2026년 10월 21일, PHP 개발팀은 전 세계 동적 웹사이트의 80%를 지탱하는 핵심 코드에서 심각도 9.2에 달하는 치명적인 취약점을 해결하기 위해 긴급 보안 업데이트를 발표했습니다. 그러나 공식 발표가 나오기 6시간 전부터 이미 전 세계 서버를 겨냥한 악의적인 스캔이 시작되었습니다. 배포 파트너사가 컨테이너 이미지를 조기 공개하면서 비공개 패치 내역이 전 세계에 그대로 노출되었기 때문입니다.
컨테이너 벤더의 6시간 조기 배포, 무력화된 책임 있는 취약점 공개
책임 있는 취약점 공개(CVD)는 현대 사이버 보안의 핵심 원칙입니다. 참여사들이 사전에 약속된 시점에 맞춰 정보를 동시에 공개해야 방어자가 공격에 앞서 패치를 마칠 수 있습니다. 단 한 곳이라도 일정을 어기고 조기 배포를 감행하면 방어에 필요한 시간적 여유는 순식간에 사라집니다. 다년간 유지되어 온 비밀 유지의 약속이 결정적인 순간에 무너지고 말았습니다.
공식 기록에 따르면 컨테이너 벤더인 체인가드(Chainguard)는 공식 공개 시점보다 무려 6시간 앞선 10월 21일 07:41 UTC에 새 컨테이너 이미지를 등록했습니다. 공개 저장소에서는 누구나 자유롭게 이미지를 내려받을 수 있습니다. 공격자들은 기존 이미지와 신규 이미지 간 차이점을 비교 분석하여 불과 10분 만에 취약점 수정 위치를 정확히 파악했습니다.
현대 클라우드 네이티브 환경에서 컨테이너 이미지는 누구나 접근 가능한 공개 산출물입니다. 보안 연구원이나 공격자는 자동화 도구를 사용해 몇 분 만에 소스 코드 변경 사항을 추출할 수 있습니다. 고도로 자동화된 빌드 파이프라인이 기밀 보안 패치를 공격 지침서로 바꾸어 버린 것입니다. 하류 배포사의 빠른 출시 경쟁이 상류 오픈소스 프로젝트의 조율된 일정을 완전히 망가뜨렸습니다.
다수의 보안 기업이 집계한 관측 데이터는 이러한 조기 배포의 후폭풍을 명확히 보여줍니다. 이미지 등록 후 2시간 만에 클라우드플레어(Cloudflare) 네트워크에서 전 세계 공용 IP를 향한 정찰 트래픽이 폭증했습니다. 이어 보안 기업 워치타워(watchTowr)가 실제 침투 공격 시도를 포착했으며, 몇 시간 지나지 않아 해커 커뮤니티에 공개 공격 도구가 등장했습니다. 방어자가 안내 이메일을 열어보기도 전에 공격자들은 이미 실전 무기를 손에 쥐고 있었습니다.
그림: Datadog Security Labs가 공개한 php2shell 취약점 연구 그래픽. 출처: Datadog Security Labs.
취약점이 확인된 버전은 PHP 8.2, 8.3, 8.4, 8.5 등 네 개 주요 브랜치에 걸쳐 있습니다. 공식 긴급 패치 버전은 8.2.35, 8.3.36, 8.4.27, 8.5.12로 배포되었습니다. 보안 기관들이 사후에 보안 권고 번호를 부여했으나, 이미 공격 코드는 인터넷에 널리 퍼진 상태였습니다. 기존의 전통적인 공지 절차로는 자동화 파이프라인의 정보 유출 속도를 따라잡을 수 없었습니다.
12년간 방치된 레거시 코드, 메모리 보호 기능이 원격 실행 뒷문으로 변질
이번 사태를 일으킨 결함은 치명적인 파괴력을 지니고 있습니다. 해당 취약점들은 각각 CVE-2026-109618 및 CVE-2026-109619로 지정되었으며, CVSS 점수는 9.2에 달합니다. 공격자는 별도의 인증 절차 없이 정교하게 조작된 HTTP 요청을 전송하는 것만으로 백엔드 프로세스의 제어권을 탈취할 수 있습니다. 데이터독(Datadog) 보안 연구소는 이 공격 연쇄를 “php2shell”로 명명했습니다.
문제가 된 코드 경로는 2012년에 출시된 PHP 5.4.0 버전까지 거슬러 올라갑니다. 지난 12년 동안 엔진은 물리 메모리 고갈을 방지하는 안전장치로 메모리 제한(memory_limit) 정책에 의존해 왔습니다. 실행 중인 스크립트가 허용된 메모리 용량을 초과하면 엔진이 강제로 동작을 중단하고 생성된 객체들을 정리합니다.
PHP 코어는 젠드 엔진(Zend Engine)의 메모리 관리자를 통해 메모리를 할당합니다. 정상적인 환경에서는 개별 웹 요청이 격리된 메모리 풀 내에서 실행되며, 요청 처리가 완료되면 리소스를 한꺼번에 회수하여 다음 연결을 처리합니다. 그러나 메모리 초과로 인한 비정상 중단 과정에서 예외적으로 호출된 소멸자 함수가 메모리 블록의 수명 주기 관리를 무너뜨렸습니다.
이러한 자체 보호 장치가 결과적으로 원격 코드 실행을 허용하는 치명적인 취약점으로 작용했습니다. 특정 실행 단계에서 메모리 고갈이 발생할 경우, 정리 루틴이 초기화되지 않은 전역 포인터를 메모리에 남겨두게 됩니다. 공격자가 특정 바이트 크기의 페이로드를 전송하여 메모리 초과를 유도하면, 허위 포인터를 악용해 프로세스의 실행 흐름을 가로챌 수 있습니다. 이 공격 과정은 기존의 침입 탐지 필터를 손쉽게 우회할 정도로 은밀하게 동작합니다.
그림: CVE-2026-109618의 단계별 악용 과정. 메모리 초과 정리 결함을 악용해 원격 코드 실행에 이르는 메커니즘을 보여줍니다. 출처: Datadog Security Labs.
피해 가능 범위는 현대 웹 생태계 전반을 망라합니다. 전 세계 웹사이트의 40% 이상을 구동하는 워드프레스(WordPress)를 비롯해 주요 전자상거래 프레임워크가 직접적인 영향권에 들었습니다. 클라우드 기업 AWS는 긴급 보안 공지 2026-143-aws를 발표하고 고객들에게 인스턴스 점검을 강력히 권고했습니다. 기반 인프라가 흔들리며 전 세계 시스템 관리자들은 사전 경고도 없이 사이버 공격의 위험에 직면했습니다.
세 가지 엔지니어링 딜레마에 갇혀 수개월간 지연된 공식 패치
의아하게도 핵심 개발팀은 이미 수개월 전에 해당 취약점의 존재를 전달받았습니다. 보안 전문 기업 쿽스랩(Quarkslab)이 2024년 말 코드 점검 과정에서 결함을 발견하여 보고했던 것입니다. PHP 재단은 패치 배포가 늦어진 점에 대해 뼈아픈 엔지니어링 실패였음을 공개적으로 인정했습니다. 결정을 가로막은 것은 상충하는 세 가지 기술적 접근 방식이었습니다.
30년간 축적된 방대한 런타임 환경에서 메모리 관리 방식을 수정하는 것은 대단히 위험한 작업이었습니다. 첫 번째 수정안은 수많은 네이티브 C 확장 모듈의 하위 호환성을 깨뜨릴 위험이 있었습니다. 두 번째 대안인 비정상 프로세스 즉각 종료 방식은 적은 트래픽으로도 전체 서비스를 마비시킬 수 있는 심각한 서비스 거부(DoS) 취약점을 야기했습니다.
세 번째 대안은 전 세계 서드파티 C 확장 모듈 전체를 다시 컴파일하도록 요구해야 했습니다. 수억 개의 웹사이트가 안정적으로 운영되어야 하는 환경에서, 어떠한 선택도 대규모 혼란을 피하기 어려웠습니다. 장기간 이어진 기술적 조율과 대립 끝에 결정이 지연되었고, 치명적인 결함은 수개월 동안 비공개 저장소에 방치되었습니다.
비밀유지협약을 앞지른 자동화 빌드, 무너져 내린 하류 방어망
복잡한 기술적 현실 속에서 패치의 원활한 확산을 위해서는 여러 업체 간의 협력이 필수적이었습니다. 다양한 버전의 안정적인 전환을 돕기 위해 코어 팀은 사전 공유 대상 파트너사들에게 패치 코드를 미리 전달했습니다. 그러나 클라우드 네이티브 시대의 자동화 시스템은 사람이 맺은 법적 비밀유지협약(NDA)을 인지하지 못합니다.
최근 컨테이너 벤더들은 취약점의 초고속 패치를 핵심 경쟁력으로 내세우고 있습니다. 상류 비공개 브랜치에 코드가 등록되자마자 자동화된 빌드 파이프라인이 이를 감지하고 빌드를 시작했습니다. 시스템은 사전에 설정된 배포 규정을 기계적으로 수행하며 사람 간의 조율 일정을 건너뛰었습니다. 이미지가 공개 레지스트리에 배포되는 순간, 비밀에 부쳐졌던 취약점 패치 내역은 전 세계에 공개된 코드로 전환되었습니다.
이 사고는 오픈소스 거버넌스와 상업적 자동화 사이의 구조적 간극을 적나라하게 보여주었습니다. 오픈소스 유지관리자가 신뢰와 상호 조율에 의존하는 반면, 하류 벤더들은 배포 권한을 자동화 스크립트에 넘겨주었습니다. 코드가 상업용 유통망에 진입하는 순간, 사람이 유출의 카운트다운을 멈추기는 불가능에 가깝습니다.
그림: 런타임 보안 방어 시스템이 포착한 취약점 공격 경로 분석 그래프. 출처: Datadog Security Labs.
조기 패치 성과만을 앞세우는 상업 플랫폼의 평가 지표는 인터넷 전반의 방어 깊이를 약화시킵니다. 프로세스 자동화가 상호 안전 조율을 압도할 때, 발 빠른 배포로 얻는 명성의 이면에는 전체 방어 생태계가 짊어져야 할 위험이 도사리고 있습니다. 앞서 나간 기업은 기술적 민첩성이라는 찬사를 얻었지만, 그에 따른 피해는 전 세계 방어자들이 떠안게 되었습니다.
인공지능을 통한 레거시 검증으로도 해결하지 못하는 유통망의 구조적 한계
유지보수 부담이 가중되자 PHP 재단은 거버넌스 개혁에 박차를 가하고 있습니다. 재단은 2026년 생태계 보안 전담팀을 신설하고 전임 보안 전문가를 영입하여 오랜 기술 부채를 해결하기 시작했습니다. 외부 기관과 협력하여 고도화된 인공지능 모델을 도입하고 수백만 줄의 레거시 C 코드를 점검하고 있습니다. 인공지능 도구는 인간 개발자가 수년간 찾아내지 못한 포인터 오류를 불과 몇 시간 만에 식별해 냅니다.
개발 역량의 한계를 보완하기 위해 전담 보안 인력을 확충하고 첨단 대형 언어 모델을 통해 과거 코드를 면밀히 검토하고 있습니다. 자동화 도구는 메모리 경계 초과나 허위 포인터를 찾아내는 데 뛰어난 성능을 보입니다. 하지만 알고리즘이 코드 점검 속도를 끌어올릴 수는 있어도, 생태계 구성원 간의 조율과 신뢰까지 연산 능력만으로 지켜낼 수는 없습니다.
보안 결함을 찾아내는 것은 기술적 도전 과제의 첫 단계에 불과합니다. 보안 패치가 전 세계 클라우드 및 컨테이너 유통망을 거쳐 안전하게 전달되는 과정이야말로 진정한 시험대입니다. 감사 도구가 아무리 빠르더라도 자동화 파이프라인이 마지막 순간에 일정을 깨고 앞서 나가는 것을 막을 수는 없습니다. 소프트웨어 공급망 전반에 걸친 신뢰의 공백은 알고리즘만으로는 메울 수 없습니다.
이번 사건은 오픈소스 공급망에 엄중한 경고를 던졌습니다. 상류 개발과 하류 배포 간의 구조적 엇박자가 해결되지 않는 한 조기 유출 사고는 언제든 재발할 수 있습니다. 오래된 포인터 코드를 손보는 것에 그치지 않고, 자동화 환경에 부합하는 새로운 보안 공개 및 배포 규약을 수립하는 것이 오픈소스 생태계의 시급한 과제입니다.
참고 자료:
- PHP Foundation: 금일 보안 패치 릴리스 및 보안 강화 조치에 관한 공식 공지.
- Datadog Security Labs: php2shell 치명적 취약점 상세 기술 분석 보고서.
- AWS 보안 공지: PHP 원격 코드 실행 취약점 관련 보안 권고문.
