엔키화이트햇, 치명적 보안 취약점 'PHP2shell' 진단 스캐너 배포

국내 오펜시브 보안 전문 기업이 웹 환경에 치명적인 영향을 미치는 PHP 코어의 고위험 원격 코드 실행(RCE) 취약점 'PHP2shell' 존재 여부를 검사하는 취약점 진단 스캐너와 해당 취약점 분석 보고서를 배포했다. 엔키화이트햇(대표 이성권)은 기업, 기관의 PHP2shell 위협 대응을 지원하고자 이들을 배포했다고 23일 밝혔다. 엔키화이트햇은 실제 공격 코드를 사용하지 않고 PHP 버전과 관련 설정 내용만을 안전하게 파악해 자산의 위험 여부를 1차 판별하는 진단 도구를 개발해 즉각 대응에 나섰다. 엔키화이트햇은 '오펜 공격표면관리(OFFen ASM)'을 이용하지 않는 기업도 해당 취약점 노출 여부를 자체적으로 빠르게 확인할 수 있도록 진단 스캐너를 무상으로 외부에 공개했다. 별도의 로그인 없이 진단 스캐너 웹페이지에 접속해 점검 대상 URL만 입력하면 취약 여부를 파악할 수 있다. 아울러 해당 취약점의 기술적 원리와 파급력을 다룬 분석 보고서를 공개했다. 보고서에는 CVE-2026-109618(메모리 고갈 시 불완전한 상태 유지), CVE-2026-109619(이전 요청의 상태 재사용으로 인한 UAF) 취약점이 발생하는 근본 원인에 대해 상세 분석했다. 또 영향 받는 시스템·버전 정보, 즉시 적용 가능한 완화 조치, 공식 패치 적용 가이드 등 보안 담당자가 당장 참고할 수 있는 대응 방안이 담겼다. 엔키화이트햇은 기술 분석 보고서에 이어 외부 노출 자산의 식별·관리 방안과 신규 취약점에 신속하게 대응하기 위한 방법론을 후속으로 공개할 예정이다. 이성권 엔키화이트햇 대표는 "PHP2shell과 같이 파급력이 큰 취약점은 공격자보다 먼저 노출 자산을 식별하고 조치하는 '골든타임' 확보가 중요하다"라며 "오펜시브 보안 기술력을 바탕으로 기업 비즈니스 운영에 지장 없는 안정적인 보안 환경을 제공하겠다"고 밝혔다. PHP2shell은 PHP에서 지난 21일 공개된 원격 코드 실행(RCE) 취약점 2건(CVE-2026-109618, CVE-2026-109619)을 묶어 부르는 이름이다. PHP 5.4 버전부터 8.5.11 버전까지 모든 미패치 버전이 영향권에 속한다. 메모리 부족 시 요청 데이터가 덜 초기화되거나, 해제된 내부 상태가 다음 요청에 남는 결함을 악용한다. 해커가 별도의 로그인이나 인증 절차 없이 외부에서 임의로 코드를 실행하거나 시스템을 장악할 수 있다. PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 등에서 패치됐고, 공개 나흘 전 공격 시도가 포착됐다. PHP가 인터넷 전반에 광범위하게 사용되는 핵심 기술이기 때문에 취약점 발견 파급력이 크다고 알려져 있다.