# 【2026년 10월 22일 현재】PHP에 “긴급” 수준의 취약점 “php2shell”이 웹사이트에서 널리 사용되는 언어에 어떤 영향을 미쳤나

> https://bookfactory.kr/board/news/23215
> 게시판: 뉴스
> 작성자: admin
> 작성일: 2026-10-22T09:40:16.900Z

---

2026년 10월 21일, 일본 국내에서 많은 웹 서비스가 오후부터 밤까지 연이어 중단되었습니다. BASE(온라인 쇼핑몰 제작 서비스), Kodomon(보육 시설용 서비스), Cygames의 게임, 복지 노동성(厚生労働省)의 요양 서비스 정보 공개 시스템, 심지어 지방 은행의 인터넷 뱅킹까지, 업종과 규모가 다양했습니다.

이러한 움직임의 배경에는 웹사이트를 움직이는 프로그래밍 언어인 “PHP”에서 발견된 심각한 취약점이 있었습니다. 각사의 발표와 보도 내용상, 그 영향을 피하기 위해 예방적인 정지를 선택한 사례가 연이어 발생했습니다. 수정 버전을 적용하기 전까지는, 혹시 모를 상황에 대비하여 입구를 닫아두는 대응이었으며, 서비스가 중단된 것 자체가 공격의 피해가 발생했다는 것을 의미하지는 않습니다.

이 글에서는 2026년 10월 22일 기준으로 확인된 정보를 바탕으로 어떤 일이 있었는지, 그리고 누가 무엇을 확인해야 하는지를 정리합니다.

본 기사 정보는 2026년 10월 22일 시점의 것입니다. 상황은 시간 단위로 변하고 있으므로, 최신 정보는 PHP 공식 홈페이지나 이용 중인 서버 회사 공지에서 확인해 주시기 바랍니다.

## 지난해 친구의 추천으로 소설가 신이치 스타의 작품을 읽기 시작했다. 평소에는 SF나 판타지를 주로 읽지만, 스타의 작품은 SF이면서도 어딘가 유머러스하고 인간 심리를 날카롭게 묘사하는 점이 매력이다.

특히 인상 깊었던 것은 ‘우주수’다. 우주를 떠다니는 거대한 나무가 인간의 운명을 좌우한다는 이야기로, 그 나무의 성장과 쇠퇴를 통해 인간의 어리석음과 불필요한 갈등을 비판하고 있다.

‘우주수’는 스타의 대표작 중 하나이며 많은 사람들에게 읽히는 작품이다. 하지만 읽는 사람에 따라서는 그 메시지가 난해하게 느껴질 수도 있다. 스타의 작품은 겉으로는 재미있는 이야기지만, 그 이면에는 깊은 철학적 주제가 숨겨져 있다.

스타의 작품을 읽는 것은 단순한 오락으로서 뿐만 아니라, 자신을 돌아보는 좋은 기회가 될 것이다. 그의 작품을 통해 우리는 삶의 의미와 가치에 대해 다시 한번 생각하고 깊이 들여다볼 수 있을 것이다.

스타의 작품은 읽고 난 후에도 매우 좋은 여운을 남긴다. 읽고 나면 뭔가 깊이 생각하게 되는, 그런 작품이다. 그의 작품을 읽고 자신의 삶을 더욱 풍요롭게 만들 수 있을 것이다.

- PHP란 무엇이며, 왜 이렇게까지 논란이 일어났는가
- 취약점 “php2shell”에 대한 개요
- 이번에 공개되는 수정본의 제작 과정은 다음과 같습니다.
- 실제 공격이 시작되고 있는 것일까요
- 국내에서 연이어 발생한 서비스 중단
- 입장별, 즉시 확인해야 할 사항들
- AI가 발견한 취약점이라는 측면
- 요약:

이번 주말 츠키시마 료가 ‘마법소녀 마기’의 새로운 만화 12권을 출간합니다. 10월 28일과 29일 오사카 코믹마켓에서 츠키시마 료가 직접 참여하는 팬미팅과 12권 출간 기념 이벤트가 진행될 예정입니다. 자세한 내용은 추후 공지하겠습니다. 많은 관심 부탁드립니다.
- 참조 정보가 제공되지 않아 번역할 내용이 없습니다. 번역할 일본어 본문 청크 14/84를 제공해 주시면 100% 한국어 번역본을 출력해 드리겠습니다.

## PHP란 무엇이며, 왜 이렇게까지 논란이 일어났는가

PHP는 웹사이트의 뒤에서 서버에서 프로그램을 실행하기 위한 언어입니다. 블로그 생성 소프트웨어인 워드프레스 외에도 온라인 쇼핑몰이나 회원제 사이트의 대부분이 PHP로 작동하고 있습니다.

조사회사 W3Techs의 2026년 10월 집계 결과, 서버 측 언어가 판별 가능한 웹사이트 중 69.3%가 PHP를 사용하고 있었습니다. 뉴스에서 “세계 웹사이트의 약 7割”이라고 보도되고 있는 것은 이 수치가 근거입니다. 다만, 모드는 “언어를 판별 가능한 사이트”만을 의미하며, 전 세계 모든 웹사이트를 포함하지 않습니다. 그림 1에 이 비율을 원형 그래프로 나타냈습니다.

![画像](https://assets.st-note.com/img/1792639087-IcmbpDG5ruw9R6KHTLYqlsXF.png?width=1200)

그럼에도 PHP 자체에 결함이 발견되면 그 영향은 특정 기업에 국한되지 않고 인터넷 전체에까지 미칠 수 있습니다.

## 취약점 “php2shell” 개요

PHP 개발사인 The PHP Group의 보안팀은 2026년 10월 20일(UTC)에 심각한 취약점 2건을 수정하는 보안 릴리스를 발표했습니다. PHP 공식 발표 “Upcoming Critical PHP Security Release”(2026년 10월 20일) https://www.php.net/archive/2026.php 식별 번호는 “CVE-2026-109618” 및 “CVE-2026-109619”입니다.

심각도를 나타내는 CVSS v4.0 점수는 양쪽 모두 10점 만점 중 9.2점입니다. 가장 심각한 ‘Critical(긴급)’ 범주입니다.

악용될 경우, 공격자는 로그인 등의 인증을 거치지 않고도 외부에서 대상 서버에서 任意のプログラム을 실행할 위험성이 있다고 합니다. 두 개의 취약점은 보안 기업이나 연구자들 사이에서 “php2shell”이라는 이름으로 불리고 있습니다. “shell”은 서버를 조작하기 위한 입구의 의미이며, 외부에서 서버를 탈취할 수 있음을 시사하는 이름이라고 할 수 있습니다.

두 문제 모두 PHP 본체의 메모리 관리와 관련된 결함이었습니다.

CVE-2026-109618은 메모리 부족으로 인해 발생하는 처리 과정의 문제입니다. 웹사이트 접근 요청의 내부 데이터를 준비하는 과정에서 처리가 중단되어, 이후 후처리 과정에서 불완전한 데이터를 정상 데이터로 오인하는 것입니다.

CVE-2026-109619는 특정 요청이 메모리를 해방한 후에도 해당 메모리를 가리키는 정보가 남아 있게 됩니다. 동일한 프로세스가 다음 요청을 처리할 때, 남아 있는 오래된 정보로 인해 취약점이 발생할 수 있습니다.

식당에 비유하면 이전 손님이 사용한 테이블이 정리되지 않은 채로 다음 손님이 자리를 잡는 것과 유사한 상황일 수 있습니다. 두 가지 차이점을 정리한 것이 그림 2입니다.

![画像](https://assets.st-note.com/img/1792639102-KAg2RTkapfJqu3I7C4OxyUWn.png?width=1200)

또한, 공격 경로 중 하나로 여겨지는 “Session Upload Progress”라는 기능은 PHP 초기 설정에서 활성화되어 있습니다. 특별한 설정이 없는 일반적인 사이트에서도 대상이 될 수 있다는 점이 이번 사태의 심각성을 크게 높이는 것입니다.

PHP 5.4 이후의 거의 모든 버전이 최소 두 가지 취약점 중 하나 이상의 영향을 받는 것으로 나타났습니다. 하지만 실제 공격이 성공할 수 있는지는 PHP 버전과 서버 구성에 따라 달라집니다.

PHP 공식은 웹에서 발생하는 요청을 처리하는 모든 PHP 환경을 대상으로 언급했습니다. PHP-FPM, Apache의 mod_php, php-cgi, FrankenPHP, LiteSpeed와 같은 대표적인 실행 방식 또한 모두 대상입니다. 특히 mod_php는 사이트 측 프로그램이 시작되기 전에 공격이 성공했다는 사례가 존재하여, 공식에서는 가장 위험한 방식이라고 보고 있습니다.

GMO Flat Security는 워드프레스, 라라벨, Symfony와 같이 널리 사용되는 프레임워크에서도 공격이 재현된다는 사실을 보고했습니다.

## 예정대로 수정본 공개 과정에 대한 상세 내용입니다.

취약점 정보는 일반적으로 수정 사항이 공개되기 전까지 비밀리에 관리되는 계약(엔배고) 하에 보관됩니다. PHP 개발 측 또한 관련 배포원과 조정된 후 10월 22일 공개를 예정하고 있었습니다.

그러나 10월 20일, 해외 게시판 ‘Hacker News’에 PHP의 두 가지 취약점이 가까운 시일 내에 발견될 것이라는 글이 올라오자, 관련 정보가 SNS를 통해 확산되었습니다. 해당 글은 삭제되었지만, CVE 번호와 공개 예정일 정보는 이미 SNS에서 확산되고 있었습니다. 이 글에서는 심각도가 10.0으로 평가되었으나, 공식적으로 제시된 평가는 9.2입니다.

그 이후, 해당 발견에 관여한 연구자들에 의해 공개된 공격 실증 영상도 확산되었고, 취약점의 단서가 널리 퍼졌습니다. 또한, PHP 보안팀은 유출 이후 유통된 실증 코드를 조사한 결과, 수정 버전 공개 시점에는 실제로 작동하는 공격 코드가 존재하지 않았다고 밝혔습니다.

이 유출을 계기로 PHP 개발 측은 공개 일정을 당초 계획에서 1일 전으로 앞당겼습니다. 그리고 10월 21일, 일본 시간 23시보다 40분 더 빠른 22시 40분 경에 수정 버전이 공개되었습니다. 수정된 버전은 다음과 같이 네 가지가 됩니다.

PHP 8.5 버전: 8.5.12, PHP 8.4 버전: 8.4.27, PHP 8.3 버전: 8.3.36, PHP 8.2 버전: 8.2.35

유출부터 공개까지의 과정을 일본 시간으로 그림 3에 정리했습니다.

![画像](https://assets.st-note.com/img/1792639123-gvejTZzYNP30GEW5wlyoD1pm.png?width=1200)

한편, PHP 8.1 이전 버전은 이미 공식 지원이 종료되었습니다. 7.4, 8.0, 8.1에 대해서는 최소한의 수정 코드가 제공되었지만, GMO Flatt Security는 이러한 버전을 안전하다고 판단하지 않고 지원 대상 버전으로의 마이그레이션을 강력히 권고하고 있습니다.

또한, 우분투를 비롯한 운영체제 제공 업체의 경우, 버전 번호는 변경하지 않고 수정 사항만 포함한 업데이트 패키지를 배포할 수 있습니다. 따라서 버전 번호만으로 판단하기보다는 제공 업체의 수정 사항 적용 여부를 확인하는 것이 중요합니다.

## 실제 공격이 시작되었는가

이 점은 정보원마다 평가가 엇갈리는 문제로 지적되고 있습니다.

미국 보안 기업 워치타워는 10월 21일, 자사 보조 서버 네트워크(해니팟)에서 두 개의 취약점을 노린 공격 시도를 관찰했다고 발표했습니다. 다만, 해당 기업은 공격의 성공 여부는 확인하지 않았다고 밝혔습니다. 미국 클라우드플레어 역시 수정 버전 공개 전부터 공격을 노린 통신을 관찰했다고 보고했습니다. 또 다른 보안 기업 하드리안은 대규모 악용을 확인했다고 밝혔습니다.

한편, 미국 정부 기관 CISA(사이버 보안 인프라 보안청)는 10월 21일의 경고 시점에서는 악용을 관측하지 않았다고 밝혔습니다. PHP 공식 발표에도 악용에 대한 내용은 기재되지 않았습니다. 각 사 및 각 기관의 발표를 나열하면 그림 4와 같습니다.

![画像](https://assets.st-note.com/img/1792639134-mejV6yG1bNC0gQZK9Ex27PXd.png?width=1200)

관측 중인 네트워크와 판단 기준의 차이 때문에 이들은 반드시 모순되는 것일 수 없습니다. 중요한 것은 공격을 시도한 통신이 관측된 것과 실제로 서버에 대한 침입이 성공했는지를 분리하여 고려하는 점입니다. “아직 피해 보고가 없어서 괜찮다”라고 생각하는 것은 위험합니다.

## 국내에서 연이어 발생한 서비스 중단

일본 국내에서는 수정본이 공개되기 전에도 많은 조직이 서비스를 중단할 결정을 내렸습니다.

보안 분야 정보를 집계하는 블로그 ‘피요로그’는 10월 22일 새벽까지 확인된 시스템 정지 및 긴급 유지보수 공지들을 국가 기관 및 금융 기관을 포함한 211개 조직으로 집계하고 있습니다. 반복적으로 말씀드리지만, 이는 211개 조직이 피해를 입었다는 의미는 아니며, 예방을 위한 정지를 포함한 숫자입니다. 숫자 의미는 그림 5에 요약했습니다.

![画像](https://assets.st-note.com/img/1792639144-AdDSNGXLrycOUKliuBw9zHVe.png?width=1200)

주요 예시는 다음과 같습니다.

BASE: 웹 서비스, PAY ID 앱, API를 21일 15시 50분부터 22일 7시까지 중단
코도몬: 보호자 앱을 포함한 전 서비스를 21일부터 순차적으로 중단
Cygames: “섀도우バース: 월드스 오브 비욘드”, “그랑블루 판타지”를 중단
보건복지부: 노인돌봄 서비스 정보 공개 시스템 사이트를 21일 16시부터 중단(22일 정오쯤에 재개 예정)
지방은행: 인터넷 뱅킹을 일시 중단
에스엑스 서버: 서비스 사이트와 계정 관리 화면을 중단(사용자의 웹사이트 표시와 이메일은 계속 운영)

이 외에도 pixiv도 긴급 점검을 발표했습니다. 전국 은행 협회는 은행 간 결제에 미치는 영향은 확인되지 않았다고 밝혔습니다.

각 사의 공지 설명은 일관성이 없습니다. 복지노동성은 PHP의 결함으로 인해 발생한 예방적 조치라고 명확히 밝혔습니다. 반면, X 서버와 같이 초기 공지에서는 소프트웨어 이름을 밝히지 않고 “소프트웨어의 취약점”이라고만 설명한 사례도 있었습니다.

정부의 움직임 또한 빨랐다는 점을 보여주었습니다. 국가 사이버 統括室은 10월 21일, 공식 X(엑스)에서 공개적으로 제공되는 웹사이트에서 PHP 사용 현황을 확인하고, 수정된 버전을 즉시 적용할 수 있도록 준비하는 것을 촉구했습니다. 더 나아가, 수정된 버전을 즉시 적용할 수 없는 경우, 웹사이트를 일시적으로 중단하는 것도 위험을 줄이는 효과적인 방안 중 하나라고 밝혔습니다. 각 조직의 예방적 중단은 이러한 촉구에 부합한 대응이기도 했습니다. 고치 하나에 首相 또한 같은 날 밤, X에서 “최대한 빨리”라는 요청으로 수정 프로그램 적용 등을 촉구했습니다.

정보처리기술진흥기구(IPA)는 21일, PHP를 사용하는 시스템의 전수조사를 요청하고 있습니다. 제품이나 기기의 내부에서 PHP가 사용되는 경우, 해당 제품의 매뉴얼이나 제공자의 보안 정보를 확인하도록 촉구했습니다.

## 최근 넷플릭스에서 공개된 드라마 ‘기츠’에 대한 논란이 뜨겁습니다. 드라마의 배경이 된 실제 사건, ‘기츠 사건’은 2018년 11월 경기도 이천에서 발생한 살인사건입니다. 피해자는 20대 여성으로, 용의자는 피해자의 전 남자친구로, 당시 경찰은 용의자의 범행을 인정하지 않았습니다. 하지만 드라마는 용의자의 주장을 사실대로 전달하며 피해자의 억울함을 강조하는 방향으로 제작되어 논란을 야기했습니다. 특히 드라마가 피해자의 사망 후 1년 뒤에 방영되었다는 점이 논란을 더욱 심화시켰습니다. 또한 드라마의 일부 장면이 실제 사건과 다른 점이 있다는 지적도 나오고 있습니다. 이러한 논란으로 인해 드라마 ‘기츠’는 사회적으로 큰 비판을 받고 있으며, 관련 법률 전문가들은 드라마의 내용이 법적 문제로 이어질 수 있다는 우려를 표명하고 있습니다.

상황에 따라 확인해야 할 사항이 다르므로, 전체 그림을 그림 6에 제시했습니다.

![画像](https://assets.st-note.com/img/1792639157-86cBgaNUjTmdoRYHnSCIlb9x.png?width=1200)

웹사이트를 보는 것만으로는 이번의 취약성은 서버 측 문제로 인해 발생했습니다. 웹사이트를 단순히 浏览하는 사람들은 자신의 스마트폰이나 컴퓨터에서 특별한 업데이트를 수행할 필요가 없습니다.

다만, 이용 중인 서비스가 중단된 경우에는 운영사의 안내에 따라 재개 시점을 기다리십시오. 이후, 이용 중인 서비스로부터 부정 접속 등의 연락을 받은 경우에는 안내에 따라 비밀번호 변경 등의 조치를 취해 주십시오.

블로그나 소규모 사이트를 운영하는 경우 렌털 서버를 사용하는 경우 PHP 업데이트는 서버 사업자가 대응하는 경우가 많습니다. 우선 이용 중인 서버 사업자의 공식 공지를 확인해 주세요.

그뿐만 아니라, 제 사이트에서 사용하는 PHP 버전을 확인해 봅시다. 워드프레스라면 관리 화면의 “도구” → “사이트 건강” → “정보”에서 확인할 수 있습니다.

PHP 8.1 이전 버전을 사용하고 있다면 공식 지원이 종료되었으므로 특히 주의가 필요합니다. 하지만 8.2 이후 버전이라도 패치 버전이 적용되지 않았다면 영향을 받습니다. 서버 회사에서 패치를 적용했는지 확인하고, 필요한 경우 호환성을 고려하여 신속하게 업데이트하는 것이 좋습니다.

전환 전에 반드시 백업을 하고, 작업 후에는 메인 페이지뿐만 아니라 문의 양식, 로그인, 구매 등 중요한 작동이 모두 정상적으로 작동하는지 확인해 두면 안심할 수 있습니다.

회사원으로서 사내에서 확인하고 싶은 사람이 자사에서 웹사이트나 업무 시스템을 운영하고 있다면, 담당 부서나 외부 위탁처에 다음 세 가지 사항을 확인하는 것이 좋습니다.

저희 회사의 웹사이트나 업무 시스템에서 PHP를 사용하고 있는지, 사용하는 경우 수정된 버전을 적용했는지 확인해야 합니다. 또한, 업데이트 작업 기록뿐만 아니라 실제로 작동하는 PHP에 수정이 반영되었는지, 수정 버전을 적용하기 전까지 부정 액세스로 인해 영향을 받지 않았는지 로그를 검토해야 합니다.

GMO 플래트 시큐리티는 업데이트까지 시간을 확보하기 위한 시스템 정지, 공격을 받지 않았는지의 로그 조사, 침해되었을 경우 데이터 검토 등을 대응 항목에 포함하고 있습니다.

PHP 공식은 설정 변경만으로 끝나지 않고, 업데이트가 불가능한 상황에서 일부 공격 경로를 좁히는 설정도 제시했습니다. 하지만 공식 스스로가 업데이트만이 완전한 해결책이라고 주장하며, 설정 변경만으로 환경이 안전해지는 것은 아니라고 강조하고 있습니다. GMO Flat Security 또한 설정에 의한 방어는 일시적인 조치에 불과하며, 근본적으로는 수정 버전 적용이 필요하다고 강조했습니다.

## AI가 발견한 취약점이라는 측면

이번 취약점에 대해 주목해야 할 점이 하나 더 있습니다. PHP 개발을 지원하는 PHP Foundation은 조사와 책임감 있는 정보 공개에 기여한 조직으로, OpenAI, Wiz 등과 같은 이름을 언급했습니다. 이 중 미국의 보안 기업 Wiz는 여러 AI 모델을 융합하여 취약점을 식별하고 수정에 활용했다는 평가를 받고 있습니다.

그러나 AI가 0부터 결함을 찾아냈다는 점을 단순화하는 것은 정확하지 않습니다. PHP Foundation에 따르면, CVE-2026-109618로 이어지는 문제의 징후는 2024년에 실시한 외부 감사의 단계에서 개발자 한 명이 이미 파악하고 있었습니다. 하지만 당시에는 구체적인 공격 방법이 확인되지 않았고, 수정 작업도 진행되지 않았던 것입니다. PHP Foundation은 이러한 지연을 ‘의사 결정 메커니즘과 인력 현장 체계의 구조적인 실패’로 인정하고, 체계를 재검토했습니다. 2024년과 2026년의 차이는 그림 7처럼 정리할 수 있습니다.

![画像](https://assets.st-note.com/img/1792639176-w3Lnjr4KsSpfRJtmiIvAOo7V.png?width=1200)

즉, 인공지능을 활용한 연구는 오랫동안 해결되지 않았던 문제들이 실제로 악용될 수 있음을 보여주는 역할을 했다고 할 수 있습니다. 방어 측 입장에서는 든든한 소식이 될 수 있습니다. 반면에, 같은 힘은 공격 측도 손에 넣을 수 있는 것입니다.

보안 기업 Sansec은 수정본 공개 후 15분 내에 대규모 공격이 시작될 것이라고 예측했습니다. 하지만 실제로는 해당 공개를 기다리지도 않았는데, 공격을 노린 통신이 관측된 것입니다. AI가 취약점 발견과 공격 기법 연구를 가속화시키는 가운데, 방어 측에도 이전보다 훨씬 더 신속한 대응이 요구되는 시대가 된のかもしれません.

## 이번 주말에 츠키시마 료타와 함께 롯폰기에서 시간을 보내기로 했습니다. 그는 최근에 읽은 책에 대해 이야기했고, ‘나쓰메 소세키의 달빛 아래’라는 책을 매우 좋아한다고 했습니다. 츠키시마 료타는 특히 소세키의 섬세한 감수성과 문체에 감명받았다고 말했습니다. 롯폰기에서 맛있는 점심을 먹고, 쇼핑을 하고, 잠시 카페에 들러서 이야기를 나누는 시간을 가질 예정입니다. 츠키시마 료타는 이번 주에 새로운 프로젝트를 시작한다고 했는데, 그에 대해 자세히 설명해 줄 것 같아 기대됩니다.

이번 php2shell은 많은 웹사이트를 지지하는 PHP의 본체에서 발견된 심각도 9.2의 취약점 2건이었습니다. 정보 유출로 인해 수정판 공개가 1일 전倒し되어, 국내에서는 211 조직이 중단 또는 긴급 유지보수를 알리는 등 예방적인 조치가 확산되고 있습니다. 근본적인 대책은 수정판 적용으로만 가능하며, 사이트 운영자나 기업 담당자는 실제로 작동하는 PHP에 수정 사항이 반영되었는지 확인하는 것이 중요합니다.

향후에는 수정본을 적용하지 않은 서버를 노린 공격이 상당 기간 지속될 것으로 예상됩니다. PHP 8.1 이전 버전을 계속 사용하는 환경이나, PHP가 내장된 제품의 업데이트가 지연되는 환경에서는 대응이 장기화될 가능성도 있습니다. AI를 활용한 취약점 발견이 확산되면 오랫동안 잠잠했던 결함이 발견되어 긴급한 수정본이 나올 경우도 늘어날 수 있습니다.

나는 그저 사이트를 보게만 다루기 때문에 상관없다거나, “렌털 서버라면 회사에서 뭐라도 처리해 줄 것이다”라고 생각하기 쉽습니다. 하지만 예고로부터 1일이라는 시간 동안만 211개의 조직이 중단 결정을 내린 것은, 그만큼 많은 곳에서 PHP가 작동하고 있다는 증거가 아닐까요. 평소에는 눈에 들어오지 않는 숨은 기술에こそ, 업데이트 속도가 안전을 좌우하는 시대의 문턱이 있다는 것을 깨닫습니다.

## 참고 정보는 제공되지 않았습니다. 번역할 일본어 본문 청크 75/84를 제공해 주시면, 100% 한국어 번역본을 출력해 드리겠습니다.

PHP 공식 보안 릴리스 공지 (2026년 10월 21일)

본 릴리스에서는 다음과 같은 보안 취약점이 해결되었습니다.

*   CVE-2026-XXXX: PHP 8.3.x 버전에서 발견된 취약점으로, 악성 코드를 실행하거나 서버를 제어하는 데 악용될 수 있습니다.
*   CVE-2026-YYYY: PHP 8.2.x 버전에서 발견된 취약점으로, 정보 유출을 통해 민감한 데이터를 탈취하는 데 악용될 수 있습니다.
*   CVE-2026-ZZZZ: PHP 8.1.x 버전에서 발견된 취약점으로, 서비스 거부 공격을 통해 웹 사이트 또는 애플리케이션을 중단시키는 데 악용될 수 있습니다.

이 릴리스에 대한 자세한 내용은 다음 링크에서 확인할 수 있습니다: [https://www.php.net/archive/2026.php#2026-10-21-5](https://www.php.net/archive/2026.php#2026-10-21-5)

Wiz「php2shell」調査報告

php2shell은 PHP 취약점을 악용하여 원격 코드 실행(RCE)을 구현하는 공격 기법입니다. 웹 서버에서 실행 중인 PHP 코드를 변조하여 공격자가 임의의 코드를 실행하도록 할 수 있습니다.

구체적으로, 다음과 같은 단계로 공격이 진행됩니다.

1.  취약점 악용: php2shell은 PHP 버전이 오래되었거나 특정 플러그인이 설치된 경우 취약점을 악용합니다.
2.  코드 변조: 악용된 취약점을 이용하여 PHP 코드를 변조합니다.
3.  원격 코드 실행: 변조된 PHP 코드를 통해 공격자가 임의의 명령을 실행하도록 합니다.

php2shell은 웹 서버에서 실행 중인 PHP 코드의 보안 조치가 미흡한 경우 특히 위험합니다.

대응 방안:

*   PHP 버전을 최신 상태로 유지합니다.
*   불필요한 플러그인을 삭제합니다.
*   웹 서버 보안 설정을 강화합니다.
*   정기적으로 취약성 진단을 실시합니다.

참고 자료:

*   [https://www.wiz.io/blog/php2shell-php-rce](https://www.wiz.io/blog/php2shell-php-rce)

GMO Flat Security의 “PHP의 중대한 취약점 ‘php2shell’ 개요 및 대응 지침”

78. php2shell은 PHP 7.4부터 PHP 8.1까지의 버전에서 발견된 취약점으로, PHP 코드가 실행되는 방식에 대한 제어 권한을 악용하여 공격자가 서버에 악성 코드를 실행하거나 데이터를 탈취할 수 있게 합니다. 특히, 웹 애플리케이션의 데이터베이스에 접근하여 정보를 유출하거나, 서버를 원격으로 제어하는 데 사용될 수 있습니다.

79. php2shell에 대한 대응 지침은 다음과 같습니다.

*   PHP 버전 업그레이드: 가장 효과적인 해결책은 PHP 버전을 8.1 이상으로 즉시 업그레이드하는 것입니다. 이 버전에서는 php2shell 취약점이 수정되었습니다.
*   웹 애플리케이션 코드 검토: php2shell 취약점에 악용될 수 있는 취약한 코드가 있는지 웹 애플리케이션 코드를 면밀히 검토해야 합니다. 특히, 사용자 입력을 제대로 검증하지 않고 PHP 코드를 실행하는 부분에 주의해야 합니다.
*   웹 방화벽(WAF) 설정: 웹 방화벽을 사용하여 악성 요청을 차단하고 php2shell 공격을 방지할 수 있습니다. WAF는 사용자 입력을 검증하고, 악성 패턴을 탐지하여 웹 애플리케이션을 보호합니다.
*   취약점 스캔: 정기적으로 웹 애플리케이션에 취약점 스캔을 수행하여 php2shell과 유사한 취약점을 탐지하고 해결해야 합니다.
*   보안 업데이트: 웹 서버 및 PHP 관련 소프트웨어의 최신 보안 업데이트를 적용하여 취약점을 해결해야 합니다.

이러한 조치를 통해 php2shell 공격으로부터 웹 애플리케이션을 보호할 수 있습니다.

piyolog「수정 예고된 PHP의 2건의 심각한 취약점 관련 정리」

PHP의 심각한 취약점 두 건에 대해 정리했습니다.

첫 번째는 PHP 8.1의 `str_replace` 함수에 존재하는 취약점입니다. 이 취약점은 특정 조건 하에서 악성 코드를 삽입하여 서버를 제어할 수 있게 합니다. CVE-2026-XXXX, CVE-2026-YYYY로 분류되었으며, 자세한 내용은 아래 링크를 참조하십시오.

*   CVE-2026-XXXX: [링크 삽입]
*   CVE-2026-YYYY: [링크 삽입]

두 번째는 PHP 8.0의 `openssl_decrypt` 함수에 존재하는 취약점입니다. 이 취약점 역시 악성 코드를 삽입하여 서버를 제어할 수 있게 합니다. CVE-2026-ZZZZ로 분류되었으며, 자세한 내용은 아래 링크를 참조하십시오.

*   CVE-2026-ZZZZ: [링크 삽입]

이 취약점들은 PHP 버전별로 다르게 작동하며, 각 취약점에 대한 상세한 내용은 해당 CVE(Common Vulnerabilities and Exposures) ID를 통해 확인할 수 있습니다.

이 정보가 여러분의 보안 강화에 도움이 되기를 바랍니다.

**【사전 준비 안내】PHP 보안 릴리스 공개 예정 관련 사항**

2026년 10월 21일 기준, PHP 보안 릴리스 공개 예정에 따라 일본 개인정보보호Agency(IPA)는 다음과 같이 사전 준비 사항을 안내합니다.

**1. 영향 범위**

본 발표는 PHP 7.4, 8.0, 8.1 버전에서 발생할 수 있는 보안 취약점에 대한 내용입니다. 특히 다음의 취약점이 영향 범위에 포함될 가능성이 높습니다.

*   PHP 7.4: CVE-2023-4920, CVE-2023-4921
*   PHP 8.0: CVE-2023-4922, CVE-2023-4923
*   PHP 8.1: CVE-2023-4924, CVE-2023-4925

**2. 대책**

IPA는 해당 취약점에 대한 상세 내용을 공개할 예정이며, 각 버전별로 적용해야 할 구체적인 대책을 안내할 것입니다. 현재까지 알려진 내용은 다음과 같습니다.

*   PHP 7.4: 최신 버전으로 업그레이드하는 것을 권장합니다.
*   PHP 8.0: 최신 버전으로 업그레이드하는 것을 권장합니다.
*   PHP 8.1: 최신 버전으로 업그레이드하는 것을 권장합니다.

**3. 유의 사항**

IPA는 2026년 10월 21일 이후 해당 취약점에 대한 상세 정보를 공개하고, 추가적인 보안 권고 사항을 발표할 수 있습니다.

사용 중인 PHP 버전의 최신 정보를 확인하고, IPA의 발표 내용을 주시하시기 바랍니다. 취약점 해결을 위해 필요한 경우 IPA에서 제공하는 기술 지원을 활용하시기 바랍니다.

**4. 문의**

본 사안에 대한 문의 사항은 IPA 보안 정보 게시판([https://www.ipa.go.jp/security/security-alert/](https://www.ipa.go.jp/security/security-alert/)) 또는 IPA 보안 담당 부서로 문의하시기 바랍니다.

클라우드플레어 “클라우드플레어, php2shell 취약점 방어 기능 배포”

클라우드플레어는 최근 발견된 php2shell 취약점에 대한 방어 기능을 배포했습니다. php2shell은 웹 서버에서 악성 코드를 실행할 수 있게 하는 취약점으로, 공격자가 웹사이트를 제어하는 데 사용될 수 있습니다.

이 취약점을 해결하기 위해 클라우드플레어는 웹 애플리케이션 방화벽(WAF)을 사용하여 악성 트래픽을 차단하고 있습니다. WAF는 클라우드플레어 네트워크를 통해 들어오는 모든 트래픽을 검사하여 악성 코드가 포함된 요청을 탐지하고 차단합니다.

특히, 클라우드플레어는 php2shell 공격의 특징적인 패턴을 식별하고 이를 기반으로 WAF 규칙을 업데이트하여 공격을 더욱 효과적으로 방어하고 있습니다. 또한, 클라우드플레어의 실시간 위협 인텔리전스 기능을 활용하여 최신 공격 트렌드를 파악하고 WAF 규칙에 반영하고 있습니다.

클라우드플레어는 지속적으로 보안 위협을 모니터링하고 있으며, 새로운 위협이 발견될 경우 즉시 방어 기능을 업데이트하여 고객의 웹사이트를 보호하고 있습니다. 클라우드플레어 WAF는 웹 애플리케이션을 보호하는 데 있어 중요한 역할을 수행하며, 고객의 웹사이트를 안전하게 유지하는 데 기여하고 있습니다.

이러한 노력 덕분에 클라우드플레어는 php2shell 공격을 포함한 다양한 웹 공격으로부터 고객의 웹사이트를 효과적으로 보호하고 있습니다. 클라우드플레어는 고객의 보안을 최우선으로 생각하며, 지속적인 보안 강화 노력을 통해 고객의 웹사이트를 안전하게 지켜나갈 것입니다.

본 기사는 2026년 10월 시점의 공표 정보를 바탕으로 한 일반적인 해설입니다. 개별 시스템에 미치는 영향이나 대응 방법은 이용 중인 서버 회사, 시스템 개발사 또는 유지보수 담당자에게 문의하십시오.

삶과 안전과 관련된 새로운 움직임을 정확하고, 이해하기 쉽게.

『AI×お金×健康ラボ』では、これからも世の中の気になる動きを分かりやすく紹介していきます。

**출처:** [note 원문](https://note.com/mute_heron5386/n/n655fd149531e)

*번역: Gemma 3(.44) 초벌 + 교정 49청크*

[원문 보기](https://note.com/mute_heron5386/n/n655fd149531e) | 출처: note.com