요약:
글로벌 클라우드 서비스 및 네트워크 보안 회사인 Cloudflare는 2026년 10월 21일 PHP 프로그래밍 언어에서 "php2shell"로 알려진 두 가지 심각한 보안 취약점에 대해 웹 애플리케이션 방화벽(WAF) 보호 규칙을 배포했다고 발표했습니다. 두 가지 취약점은 각각 CVE-2026-109618 및 CVE-2026-109619로 번호가 지정되어 있으며 서비스 거부, 원격 코드 실행 및 민감한 데이터 유출로 이어질 수 있습니다.
Cloudflare는 취약점이 공식적으로 공개되기 전에 회사가 보호 조치 준비에 착수했으며 취약점이 공개되기 약 9시간 전에 배포를 완료했다고 밝혔습니다. 10월 21일 오전 3시 2분(UTC)부터 Cloudflare WAF를 활성화하는 무료 고객과 유료 고객 모두 기본적으로 보호를 받게 됩니다.
이번 보호 작업은 Cloudflare가 PHP Foundation, OpenAI, Wiz 및 기타 조직과 함께 참여한 공동 대응 조치 중 하나입니다. 취약점 정보가 사전에 유출되어 공격자가 취약점을 악용하려고 시도하기 시작하면 관련 보안팀은 웹사이트 운영자가 소프트웨어 업그레이드를 완료하기 전에 지속적으로 보호 규칙을 조정하고 인터넷 서비스에 대한 추가 보호를 제공하기 위해 노력합니다.
Cloudflare는 취약점이 공식적으로 공개되기 전에 고객을 표적으로 삼는 공격 트래픽을 관찰했다고 밝혔습니다. 보안팀은 또한 공격자들이 배포된 보호 조치를 우회하기 위해 공격 페이로드를 계속 수정하고 있다는 사실도 발견했습니다. 규칙 일치 수를 추적하고 규칙 논리와 결합된 공격자의 변경 사항을 분석함으로써 Cloudflare는 새로운 공격 변종을 처리하기 위해 탐지 메커니즘을 지속적으로 조정할 수 있습니다.
PHP는 인터넷에서 널리 사용되는 서버측 프로그래밍 언어입니다. Cloudflare는 W3Techs의 데이터를 인용하여 전 세계 웹사이트의 거의 70%가 PHP를 사용하고 있다고 지적했습니다. WordPress 및 Magento를 포함한 일반적인 웹사이트 플랫폼은 모두 PHP를 사용하여 실행됩니다. 따라서 기본 운영 환경에 심각한 취약점이 발생하면 수많은 웹사이트, 온라인 서비스 및 기업 애플리케이션에 영향을 미칠 수 있습니다.
이 취약점은 특정 웹사이트 프로그램이나 플러그인이 아닌 PHP 런타임 자체에 영향을 미칩니다. 공격자는 특별히 구성된 HTTP 요청을 서버에 보내 PHP가 비정상적인 상태의 메모리 문제를 처리하도록 트리거할 수 있습니다. Cloudflare가 공개한 정보에 따르면 두 가지 취약점은 PHP가 메모리 부족 시 관련 메모리 및 내부 상태를 안전하게 처리하지 못하거나 요청 처리 중에 치명적인 오류가 발생하는 것과 관련이 있습니다.
첫 번째 취약점인 CVE-2026-109618은 메모리 소진 후 예외 처리와 관련이 있습니다. 일부 내부 데이터가 초기화되지 않은 상태에서 PHP가 요청을 중단하면 후속 정리 작업에서 효과적으로 초기화되지 않은 이러한 데이터를 일반 데이터로 잘못 사용하여 메모리 손상이 발생할 수 있습니다.
두 번째 취약점인 CVE-2026-109619는 요청이 종료된 후에도 남아 있는 내부 상태와 관련이 있습니다. 요청에서 치명적인 오류가 발생하면 PHP 프로세스는 해제된 메모리에 대한 참조를 계속 유지할 수 있습니다. 동일한 프로세스가 이후에 다른 요청을 처리하는 경우 만료된 메모리에 액세스하여 민감한 데이터가 유출되거나 추가 공격을 위한 조건이 생성될 수도 있습니다.
공격자는 특정 요청을 구성하여 이러한 예외를 트리거할 수 있습니다. 요청이 클수록 메모리 압박이 발생할 수 있지만 위험은 서버 리소스 소비에만 국한되지 않습니다. 또한 공격자는 프로그램의 유효하지 않은 메모리 처리에 있는 결함을 악용하여 PHP 프로세스를 중단시키거나 민감한 정보를 유출하거나 공격자가 제공한 코드를 실행할 수도 있습니다.
이러한 취약점에 직면하여 기존의 웹 애플리케이션 방화벽 규칙은 항상 신뢰할 수 있는 판단 기반을 제공하지 않습니다. Cloudflare는 들어오는 요청만 검사하면 악의적인 공격과 일반 트래픽을 정확하게 구별하기 어려울 때가 있다고 지적합니다. 서버에서 반환된 요청과 응답을 동시에 분석할 수 있다면 더 많은 상황 정보를 얻을 수 있고, 공격 성공 여부를 더 정확하게 판단할 수 있으며, 실수로 일반 요청을 가로챌 확률을 줄일 수 있습니다.
이를 위해 Cloudflare는 "전체 트랜잭션 감지"라는 새로운 WAF 기능을 개발했습니다. 이 메커니즘은 분석을 위해 동일한 HTTP 트랜잭션에서 요청 및 응답 신호를 결합합니다. 탐지 규칙을 통해 트랜잭션이 공격 특성을 충족한다는 것이 확인되면 원본 서버의 응답 콘텐츠가 요청자에게 반환되기 전에 가로챌 수 있습니다.
php2shell에 배포된 보호 규칙은 이 새로운 기능을 사용하여 Cloudflare에서 시작한 최초의 관리형 탐지 규칙입니다. 회사는 요청과 응답을 종합적으로 분석함으로써 복잡한 공격을 식별하는 동시에 요청 특성에만 의존하여 발생할 수 있는 오판을 줄일 수 있다고 믿습니다.
구체적인 배포 측면에서 Cloudflare는 무료 패키지 사용자가 새 보호 규칙을 수동으로 활성화할 필요가 없다고 밝혔습니다. 관련 규칙은 Cloudflare에서 호스팅하는 무료 규칙 세트에 자동으로 배포되었습니다. 유료 패키지는 Cloudflare 관리형 규칙 세트를 통해 보호 기능을 제공합니다. Professional, Business 및 Enterprise 버전 사용자는 단순히 공격 이벤트를 기록하는 것이 아니라 관련 규칙 세트가 활성화되어 있고 차단 모드에 있는지 확인해야 합니다.
Cloudflare는 또한 관리형 응답 방화벽 기본 규칙에 신뢰도가 높은 공격 서명에 대한 기본 차단 규칙을 배포합니다. 사용자는 보안 분석 인터페이스에 들어가서 차단된 요청, 일치 규칙 및 관련 경로를 보고 웹 사이트가 공격을 받고 있는지 이해할 수 있습니다. 보다 세부적인 제어가 필요한 고객의 경우 관리형 규칙 세트의 범위를 조정할 수도 있습니다.
그러나 Cloudflare는 WAF 보호는 심층 방어의 일부로만 사용될 수 있으며 공식 PHP 패치를 대체할 수 없다는 점을 거듭 강조해 왔습니다. 웹사이트에 Cloudflare 방화벽이 활성화되어 있더라도 관리자는 가능한 한 빨리 서버에서 실행되는 실제 PHP 소프트웨어를 업데이트해야 합니다. 그 이유는 WAF는 주로 알려져 있거나 탐지 가능한 공격 트래픽을 식별 및 차단하여 위험을 줄이는 반면, 패치가 적용되지 않은 PHP 실행 환경에는 취약점 자체가 여전히 존재하기 때문입니다. 공격자가 새로운 공격 방법을 채택하거나 기존 규칙에 따라 요청이 정확하게 식별되지 않더라도 시스템은 여전히 위험에 처할 수 있습니다.
업그레이드를 즉시 완료할 수 없는 조직의 경우 Cloudflare는 불필요한 파일 업로드 기능을 제한하고 유지해야 하는 업로드 인터페이스에 대해 합리적인 파일 크기 제한을 설정하면서 WAF 보호를 계속 활성화할 것을 권장합니다. 이러한 조치는 일부 공격 경로의 노출을 줄이는 데 도움이 될 수 있지만 취약점 문제를 완전히 해결할 수는 없습니다. 관리형 호스팅을 사용하는 웹사이트의 경우, 운영자가 PHP 버전을 직접 관리할 수 없는 경우 가능한 한 빨리 호스팅 서비스 제공업체에 문의하여 공식 보안 업데이트가 배포되었는지 확인해야 합니다.
Cloudflare는 보안 분석 팀이 계속해서 공격 활동을 모니터링하고 공격자가 채택한 새로운 기술과 페이로드 변형을 기반으로 보호 규칙을 업데이트할 것이라고 밝혔습니다. 또한 회사는 사용자가 다계층 방어를 형성하기 위해 PHP 취약점을 복구하는 동시에 관련 WAF 보호를 계속 유지할 것을 권장합니다.
이 사건은 인터넷 보안 대응 메커니즘의 중요성을 강조합니다. 광범위한 영향을 미치고 원격으로 악용될 수 있는 기본 소프트웨어 취약점의 경우 단순히 패치를 공개하는 것만으로는 모든 웹 사이트의 보안을 즉시 복원할 수 없습니다. 업데이트 속도, 유지 관리 기능 및 운영자마다 서버 관리 방법이 크게 다르기 때문입니다. 클라우드 서비스 제공업체는 패치 릴리스와 대규모 설치 사이의 귀중한 시간을 벌기 위해 보호 규칙을 미리 배포합니다.
그러나 장기적으로 볼 때 가장 안정적인 해결책은 공식적으로 출시된 PHP 복구 버전으로 업그레이드하는 것입니다. Cloudflare의 임시 보호 조치는 웹사이트에 추가적인 장벽을 제공할 수 있지만 모든 공격 변종을 차단한다고 보장할 수는 없습니다. PHP를 실행하는 웹사이트의 경우, 기본 운영 환경을 시기적절하게 복구하고, 방화벽 규칙을 활성화하고, 비정상적인 요청을 지속적으로 확인하는 것이 이 php2shell 취약점을 해결하기 위한 핵심 조치입니다.
관련 기사:
PHP는 심각한 보안 취약점을 노출했으며, 글로벌 웹사이트 운영자들은 긴급하게 패치 상태에 돌입했습니다.
댓글