PHP2Shell: AI로 PHP의 치명적인 원격 코드 실행 취약점 발견

Wiz Research가 PHP 코어의 메모리 안전성 취약점을 발견하고, 인증 없이 서버에서 코드를 실행하거나 프로세스 메모리를 읽는 공격을 실증함 취약점은 애플리케이션 코드가 아니라 PHP 엔진 자체에 있으며, PHP 5.4까지 거슬러 올라가는 버전들이 영향을 받음 공통 원인은 메모리 부족 등 치명적 오류로 요청이 중단된 뒤에도 남는 손상된 내부 상태이며, 후속 요청이나 다른 워커가 이를 재사용하면서 메모리 유출 또는 손상이 발생함 AI 모델이 대상별 메모리 배치에 맞춘 공격 조정과 반복 디버깅을 도와, WordPress, Drupal, Joomla에서 비인증 원격 코드 실행을 구현함 두 CVE로 묶인 취약점의 심각도는 최대 CVSS 9.2이며, PHP는 2026년 10월 21일 근본 원인을 수정한 보안 패치를 공개함 영향 범위와 실증 결과 PHP2Shell은 여러 PHP 취약점을 결합한 공격 스크립트로, 시험 당시 최신 컨테이너 이미지인 wordpress:latest, drupal:latest, joomla:latest에서 비인증 원격 코드 실행에 성공함 PHP는 전 세계 웹사이트의 70% 를 구동하며 WordPress, Joomla, Drupal, Wikipedia의 MediaWiki 등이 사용함 최근 10년간 출시된 모든 PHP 버전이 적어도 하나의 취약점에 영향을 받으며, 영향 범위는 PHP 5.4까지 거슬러 올라감 특정 CMS의 결함이 필요한 공격이 아니므로, 애플리케이션 코드가 안전하거나 단순한 “Hello World” 애플리케이션이어도 취약한 PHP 버전에서는 영향을 받을 수 있음 공격에 성공하면 서버 장악, 민감한 데이터 탈취, 웹사이트 변조가 가능함 원격 코드 실행 없이도 PHP 프로세스 메모리에서 비밀번호, 인증 토큰, API 키를 읽는 공격을 별도로 실증함 노출되는 메모리에는 다른 요청이나 서버 자체에 속한 인증서 등도 들어 있을 수 있음 공통 원인과 두 CVE 취약점은 요청 처리 중 발생하는 치명적 오류, 특히 메모리 부족 오류를 PHP가 처리하는 방식에서 비롯됨 요청 힙은 해제되지만 내부 전역 상태나 공유 상태가 제대로 정리되지 않아, 이후 요청 또는 워커가 오래된 상태를 재사용함 CVE-2026-109618에는 업로드 진행률 역직렬화기의 해제 후 사용과 원격 프로세스 메모리 유출 문제가 포함됨 WordPress, Drupal, Joomla의 비인증 원격 코드 실행과 애플리케이션에 종속...