PHP2Shell, 워드프레스보다 PHP 8.2.35를 먼저 확인하라

결론부터 말하면, 워드프레스 운영자가 지금 먼저 확인할 것은 플러그인 목록이 아니라 서버에서 실제로 실행 중인 PHP 버전이다. 2026년 10월 21일 공개된 PHP2Shell은 PHP 런타임 자체의 인증 전 원격 코드 실행 취약점 2건이다. 운영자는 8.2.35·8.3.36·8.4.27·8.5.12 이상 또는 호스팅 공급자의 동등 백포트를 확인해야 한다.

작성자: 트렌드매그 편집부 · 검수자: 트렌드매그 AI 편집 기준 · 최종 업데이트일: 2026-10-22 (Asia/Seoul) · 직접 테스트: 하지 않음

먼저 확인한 사실 표

무엇이 바뀌었는가: AI 보안 성과가 운영 숙제로 바뀌었다

OpenAI는 Calif가 GPT-5.6 Sol을 이용해 중대한 결함을 찾았고, Wiz도 두 취약점을 독립적으로 발견·보고했다고 발표했다. Wiz는 자신들이 Wiz Atlas, Gemini 4 Argon, GPT-5.6 Sol을 조사·익스플롛 개발·패치 검증에 사용했다고 밝혔다. 즉 확인된 것은 “AI 단독 발견”이 아니라 여러 연구자·모델·유지보수자가 결함 발견부터 수정 검증까지 연결한 과정이다.

이 사건의 실용적 변화는 PHP 재단이 10월 21일 보안 버전 4개를 배포했다는 점이다. CVE-2026-109618은 메모리 고갈 처리 중 부분 초기화된 상태가 잘못 재사용되는 문제고, CVE-2026-109619는 요청 메모리가 해제된 후에도 전역 상태가 남아 다음 요청에서 소비될 수 있는 문제다. 둘 다 PHP 런타임의 메모리 안전성 결함이다.

실제 사용자에게 미치는 영향

워드프레스 코어나 플러그인을 모두 최신으로 유지해도 PHP가 영향 버전이면 대응이 완료된 것이 아니다. Wiz는 당시 최신 컨테이너의 WordPress·Drupal·Joomla에서 인증 전 원격 코드 실행을 실증했다고 보고했다. 특정 CMS의 취약점이 아니라, 단순한 PHP 웹 애플리케이션도 영향을 받을 수 있다는 설명이다.

한국의 공유 호스팅·매니지드 워드프레스는 운영자가 패키지를 직접 관리하지 않는 경우가 많다. 이때 “자동 업데이트 사용 중”이라는 답변보다 실제 서버 버전, 공급자 백포트 식별자, 적용 시각, PHP 워커 재시작 여부를 받아야 한다. PHP 8.1 이하는 PHP 프로젝트의 일반 지원 대상이 아니며, 배포판이나 LTS 판매자의 백포트가 있는지 별도로 확인해야 한다.

고유 결과물 1: 패치 버전·판정 매트릭스

이 표의 핵심은 “표시 버전”과 “패치 상태”를 동일시하지 않는 것이다. 예를 들어 리눅스 배포판은 상위 버전 숫자를 유지한 채 보안 수정을 백포트할 수 있다. 그 경우에는 패키지 변경 로그나 호스팅 공급자의 고유 식별자가 증거다.

고유 결과물 2: 30분 대응 워크플로

1. 0∼5분, 자산을 쪼갠다. 웹 PHP, CLI, FPM, Apache mod_php, 컨테이너, 스테이징을 별도 항목으로 만든다. php -v는 CLI만 보여줄 수 있다.
2. 5∼10분, 소유자를 붙인다. 직접 운영, 매니지드 호스팅, 외주, SaaS로 나누고 패치 책임자와 회답 시한을 적는다.
3. 10∼15분, 정상 버전 또는 백포트를 확인한다. 위 매트릭스와 대조하되, 배포판이 수정을 역이식했다면 보안 공지·패키지 릴리스를 저장한다.
4. 15∼20분, 업데이트하고 모든 워커를 재시작한다. 긴 수명의 FPM·Apache 프로세스가 구버전을 계속 쓰지 않는지 확인한다.
5. 20∼25분, 서비스 기능을 검증한다. 로그인·파일 업로드·결제 콜백·자동배치를 스테이징 후 실사이트 순서로 확인한다.
6. 25∼30분, 증거를 남긴다. 적용 시각, 패키지 버전, 컨테이너 digest, 재시작 시각, 테스트 결과를 인시던트 로그에 묶는다.

OpenAI의 php2shell-checker는 로컬 PHP나 HTTP 헤더에 노출된 버전을 임계값과 비교할 수 있다. 다만 헤더가 없으면 UNKNOWN을 반환하고, 백포트의 실제 패치 코드를 검증하지는 않는다. 그러므로 OK는 버전 비교의 결과일 뿐이고, UNKNOWN은 안전의 증거가 아니다.

국내 크리에이터·전문 블로그의 실전 사례

지정된 벤치마킹 채널을 확인했지만, 공개 자막·설명·본문으로 이번 PHP2Shell을 직접 검증한 국내 실습 사례는 찾지 못했다. 제목과 썸네일만으로 사례를 추정하지 않았다.

DataCamp의 보안 패널은 AI가 새로운 공격 유형을 만들었다기보다 기존 공격의 속도와 규모를 크게 키웠다고 평가했다. 복구를 연습하고 변경 범위를 제한하는 기본기가 여전히 핵심이라는 요지다. 이는 교육 플랫폼의 전문가 패널 요약으로, PHP2Shell 발견 사실의 증거로 쓰지 않고 운영 원칙에만 반영했다.

회사 주장과 트렌드매그 판정

직접 재현 가능한 검증 절차

관리 권한이 있는 서버에서 웹 프로세스와 CLI의 PHP 버전을 각각 수집한다. 패키지 매니저·컨테이너 이미지·호스팅 콘솔의 보안 릴리스를 PHP 공식 매트릭스와 대조한다. 패치 후에는 FPM·Apache·LiteSpeed 워커를 재시작하고 실행 프로세스의 버전을 다시 확인한다. 스테이징에서 파일 업로드·세션·결제 콜백을 점검하고 실사이트 상태 코드와 오류 로그를 비교한다.

운영 권한이 없는 제3자 서버에 익스플롛이나 부하를 시도하면 안 된다. OpenAI 검사기도 버전 노출을 확인하는 도구이지 취약점 악용 성공 여부를 실험하는 도구가 아니다. 트렌드매그는 이번 실행에서 검사기를 설치하거나 서버에 실행하지 않았다.

반론과 과장 가능성

• “AI가 10년 묵은 버그를 혼자 찾았다”는 단순화다. 공식 보고는 복수 모델, 보안 연구자, PHP 유지보수자, 인프라 사업자의 협업을 보여준다.
• “워드프레스가 취약하다”도 불완전하다. 문제는 PHP에 있고 WordPress는 영향을 보여준 대표 배포일 뿐이다.
• “설정 변경만으로 해결했다”는 잘못이다. PHP 공식 공지는 업데이트만이 완전한 완화라고 명시한다.
• “지금 활발히 악용 중”이라고 단정할 수는 없다. 이번 조사에서 대규 악용을 증명하는 공식 근거는 확인하지 못했다. 그래도 CVSS 9.2와 인증 전 RCE는 긴급 패치의 충분한 근거다.

분석의 한계

• 트렌드매그는 PHP 실행 환경에서 취약점, 패치, 검사기를 직접 실행하지 않았다.
• Wiz의 익스플로잇 재현 결과는 독립 재현값이 아니라 발견자 보고다.
• 배포판·호스팅마다 백포트 표기와 재시작 절차가 다르다.
• 대규 악용 여부와 국내 호스팅별 적용 현황은 실행 시점에 별도 확인이 필요하다.

지금 할 일

자체 서버라면 오늘 PHP 실행 프로세스의 버전과 패치 로그를 확인하고, 수정 버전 적용 후 워커를 재시작한다. 매니지드 호스팅이라면 “패치했나요?”보다 서버 PHP 버전·백포트 식별자·적용 시각·워커 재시작 여부를 묻는다. AI 도입 우선순위는 AI 도입 로드맵, 관련 도구는 AI 도구, 편집부 검증 원칙은 AI 인사이트에서 이어진다. 에이전트 안전선은 OpenAI DNS 샌드박스 사고 분석, 경보의 오탐 비용은 Security-One 27B 분석과 비교할 수 있다.

3줄 요약

• PHP2Shell은 플러그인이 아니라 PHP 런타임의 CVSS 9.2 취약점 2건이다.
• 수정 기준은 PHP 8.2.35·8.3.36·8.4.27·8.5.12 이상이며, 낮은 브랜치는 벤더 백포트 증빙이 필요하다.
• AI 발견 서사보다 중요한 것은 인벤토리·패치·워커 재시작·실서비스 검증을 증거로 남기는 일이다.

공식 출처

• PHP Security Advisory — Critical remote code execution vulnerabilities
• PHP GHSA — RCE via OOM corruption
• PHP GHSA — RCE via stale global state
• OpenAI — Patch the Planet coordinated disclosure
• OpenAI php2shell-checker

독립 출처와 벤치마킹 자료

• Wiz Research — PHP2Shell technical report (보안 제품 판매 맥락)
• HackerOne — Critical PHP vulnerabilities response (버그바운티 플랫폼 맥락)
• DataCamp — Did AI Kill Cybersecurity? (교육 플랫폼 패널)