PHP 보안 위반으로 전 세계 웹사이트 중단

2026년 10월 21일, 독일 연방 정보 보안청(BSI)은 사이버 보안 경고를 발표했습니다. 이 경고는 PHP에서 CVE-2026-109618 및 CVE-2026-109619로 분류된 두 개의 치명적인 취약점을 식별했습니다. BSI는 위험 수준을 3단계 오렌지로 평가했으며, 이는 매우 높은 위협을 나타냅니다. 경고는 즉각적인 보안 업데이트를 촉구했습니다.

이 취약점은 PHP2Shell이라고 불리며, 인증 없이 공격자가 원격으로 코드를 실행할 수 있게 합니다. 그 결과, 많은 웹사이트가 사전 예방적으로 종료되었습니다. 독일 연방 형사경찰청(BKA) 사이트는 아침에 오프라인 상태를 유지했습니다. Berlin.de와 같은 다른 사이트는 일시적인 제한을 받았습니다.

PHP 개발팀은 2026년 10월 22일에 패치 버전을 발표했습니다. 업데이트를 적용한 후, 여러 서비스가 운영을 재개했습니다. S-Bahn Berlin 웹사이트는 밤이 되기 전에 다시 온라인으로 돌아온 것으로 보고되었습니다. 라인란트-팔츠와 사르란트의 독일 주 포털도 패치를 적용한 뒤 재개되었습니다.

중국 산업부는 IT 시스템에 대한 종합적인 검토를 촉구하고 사용자에게 최신 PHP 버전으로 업그레이드할 것을 권고했습니다. 한국 국가안보원은 사이버 보안 위기 회의를 소집했습니다. 핀란드 국가 IT 센터는 공공 정부 웹 서비스가 영향을 받았다고 밝혔습니다.