수요일, 수십 년 된 오픈소스 웹 기술인 PHP가 인터넷을 거의 망가뜨릴 뻔했다. 연구자들이 최근에야 익스플로잇 방법을 알아내기 전까지 수년간 잠복해 있던 두 가지 취약점 때문이었다. 이 버그는 PHP2Shell로 불리며, 공식적으로 CVE-2026-109618과 CVE-2026-109619로 지정되었다. 간단히 말해, 이 버그는 익스플로잇 방법을 아는 사람이라면 누구나 웹사이트나 인터넷에 노출된 서버처럼 PHP로 실행되는 온라인 시스템에 비밀번호 없이 침입하여 데이터에 접근하거나 수정할 수 있게 해준다. 상황이 상당히 컸던 만큼, 전 세계 수백만 명이 악의적인 해커들이 악용하기 전에 시스템을 패치하느라 분주히 움직여야 했다.

PHP 웹 소프트웨어를 유지 관리하는 PHP 재단은 수요일에 버그를 수정하는 패치를 공개했으며, 이를 설치하면 웹에 노출된 서버가 공격받는 것을 방지할 수 있다. 재단은 이미 PHP에 의존하는 일부 대형 인터넷 기업과 웹 호스트에게 패치 작업을 미리 시작할 수 있도록 사전 정보를 제공했다. 수 주간의 비공개 논의와 업계 전반의 신중한 조율 덕분에, 세계는 지금까지는 대규모 인터넷 익스플로잇을 광범위하게 피할 수 있었다. 수요일부터 각국 정부는 시민과 웹사이트를 운영하는 기업에게 자체적으로 위험을 완화하기 위한 조치를 취하라고 촉구하기 시작했다. 다양한 산업 분야에서 시스템을 패치하기 위해 웹사이트를 폐쇄하고 서비스를 오프라인으로 전환했다. 은행, 소매업체, 게임 사이트, 온라인 상점, 병원, 일부 정부 기관이 공격을 방지하기 위해 서버를 내렸다. 그러나 보안 연구원들은 상황이 아직 끝나지 않았으며, 전 세계의 많은 시스템이 여전히 패치되지 않아 해킹과 데이터 도난에 취약하다고 경고한다. 또한 이것이 마지막 대규모 인터넷 소프트웨어 공포가 될 가능성은 낮으며, 일부는 AI의 등장으로 아직 발견되지 않은 취약점들이 빠르게 드러나 발견되고 악용되기를 기다리고 있을 것으로 예상한다.

캘리포니아의 보안 연구원들은 인터넷과 인트라넷 및 내부 사이트처럼 기업 네트워크에 로컬로 호스팅되는 웹사이트와 웹 앱을 구축하는 데 전 세계적으로 널리 사용되는 프로그래밍 언어인 PHP에서 두 가지 버그를 발견했다. PHP는 오픈소스이므로 무료이며 거의 모든 이유로 누구나 사용할 수 있다. 따라서 오늘날 웹에서 가장 인기 있고 널리 사용되는 웹 프로그래밍 언어 중 하나가 되었다. 두 버그는 2024년에 처음 발견되었지만 당시에는 익스플로잇 가능한 것으로 간주되지 않아 패치되지 않았다. 보안 연구원들은 최근에 이를 익스플로잇하는 방법을 찾아냈고, 소프트웨어 제작자에게 수정을 요청하는 경고를 보냈다. 캘리포니아는 PHP 재단에 알렸고, 재단은 버그 수정과 조율된 공개 기간을 시작했다. 재단은 보안 문제에 대한 정보와 패치를 엄격히 통제된 엠바고(특정 기한까지 비밀로 유지) 하에 제공하여 대기업이 수정 사항을 설치하는 데 앞서 나갈 기회를 주었다.

PHP2Shell은 피해자가 링크를 클릭하거나 파일을 열 필요 없이 인터넷을 통해 원격으로 악용될 수 있기 때문에 상당히 심각하다. 이는 원격 코드 실행으로 알려져 있으며, 전 세계 어디에 있는 해커라도 영향을 받은 패치되지 않은 시스템을 사실상 완전히 제어할 수 있게 해주기 때문에 익스플로잇하기에 더 피해가 큰 종류의 버그 중 하나이다. 더 나쁜 것은, 이 특정 PHP 버그들은 인터넷을 통해 비밀번호나 다른 자격 증명 없이도 인터넷상의 패치되지 않은 모든 시스템에 침입할 수 있게 해준다는 점이다. 이는 인증되지 않은 접근으로 알려져 있다. 이로 인해 악의적인 해커는 컴퓨터에 악성 코드를 심어 데이터를 훔치거나 나중에 다시 돌아올 수 있는 장기적인 발판을 유지할 수 있다.

이 버그들은 PHP가 무료이고 비교적 사용하기 쉬울 뿐만 아니라 수십 년 동안 존재해 왔기 때문에 특히 위험하다. 웹에 노출된 인터넷의 약 70%가 PHP에 의존하고 있지만, 그 사용량은 수년에 걸쳐 새로운