PHP 엔진에 인증 없이 서버를 장악하는 취약점… 8.2~8.5 긴급 패치
PHP 프로젝트가 인증 없이 원격에서 코드를 실행할 수 있는 치명적 취약점 2개를 고친 PHP 8.5.12 등 네 버전을 내고 즉시 업데이트를 권했다. 취약점을 찾았다고 밝힌 Wiz Research는 구글 Gemini 4 Argon이 취약점 발견과 공격 코드 개발에 크게 기여했다고 밝혔다.
PHP 프로젝트가 10월 21일 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 내고 인증 없이 원격에서 코드를 실행할 수 있는 치명적 취약점 2개를 고쳤다. 메모리 부족 처리 중 일부만 초기화된 데이터를 유효한 것으로 다룰 수 있는 문제와, 해제된 내부 상태를 같은 워커의 다음 요청이 쓸 수 있는 문제다. 취약점을 찾았다고 밝힌 Wiz Research는 이를 PHP2Shell이라 부르며 심각도가 9.2에 이른다고 밝혔다.
웹 요청을 처리하는 모든 PHP 설치가 대상이며, PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed 등이 여기에 들어간다. PHP는 그중 mod_php의 위험이 가장 크다고 봤다. Wiz는 PHP 5.4 이후 거의 모든 버전이 해당하며, WordPress·Drupal·Joomla에서 인증 없는 원격 코드 실행을 시연했다고 밝혔다.
해법은 업데이트다. 리눅스 배포판과 LTS 업체는 패치를 미리 받았으므로, PHP는 해당 업체의 업데이트 패키지를 확인하라고 안내했다. 8.1 이하는 PHP 프로젝트의 업데이트 대상이 아니지만, 그중 7.4·8.0·8.1에는 최소한의 소스 백포트를 따로 냈다. 당장 못 올리면 memory_limit=-1 등 완화책이 있지만, PHP는 업데이트만이 완전한 해결책이라고 밝혔다.
Wiz는 이번 연구에 Gemini 4 Argon과 -5.6 Sol 등을 썼고, 그중 4 Argon이 취약점 발견과 공격 코드 개발, 패치 검증에 크게 기여했다고 밝혔다. 결함은 10년 넘게 있었지만 악용을 증명하는 단계가 너무 복잡해 사람 연구자로는 한계에 가까웠고, AI가 그 장벽을 크게 낮췄다는 설명이다.
Wiz는 세계적 수준의 팀이 몇 달 걸릴 일을 연구자 한 명이 일주일 만에 끝냈다고 했다. 8월 24일 PHP 보안팀에 보고한 지 약 두 달 만에 패치가 나왔다.
