패치 안 된 PHP 취약점, 19시간 만에 KillaBoi가 0.02511679비트코인(시가 2,021달러) 탈취

PHP2Shell 서버 해킹 실험서 보안 연구자 KillaBoi
취약점 악용해 비트코인 지갑 접근, 트래픽 수백만 건 탐지

리드문
2026년 10월 25~26일(UTC) Stealmybitcoin.com에서 PHP2Shell 취약점(CVE-2026-109618, CVE-2026-109619)을 이용한 해킹 실험이 진행되어 보안 연구자 KillaBoi가 0.02511679비트코인(시가 2,021달러 22센트)을 탈취했다.
실험 이후 전 세계 PHP 서버가 인증 없는 원격 공격에 노출되며 정부기관 웹사이트 서비스 중단 등 확산이 이어지고 있다.

26일(현지시각) Stealmybitcoin.com 공식 기록과 보안 전문 매체 SecurityWeek에 따르면, 실험 사이트 운영자 오퍼레이터(@hackerfantastic)가 공개한 로그에 25일 15:47 UTC 기준 KillaBoi(보안 연구자)가 패치되지 않은 PHP 8.4.26 환경에서 수십 차례 공격 끝에 무작위 서버 메모리를 조작해 원격 코드 실행을 성공, 실험 사이트 내 상금 지갑에서 비트코인 0.02511679개(당시 거래가로 2,021달러 22센트)가 탈취된 사실이 확인됐다.

이번 PHP2Shell 취약점(CVE-2026-109618, CVE-2026-109619)은 인증 없이 서버 메모리 상태를 외부에서 직접 조작 가능하도록 허용해 임의 코드 실행을 유발하며, 해킹 이후 PHP 기반 전체 웹사이트의 약 70% 이상이 영향을 받고 있다.

실험 직후 핀란드, 네덜란드, 프랑스 등 정부기관 공식 사이트가 일시적으로 서비스 중단되는 등 긴급 대응이 이뤄졌고, 클라우드플레어 등 글로벌 보안 업체가 취약점 패치 발표와 동시에 신규 트래픽 수백만 건을 실시간 탐지해 악성 요청 차단 규칙을 배포했다. PHP팀은 원래 예정보다 하루 앞선 10월 21일 긴급 패치를 공개했으나, 취약점이 공개된 후 OpenAI 등 최신 AI 기술이 사전 해킹 준비와 코드 분석에 적극 활용된 점이 현장 위기감을 더욱 높이고 있다.

위즈 블로그 등 보안 커뮤니티에서는 AI 활용으로 인류 전문가 대비 사전 준비와 신규 공격 코드 개발이 급속히 이루어지고 있다고 평가했다.

시장정보
2026년 10월 26일 15:09(UTC) 기준, 비트코인(BTC)은 24시간 거래량 변동률 -0.302%를 기록, 80,372.575 달러로 거래되고 있다.