‘PHP2Shell’ 취약점 비상… 디지털존, TuxCare ELS 대응책 제시

최근 PHP 코어 자체의 고위험 원격 코드 실행(RCE) 취약점인 ‘PHP2Shell’(CVE-2026-109618, CVE-2026-109619)이 발견되면서 국내외 서버 운영 환경에 비상등이 켜졌다. 이번 취약점은 특정 플러그인 결함이 아닌 PHP 인터프리터 코어 엔진 자체의 문제로, 인증되지 않은 공격자가 서버 권한을 탈취할 수 있어 신속한 대응이 요구된다.

문제는 PHP 8.2~8.5에는 공식 보안 업데이트가 제공됐지만, 지원 종료(EOL)된 구버전 PHP는 공식 업데이트가 제한적이라는 점이다. 현업의 수많은 기업과 호스팅 환경은 레거시 시스템 호환성 문제로 PHP 7.x 이하 구버전을 여전히 운용하고 있다. 특히 수백 개의 사이트가 복잡하게 맞물린 환경에서 당장 PHP 8로 강제 마이그레이션하는 것은 서비스 중단 위험과 개발 비용 부담으로 인해 현실적으로 불가능에 가깝다.

이러한 한계를 극복할 수 있는 현실적인 대안으로, 지원 종료(EOL)된 PHP의 취약점(CVE-2026-109618, CVE-2026-109619)에 대한 보안 패치를 제공하는 턱스케어(TuxCare)의 ‘ELS(Endless Lifecycle Support) for Runtimes’ 솔루션이 주목받고 있다. 실제로 턱스케어는 지난 21일 PHP2Shell 취약점이 공개된 직후 22일부터 지원 종료(EOL)된 PHP에 대한 보안 패치를 제공하며 신속한 대응 역량을 입증했다.

턱스케어의 ‘ELS for Runtimes’는 PHP2Shell 수정 사항을 역포트(Backporting)한 전용 빌드로 제공된다. 역포트란 최신 버전에 적용된 보안 수정 코드만을 추출해 기존 구버전 엔진의 구조와 문법을 그대로 유지한 채 이식하는 기술이다. 이를 통해 기업들은 PHP 상위 버전으로의 강제 마이그레이션 부담을 대폭 줄일 수 있다. 또한 이 수정판은 리눅스 표준 패키지 관리자(yum, apt 등)를 통해 검증된 바이너리 패키지 형태로 배포되므로 간단한 패키지 설치와 연동 설정만으로 보안 패치를 적용해 RCE 공격에 대응할 수 있다는 게 턱스케어의 설명이다.

한편 턱스케어의 ‘ELS for Runtimes’ 솔루션은 다우데이타의 IT 전문 쇼핑몰 ‘디지털존’을 통해 도입 문의 및 구매가 가능하다. 현재 디지털존에서는 기업 고객의 신속한 보안 강화를 지원하기 위해 PoC 진행 시 신세계 상품권 5만원을 증정하는 프로모션을 진행 중이다. 구버전 PHP를 운영 중인 기업들은 이번 프로모션을 활용해 보안 공백을 신속하게 해결할 수 있을 것으로 기대된다.