원격 코드 실행(RCE)이란? 쉽게 풀어 쓴 뜻

WindowsMac업데이트

원격 코드 실행은 흔히 RCE(Remote Code Execution)로 줄여 쓰며, 공격자가 네트워크로 닿을 수 있는 시스템에서 자기 코드를 실행할 수 있게 하는 결함을 보안 권고에서 부르는 말입니다. KISA(한국인터넷진흥원)는 2026년 10월에 수정된 PHP 취약점을 로그인 없이 외부에서 서버에 원하는 명령을 실행할 수 있는 치명적 보안 취약점이라고 설명합니다. 이 글은 2026년 10월 23일 기준 정보입니다.

간단한 답변

원격 코드 실행(RCE)은 보안 결함 때문에 누군가 네트워크의 다른 곳에서 컴퓨터에 자기 코드나 명령을 실행할 수 있게 되는 것을 말합니다. KISA는 PHP2Shell을 로그인 없이 외부에서 서버에 원하는 명령을 실행할 수 있는 취약점이라고 설명했습니다. 고치는 것은 서버 운영자의 일이며, 해당 소프트웨어를 업데이트하는 것이 방법입니다.

원격 코드 실행은 무슨 뜻인가요?

가장 분명한 설명은 보안 권고 자체에 있습니다. PHP 개발팀의 2026년 10월 21일 권고문은 인증되지 않은 원격 코드 실행을 일으킬 수 있는 심각한 취약점 두 가지라고 설명합니다. KISA는 같은 문제를 로그인 없이 외부에서 서버에 원하는 명령을 실행할 수 있는 치명적 보안 취약점이라고 풀어 씁니다. Synology의 권고문은 원격 공격자가 임의의 코드를 실행할 수 있게 하는 취약점이라고 표현합니다.

가장 중요한 말은 "원격"과 "인증되지 않은"입니다. 심각도 점수 체계 CVSS를 발표하는 FIRST는 네트워크 너머에서 공격할 수 있는 결함을 흔히 원격으로 악용 가능하다고 부르며, 잠재적 공격자의 범위가 인터넷 전체까지 넓어질 수 있다고 설명합니다. 같은 문서에서 계정이나 로그인이 필요 없는 공격자는 공격 전에 인증되지 않은 상태라고 표현합니다.

KISA의 정보보호 용어 사전에도 비슷한 설명이 있습니다. 예를 들어 Log4j 취약점 항목에서, 원격의 공격자가 이 취약점을 이용해 악의적인 명령과 코드를 실행할 수 있다고 적습니다.

RCE는 결함이 무엇을 가능하게 하는지를 말하는 것이지, 이미 일어난 일을 말하는 것은 아닙니다.

RCE는 왜 그렇게 심각하게 평가되나요?

공격자의 코드가 실행된 다음에 할 수 있는 일 때문입니다. KISA는 PHP2Shell 공격에 성공하면 원격조종 파일(웹셸) 설치, 고객정보 유출, 홈페이지 변조, 내부망 침투 등이 가능하다고 설명합니다. 또 이 취약점이 서버 메모리에 담긴 비밀번호, 접속 인증값(토큰), 외부 서비스 연동 키(API 키) 등을 유출시킬 수 있다고 말합니다.

CVSS는 이런 결과를 영향으로 기록합니다. 이 체계는 CVE와 CVSS 점수 해설에서 다룹니다. PHP 개발팀은 PHP2Shell 두 취약점 모두 기밀성, 무결성, 가용성에 대한 영향을 높음(High)으로 매겼습니다. FIRST 명세는 무결성 영향이 높은 경우의 예로 공격자가 취약한 시스템이 보호하는 파일을 모두 고칠 수 있는 경우를, 기밀성 영향이 높은 경우의 예로 관리자 비밀번호나 웹서버의 개인 암호화 키를 훔치는 경우를 듭니다.

같은 점수에는 공격을 어렵게 하는 요소도 기록됩니다. 두 취약점 모두 공격 복잡성이 높음, 공격 요구 조건이 있음으로 표시되어 있습니다. FIRST는 앞의 것을 이미 있는 보안 장치를 우회해야 하는 공격으로 정의합니다. 뒤의 것은 시스템이 어떻게 설정되고 돌아가는지에 따른 특정 조건에 공격이 달려 있다는 뜻이며, FIRST는 이런 공격이 성공하려면 한 대상에 여러 번 시도해야 할 수도 있다고 설명합니다.

이 모두를 반영한 PHP 개발팀의 점수는 두 취약점 모두 10점 만점에 9.2점으로, 치명적(Critical) 등급에 들어갑니다.

웹사이트를 운영한다면 RCE는 무엇을 뜻하나요?

사이트가 영향을 받는 PHP 버전을 쓴다면 업데이트가 급하다는 뜻입니다. PHP 권고문은 Apache의 mod_php를 가장 위험하다고 보며, 인증되지 않은 요청이 애플리케이션 코드가 실행되기도 전에 공격을 일으킬 수 있는 실제 공격 방법이 확인되었다고 말합니다. 쉽게 말해 mod_php에서는 워드프레스 같은 사이트 소프트웨어가 돌기도 전에 공격이 통할 수 있다는 뜻입니다. 어떤 버전이 고쳐졌는지, 무엇을 해야 하는지는 PHP2Shell 해설에 있습니다.

먼저 PHP 버전 확인 방법부터 보세요. 호스팅 업체가 PHP를 관리한다면 호스팅 업체가 패치했다고 할 때 내가 할 일에서 남은 일을 다룹니다.

웹사이트를 이용하기만 한다면요?

PHP의 RCE 결함은 서버의 결함입니다. PHP 권고문의 위험 대상 목록에는 PHP-FPM, Apache의 mod_php 같은 서버 소프트웨어가 나오고, 웹 브라우저나 방문자의 기기는 나오지 않습니다.

2026년 10월 23일 기준으로, 미국 CISA는 10월 21일 경보(10월 23일 개정)에서 발표 시점 기준으로 이 취약점들이 실제 환경에서 성공적으로 악용된 것을 관찰하지 못했다고 밝혔습니다. KISA는 10월 22일 해외 보안업체를 중심으로 공격 시도가 보고되고 있다고 밝혔습니다. 이용자 입장에서 궁금한 점은 해킹된 사이트에 접속만 해도 감염될까와 PHP 취약점과 내 개인정보에서 다룹니다.

PHP2Shell은 어떻게 원격 코드 실행으로 이어지나요?

PHP 권고문은 두 결함의 이름을 RCE에 이르는 방식으로 붙였습니다. 첫째는 "RCE via OOM corruption"(CVE-2026-109618)으로, 메모리 부족 처리가 내부 요청 데이터가 일부만 초기화된 상태에서 PHP를 중단시킬 수 있는 문제입니다. 둘째는 "RCE via stale global state"(CVE-2026-109619)로, 요청이 소유한 내부 상태가 그 메모리가 해제된 뒤에도 남아 있을 수 있는 문제입니다. 공식 CVE 레코드는 그 결과 PHP가 첫째 경우에는 초기화되지 않은, 둘째 경우에는 이미 해제된 요청 메모리를 읽거나 그에 따라 분기할 수 있다고 덧붙입니다.

KISA는 10월 21일 보안 업데이트 권고에서 CVE-2026-109618을 예외 조건의 부적절한 처리(Improper Handling of Exceptional Conditions) 취약점으로, CVE-2026-109619를 Use After Free 취약점으로 분류했습니다. KISA 용어 사전은 Use-After-Free를 할당된 메모리를 해제했는데도 계속 참조해 생기는 취약점이라고 설명합니다.

자주 묻는 질문

RCE는 무엇의 줄임말인가요?

Remote Code Execution, 원격 코드 실행입니다. PHP 개발팀은 두 PHP2Shell 결함의 이름에 이 줄임말을 썼고, 두 취약점의 공식 CVE 레코드도 원격 코드 실행(RCE)으로 이어질 수 있다고 적습니다.

원격 코드 실행 취약점이 있으면 해킹당한 건가요?

아닙니다. RCE는 결함이 무엇을 가능하게 하는지를 말합니다. 해킹은 누군가 실제로 결함을 이용해 시스템을 공격한 것입니다. PHP2Shell에 대해 공식 권고 가운데 침해된 사이트 수를 밝힌 곳은 없습니다. 사이트를 운영하는데 이상한 점이 보이면 홈페이지 해킹 대처법을 보세요.

보안 권고에서 "인증되지 않은"은 무슨 뜻인가요?

공격자가 로그인하거나, 그 시스템에 계정이나 비밀번호를 가지고 있을 필요가 전혀 없다는 뜻입니다. FIRST의 CVSS 명세는 이런 공격자가 공격 전에 설정이나 파일에 대한 접근 권한이 필요 없다고 설명합니다. KISA가 "로그인 없이"라고 쓴 것도 같은 뜻입니다.

RCE 취약점은 모두 치명적 등급인가요?

아닙니다. 점수는 영향뿐 아니라 공격이 얼마나 쉬운지, 무엇이 필요한지에 따라 달라지고, 평가하는 곳마다 다를 수 있습니다. 미국 국가취약점데이터베이스(NVD)는 CVE-2026-109619를 치명적이 아닌 높음(High)으로 평가했습니다. 점수 비교는 CVE와 CVSS 점수 해설에 있습니다.

RCE는 취약점의 한 종류인가요?

네. CVE 프로그램은 취약점을 악용될 수 있으며 기밀성, 무결성, 가용성에 나쁜 영향을 주는 제품의 약점이라고 정의합니다. RCE는 그런 약점이 가능하게 하는 일 가운데 하나입니다. 더 넓은 뜻은 취약점이란?에서 설명합니다.

출처