패치 적용과 서버 접근 제한 등 추가 보안 조치가 필요하다고 강조한다. 안랩 관계자는 "우선적으로 취해야 할 조치는 PHP를 수정 버전으로 업데이트하는 것"이라며 "패치 적용이 어려운 경우에는 인터넷으로부터의 직접 접근을 제한하고 외부 노출을 최소화하는 조치를 고려해야 한다"고 말했다.
최혜림 기자
