PHP 버그 하나로 전 세계 웹사이트가 다운되었습니다

원제 · A PHP Bug Just Took Websites Offline Worldwide

7:072분 읽기Better Stack2026. 10. 22.컴퓨터/소프트웨어 · AI/미래기술

핵심 요약

PHP 취약점 사태는 인공지능 기반의 빠른 취약점 발견 속도가 기존의 보안 공개 및 패치 체계를 위협하는 현실을 보여준다.

하이라이트

  • 인터넷의 약 70퍼센트를 구동하는 PHP에 10점 만점에 9.2점 심각도를 가진 'php2 shell' 취약점이 공개되었다.

  • NSA, CISA, FBI 등 전 세계 사이버 기관들은 패치할 수 없는 경우 웹사이트를 오프라인으로 전환하라고 권고했다.

  • 서버의 59퍼센트가 PHP 8.1 이하 버전을 사용하고 있어 장기적인 보안 리스크로 작용하고 있다.

  • 오픈AI와 윈즈 등 AI 모델을 활용한 연구원들이 취약점을 발견하고 익스플로잇으로 전환하는 속도를 대폭 가속화했다.

타임라인

  1. PHP 취약점 공개와 전 세계적인 파급력

    인터넷의 상당 부분을 차지하는 PHP의 구조적 취약점 때문에 워드프레스나 드루팔 등 최신 설치 환경에서도 원격 코드 실행(RCE)이 가능해졌다. 지난 10년 동안 출시된 모든 버전의 PHP가 악용될 수 있어 대규모 서버 차단 사태의 도화선이 되었다.

    • PHP의 두 가지 취약점으로 인해 전 세계 웹사이트들이 오프라인으로 전환했다.
    • 해당 취약점은 'php2 shell'로 불리며 10점 만점에 9.2점의 심각도를 기록했다.
    • 플러그인이 아닌 PHP 언어 자체의 문제여서 직접적인 PHP 업데이트가 필요하다.

  2. 공개 과정의 혼선과 각국의 대응

    조율된 공개 일정이 여러 경로의 유출과 실수로 인해 흐트러지면서 책임 있는 공개 원칙이 무너졌다. 네덜란드 국가 로그인 서비스와 영국 대학 등 주요 기관들이 자발적으로 사이트를 폐쇄했으며, CDN 업체의 선제적 방어 덕분에 실제 대규모 해킹 피해는 막을 수 있었다.

    • 해커 뉴스에 CVE 번호와 잘못된 심각도가 유출되면서 출시일이 앞당겨졌다.
    • NSA와 CISA 등은 즉시 패치하거나 시스템을 오프라인으로 내리라고 경고했다.
    • 클라우드플레어와 Vercel 등은 사전에 통보받아 방화벽 규칙을 미리 생성했다.

  3. 구버전 서버의 위험과 인공지능의 역할

    공식 패치는 8.2 이상 버전에 주로 적용되어 구버전 서버들은 여전히 위험에 노출되어 있다. 인공지능 도구의 발전으로 연구원들이 복잡한 버그를 빠르게 익스플로잇으로 전환하면서, 향후 유사한 보안 사고가 급증할 것으로 예상된다.

    • 서버의 59퍼센트가 PHP 8.1 이하 버전을 사용해 패치 누락 우려가 크다.
    • 오픈AI와 윈즈 등은 인공지능 모델을 활용해 취약점을 발견했다고 밝혔다.
    • 취약점 발견 속도가 빨라지면서 기존의 보안 공개 제도가 한계에 직면했다.

설명

PHP2Shell is two critical bugs in PHP itself, rated 9.2, that can let attackers run code on PHP servers, and PHP runs roughly 70% of websites. We cover how the disclosure leaked a day early, why the NSA, CISA, the FBI and the UK's NCSC told organisations to take unpatched sites offline, and how 4chan, Wikimedia, DigiD and even BreachForums went dark. Then there's the fight over who found it between OpenAI, Wiz and Calif, plus the same-day Node.js, GitLab and Railway security news. 🔗 Relevant Links - PHP2Shell disclosure (Wiz Research): https://www.wiz.io/blog/php2shell-php-rce - PHP Foundation on the release, the leak and what's changing: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/ - PHP security advisory: https://www.php.net/archive/2026.php - CISA alert: https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching ❤️ More about us Radically better observability stack: https://betterstack.com/ Written tutorials: https://betterstack.com/community/ Example projects: https://github.com/BetterStackHQ 📱 Socials Twitter: https://twitter.com/betterstackhq Instagram: https://www.instagram.com/betterstackhq/ TikTok: https://www.tiktok.com/@betterstack LinkedIn: https://www.linkedin.com/company/betterstack 📌 Chapters: 0:00 - Intro 0:30 - What PHP2Shell is 1:29 - The leaked disclosure 2:24 - Websites go offline 3:11 - Even hackers went offline 3:39 - Was anyone hacked? 4:25 - Who found it? 5:40 - It won't be the last 5:51 - Railway breach 6:27 - Final thoughts

이 영상에 대해 글쓰기