---
title: "인터넷 70%를 떠받치는 PHP, 패치보다 나흘 먼저 뚫렸다"
author: "VibeTimes"
published: "2026-10-24T00:05:40.336Z"
section: "technology"
tags: ["PHP2Shell", "PHP", "취약점", "사이버보안", "오픈소스", "KISA", "원격코드실행", "제로데이"]
language: "ko"
url: "https://vibetimes.co.kr/news/cmvln17wum4zsjxq90tlxj2pr"
---

# 인터넷 70%를 떠받치는 PHP, 패치보다 나흘 먼저 뚫렸다

세계 웹사이트의 약 70%가 올라가 있는 프로그래밍 언어 PHP에 인증 없이 서버를 장악하는 구멍이 두 개 드러났다. 문제는 구멍의 크기만이 아니다. 패치가 공개되기 나흘 전부터 공격자가 이미 문을 두드렸다는 것이 아마존(AWS) 센서 기록으로 확인됐다. 인터넷의 기초를 값 매기지 않고 가져다 쓰는 동안, 그 기초의 안전은 허술해졌다.

## 패치보다 나흘 빠른 손길

이번 취약점은 'PHP2Shell'로 불리는 두 건(CVE-2026-109618, CVE-2026-109619)으로 CVSS 9.2점, 로그인 절차 없이 서버에서 임의 코드를 실행하는 치명적 등급이다. PHP는 10월 20일 패치를 예고하고 다음 나 8.5.12·8.4.27·8.3.36·8.2.35 버전을 긴급 배포했다. 그런데 AWS의 '매드팟(MadPot)' 센서는 공개 나흘 전부터 이 취약점을 노린 침투 시도를 포착했다. 클라우드플레어도 공개 9시간 전부터 공격을 차단하기 시작했다. 즉 제로데이가 이미 돌았고, 책임 있는 공개 절차는 사실상 파산했다는 뜻이다.

시점(KST 기준 대략)

사건

10/17~18

공개 전 악용 시도 시작(AWS 매드팟 포착)

10/21 14:00(UTC)

긴급 패치 4종 동시 배포

공개 직후 수 시간

시도 수천 건 → 수백만 건 급증(클라우드플레어 집계)

10/23

패치 못 버전 상 대상 미패치 RCE 추가 경고

## 수백만 번의 두드림, 아직 확정 침해는 없다

클라우드플레어 매튜 프린스(Matthew Prince) CEO는 공개 직후 시도가 수천 건에서 수백만 건으로 불어났다고 밝혔다. 가디언과 로이터도 전 세계 수백만 건의 시도를 보도했고, 공격자들은 이 구멍으로 미라이(Mirai) 봇넷 악성코드를 심으려 했다. 다만 세큐리티어페어스는 10월 23일 기준 성공한 침해 사례는 확인되지 않았다고 정리했다. 일부 정부·기관 사이트는 아예 서버를 내리는 선제 대응을 택했다. 공격이 실패한 게 아니라, 막는 쪽이 속도를 이긴 첫 국면일 뿐이다.

## 한국은 '주의' 발령, 그러나 지도는 안개다

국내에서도 인터넷진흥원(KISA)이 즉시 업데이트를 권고했고 과기정통부는 사이버위기 경보를 '주의'로 올렸다. 이해민 대통령실 AI수석은 상황을 매우 심각하게 보고 대응 중이라고 밝혔다. KISA 추산 국내 PHP 설치 자산은 약 11만 건이고 정부는 기업 3만 곳에 조치를 요청했다. 그러나 데일리시큐 보도에서 한준호 의원이 지적했듯 공공기관의 실제 패치 현황 파악조차 미흡하다. 11만 개 문 중 몇 개를 잠갔는지 모른다면 경보는 절반짜리다.

## 구멍을 찾은 것도 AI였다

이 취약점은 위즈(Wiz)의 AI 보안 연구로 발견됐다. 포춘은 "인터넷의 70%를 쓰러뜨릴 수 있는 취약점을 AI가 찾았다"고 보도했다. 여기에 반론을 세워두자. AI가 취약점을 찾는 속도가 빨라지면 패치 창업도 그만큼 짧아진다는 낙관도 가능하다. 실제 이번 사태에서 클라우드플레어는 무료 방화벽 규칙을 전 플랜에 즉시 풀었다. 다만 공격자 쪽 AI가 패치 대상 코드를 분석하는 속도도 빨라졌다. 로그4셸(Log4Shell)과 비교되는 이번 사태는 방어 진영이 근소하게 앞선 한 판이었을 뿐, 구조적 우위를 뜻하지 않는다.

## 공짜 기반의 값은 따로 청구된다

PHP를 비롯한 오픈소스 기반은 인터넷의 가장 저렴한 인프라이면서 가장 얇은 인력으로 유지된다. 핵심 유지보수는 소수 기여자가 맡고, 그 위에 수천만 사이트가 얹혀 있다. 이번 일이 보여준 것은 규제를 더하는 문제가 아니라 패치 책임과 속도에 대한 인센티브 설계 문제다. 개인 서버 운영자든 공공기관이든, 버전을 물어보고 답하지 못하는 조직은 다음 판의 표적이다. 인터넷 70%의 운명은 결국 가장 늦게 패치하는 운영자의 손에 달려 있다.

* * *

_분석 근거: Reuters, The Guardian, The Register, Cloudflare 공식 블로그, Fortune, Security Affairs, 연합뉴스, 서울파이낸스, 지디넷코리아, 데일리시큐. 공개 데이터·보도에 근거한 분석입니다._