PHP2Shell 긴급 패치, 웹사이트 운영자는 무엇을 확인해야 할까?

NETWORK NEWS & OPINION · 2026. 10. 26. 확인 기준

홈페이지는 정상적으로 열리는데, 서버에서는 긴급 업데이트를 해야 한다는 공지가 나온다. 이번 PHP 이슈가 웹사이트 운영자뿐 아니라 인프라 담당자에게도 중요한 이유다.

PHP 프로젝트는 10월 21일, 인증 없이 원격 코드 실행으로 이어질 수 있는 두 취약점의 수정 버전을 공개했다. 통칭 PHP2Shell이다. 23일에는 별도 조건의 취약점 안내가 추가됐다. 지금 필요한 것은 막연한 불안보다 우리 서비스 어디에서 PHP가 실행되고, 수정 사항이 실제로 반영됐는지를 확인하는 일이다. PHP 공식 공지 · 캐나다 사이버보안센터 후속 안내

이번에 문제가 된 것은 PHP 실행 환경이다

PHP는 서버에서 웹 요청을 처리하고 페이지나 데이터를 만드는 데 쓰이는 언어다. 브라우저가 보내는 요청을 PHP 실행 환경이 받아 처리하고, 그 위에서 CMS나 업무용 웹 애플리케이션이 동작할 수 있다.

이번 두 취약점은 특정 홈페이지의 로그인 기능이나 플러그인 하나에 한정된 문제가 아니다. PHP 내부의 메모리와 요청 상태 처리에 관련된다. 앱의 코드가 실행되기 전에도 문제가 발생할 수 있다는 점이 특히 중요하다. 로그인 화면이 있다고 해서 그 앞단의 런타임까지 보호되는 것은 아니다.

취약점	문제의 핵심
CVE-2026-109618	메모리 부족 오류 처리 중, 불완전한 내부 요청 데이터를 정리 과정에서 사용하게 될 수 있다.
CVE-2026-109619	이전 요청의 메모리가 해제된 뒤에도 워커에 남은 상태를 다음 요청이 사용하게 될 수 있다.

두 건의 CVSS v4.0 점수는 9.2, Critical이다. 다만 높은 점수가 모든 서버에서 같은 방식과 성공률로 공격된다는 뜻은 아니다. 공식 기술 공지는 PHP 빌드·확장·요청 처리 방식에 따라 조건이 다르다고 설명한다. 확인된 원격 코드 실행 권한도 웹 워커 계정의 권한이며, 곧바로 모든 시스템의 관리자 권한을 얻는다는 뜻은 아니다. 메모리 부족 처리 공지 · 남은 전역 상태 관련 공지 · 싱가포르 CSA 경보

PHP-FPM이면 괜찮을까? 먼저 실행 방식을 확인하자

PHP 프로젝트는 PHP-FPM, Apache의 mod_php, php-cgi, FrankenPHP, LiteSpeed 등 웹 요청을 처리하는 PHP 환경 전반을 점검 대상으로 안내했다. 특히 mod_php는 응용 코드 실행 전 공격이 가능한 사례가 입증돼 위험을 높게 평가했다. 다른 실행 방식을 쓴다는 이유만으로 점검을 생략해서는 안 된다. 공식 영향 범위

실무에서는 홈페이지보다 PHP가 포함된 구성 요소를 찾는 편이 정확하다. 외주로 만든 사이트, 컨테이너 이미지, NAS나 장비의 웹 관리 기능, 오래된 사내 업무 도구가 점검에서 빠지기 쉽다. 장비에 웹 화면이 있다는 사실만으로 취약하다고 단정할 수는 없으므로, 제품·버전별 제조사 공지와 대조해야 한다. 내장 구성 요소까지 확인하라는 권고

10월 21일 패치와 23일 후속 안내를 구분해야 한다

다음은 처음 두 취약점에 대한 지원 브랜치별 수정 버전이다. 설치할 때는 이 표에만 머무르지 말고 현재 공급자가 제공하는 후속 보안 업데이트도 확인하자.

사용 브랜치	10월 21일 최초 수정 버전
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35

배포판이나 LTS 공급자가 수정을 백포트했다면 상위 버전 번호가 그대로일 수 있다. 숫자만 비교하기보다 해당 패키지에 두 CVE의 수정이 포함됐는지를 공급자 보안 공지에서 확인해야 한다. PHP 8.1 이하에 대해서도 정규 지원과 제한적인 소스 백포트를 혼동하지 말고, 지원되는 버전으로의 전환 또는 공급자의 지원 범위를 확인하자. 수정 버전·구버전 안내

별도로 CVE-2026-115560은 23일 공개된 후속 사안이다. 업로드 진행 추적 기능이 켜져 있고, 세션 직렬화 방식을 특정 값에서 php로 실행 중 변경하는 등 드문 설정·코드 조합이 필요하다. 21일 업데이트가 이 문제까지 수정한 것은 아니다.

PHP 팀은 다음 정규 수정 릴리스 전까지 session.upload_progress.enabled=0을 제안했다. 이미 이 설정을 적용해 유지 중이면 이 후속 사안에 대한 추가 조치가 필요하지 않으며, 실행 중 직렬화 방식을 바꾸지 않는 앱은 이 공격 경로에 노출되지 않는다고 설명했다. 설정 적용은 웹 요청에 사용되는 구성과 워커 반영 여부까지 공급자 지침에 따라 확인해야 한다. 후속 취약점의 조건과 조치 · PHP의 23일 안내

공격 시도와 실제 침해는 다른 이야기다

AWS는 10월 17일부터 MadPot 허니팟에서 공격 시도를 관측했다고 발표했다. 공개일보다 앞선 시도이지만, 그 요청이 실제 운영 시스템에서도 성공했을지는 불명확하다고 함께 밝혔다. 한편 싱가포르 CSA는 23일 갱신 안내에서 광범위한 공격 시도를 경고했다. 이 자료들은 긴급 대응이 필요한 이유이지, 모든 PHP 사이트가 이미 침해됐다는 증거는 아니다. AWS의 관측과 한계 · CSA 갱신 안내

후속 정정도 확인할 필요가 있다. 일부 보도는 유럽 정부기관 침해 사례를 PHP2Shell과 연결했다. 하지만 Unit 42는 25일 갱신에서 최초 침투가 해당 CVE 때문인지 확인할 수 없다며 23일 설명을 철회했다. 따라서 이 글에서는 그 사례를 PHP2Shell의 성공한 침해 사례로 세지 않는다. 관련 보도 · Unit 42의 정정 원문

네트워크 담당자는 무엇을 함께 봐야 할까?

WAF가 요청을 차단하는 것과 PHP 취약점이 수정되는 것은 별개의 확인 항목이다. AWS도 WAF를 패치하는 동안 노출을 줄이는 보조 수단으로 설명하며, 업데이트를 대체할 수 없다고 명시했다. 정상 업로드를 막지 않는지와 요청 본문 검사 범위도 확인해야 한다. AWS WAF 완화 지침

그래서 서버 담당자에게 “패치했나요?”만 묻기보다 다음 항목을 함께 정리하는 편을 권한다. 아래 표는 텐스의 운영 점검 제안이다.

확인 영역	남겨둘 결과
자산과 접속 경로	도메인·원본 서버·관리 주소·PHP 실행 방식·담당자. CDN 뒤 원본이나 별도 관리 경로가 빠지지 않았는지 확인한다.
수정 패키지	브랜치·패키지 빌드와 CVE 수정 근거. 컨테이너·복제 인스턴스·자동 확장 템플릿에도 반영됐는지 확인한다.
실행 반영	실제 웹 요청을 처리하는 모든 워커의 적용 상태. 터미널의 php -v만으로 웹 서버가 같은 실행 파일을 쓴다고 판단하지 않는다.
서비스와 조사	로그인·조회·파일 업로드 등 정상 기능 시험, 웹·PHP·단말 로그 보존과 이상 동작 확인 결과를 기록한다.

바로 업데이트할 수 없다면 공식 완화 지침과 함께 외부 노출 제한이나 격리를 검토해야 한다. 업무 영향과 복구 절차를 확인한 뒤 적용할 일이다. 캐나다 사이버보안센터는 웹 서버·앱·인증·단말 로그, 예상하지 못한 프로세스·파일·외부 연결도 조사하라고 권고했다. 격리·조사 권고

패치는 이후 공격 경로를 줄이는 작업이고, 기존 침해 확인은 별도 작업이다. AWS는 이번 사안의 조사 범위를 적어도 10월 17일부터 살펴보라고 권고했다. 이는 보존한 로그에서 조사할 기준이지, 그날부터 모든 서버가 피해를 봤다는 뜻은 아니다. 로그 조사 시작점

텐스의 시각

이번 사건에서 눈여겨볼 부분은 취약점 이름보다 내 서비스가 어떤 실행 환경 위에서 돌아가는지 바로 답할 수 있는가다. 홈페이지는 외주 업체가, 서버는 호스팅 업체가, 방화벽은 네트워크 담당자가 맡으면 각자 자기 영역만 정상이라고 답하기 쉽다.

도메인에서 원본 서버와 실행 환경, 패치 담당자까지 이어지는 짧은 자산표가 있으면 대응이 달라진다. 패치 요청 후에도 수정 패키지·실행 반영·서비스 시험·이전 흔적 조사까지 결과를 받아야 한다. 텐스는 이런 역할 사이의 연결을 확인하는 것이 이번 이슈에서 남길 운영상의 교훈이라고 본다.

2026년 10월 26일 확인한 공개 자료 기준입니다. 취약점 조건과 수정·완화 지침은 갱신될 수 있으므로 작업 직전에 원문을 다시 확인해주세요.

함께 읽을 자료

IT Pro의 긴급 패치 보도에서 사건의 초기 쟁점을 살펴볼 수 있습니다. 이 글의 버전·지원 조건은 PHP와 기관 원문, 침해 사례의 연결 여부는 최신 정정 원문을 우선해 확인했습니다.