PHP2Shell 취약점: PHP로 만든 홈페이지·관리자 페이지, 지금 버전부터 확인하세요
10월 공개된 PHP 원격 코드 실행 취약점(PHP2Shell)이 실제 공격에 쓰이고 있습니다. 로그인 전에도 공격이 가능해, PHP를 쓰는 사이트는 안전 버전 업데이트와 침해 흔적 점검을 함께 해야 합니다.
무슨 일인가요?
- PHP 보안팀은 10월 21일 원격 코드 실행 취약점 CVE-2026-109618, CVE-2026-109619를 패치했고, 10월 24일에는 아직 패치가 없는 별도 취약점 CVE-2026-115560의 임시 완화 방법을 공유했습니다.
- 미국 CISA는 10월 26일 두 취약점을 '실제 악용 중인 취약점(KEV)' 목록에 올렸고, KISA도 기업 대응 지침을 배포했습니다. 공격은 사용자 인증 전 단계에서도 가능해 로그인 기능만으로는 막을 수 없습니다.
해당되는 곳
- PHP로 개발된 회사 홈페이지·쇼핑몰·게시판
- PHP 기반 내부 시스템(인트라넷, ERP, 그룹웨어)과 관리자 페이지
- 오래돼서 잊고 있던 이벤트 사이트·구 홈페이지
- PHP 8.1 이하처럼 지원이 끝난 버전을 쓰는 서버
확인 방법
- PHP를 쓰는 곳 목록 만들기
대표 홈페이지뿐 아니라 내부 시스템, VPN·방화벽 관리 화면, 방치된 옛 사이트까지 PHP 사용 여부를 확인합니다.
- 실제 PHP 버전 확인
서버에서 php -v 로 확인하거나, 호스팅·유지보수 업체에 실제 적용 버전을 문의합니다. 안전 버전은 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상입니다(KISA 기준).
- 업데이트 후 재시작 여부 확인
업데이트만 하고 웹서버·PHP-FPM을 재시작하지 않으면 적용되지 않을 수 있습니다.
- 침해 흔적 점검
업로드 폴더의 낯선 파일, 모르는 관리자 계정, 바뀐 메인 화면이 있는지 확인합니다. 업데이트를 해도 이미 심어진 악성 파일은 남아 있습니다.
예방 조치
- 안전 버전으로 업데이트
백업과 테스트 후 안전 버전으로 올립니다. PHP 8.2는 12월 31일 지원이 끝나므로 8.3 이상을 권장합니다.
- 비밀번호·연동 키 교체
인터넷에 연결된 DB 비밀번호, 외부 서비스 연동 키, 관리자 계정 비밀번호를 바꿉니다.
- 바로 못 올리면 임시 조치
추가 보안 설정, 서비스 일시 중단, 화면 변조·이상 파일 감시를 적용합니다. 웹방화벽(WAF)은 보조 수단일 뿐 업데이트를 대신하지 못합니다.
이미 피해를 입었다면
- 서버를 끄지 말고 외부 접속을 차단한 뒤 증거를 보존합니다.
- 국번 없이 118 또는 KISA 보호나라에 신고합니다. 고객 개인정보 유출이 확인되면 개인정보보호위원회에도 신고합니다.
출처
PHP2ShellPHP 취약점CVE-2026-109618홈페이지 보안 점검KISA