PHP 주요 취약점 (CVE-2026-109618 / CVE-2026-109619) 대응 현황 정리 (2026 년 10 월 22 일 기준)
PHP 에 인증 없이 원격 코드 실행이 가능한 심각한 취약점(통칭 php2shell, CVSS 9.2)이 발견되어 10 월 21 일 밤 23 시경에 공식 패치 버전이 공개되었습니다. 국내 주요 렌탈 서버 업체의 대응 현황을 공식 발표를 바탕으로 정리했습니다.
가장 중요한 것은「PHP 버전 번호가 상승했는지」「번호를 변경하지 않고 패치만 적용했는지」의 차이입니다. phpinfo 나 WordPress 사이트 헬스에서 번호가 변경되어 있더라도 대응이 완료된 경우가 있으므로, 공식 공지를 우선 확인하시기 바랍니다.
엑스 서버
- PHP 8.2 에서 8.5 로 공식 수정판으로 업데이트가 완료되었습니다. (버전 번호가 상승했습니다.)
- PHP 7.4~8.1, PHP 5.6~7.3 의 자체 패치 적용이 모두 완료되었습니다.
- PHP 5.5 이전 버전은 준비 및 검증 작업이 계속 중입니다.
- 사이트 표시는 원칙적으로 지속됩니다. 관리 화면은 재개되었으나, 접속 집중으로 인해 영향이 있습니다.
- 사용자 측의 작업은 불필요합니다.
사쿠라인터넷
- 선택 가능한 모든 PHP 버전에 대한 컨트롤 패널 지원 완료
- EOL(지원 종료) 버전을 포함하여 자체 백포팅을 수행했습니다.
- 일부는 버전이 업그레이드되고, 일부는 번호를 유지한 채 대응하는 경우가 혼재할 수 있습니다.
- 사용자 측의 응급 대응은 불필요합니다. 다만 최신 버전으로의 전환을 권장합니다.
- 일부 관리 기능 (phpMyAdmin, 웹메일 등) 은 별도로 지원 중입니다.
로리팝!
- 공식 수정 버전을 적용하고, 기존 버전에도 자체 수정 사항을 반영했습니다.
- 예방 차원에서 일부 고객 사이트를 일시 중단한 후, 2023 년 10 월 22 일 13 시 11 분에 재개했습니다.
- 버전 번호 변경 사항에 대해 공식적으로 강조되지 않았습니다.
- 사용자 측의 작업은 불필요합니다.
헤트메르
- 공식 수정판을 적용하고, 기존 버전에도 자체 수정 사항을 적용했습니다.
- 예방 차원에서 일부 고객 사이트를 일시 중단한 후, 2023 년 10 월 22 일 11 시 24 분에 재개했습니다.
- 로리팝과 거의 동일한 대응 방안
- 사용자 측의 작업은 불필요합니다.
오늘 업데이트된 믹호스트의 새로운 기능은 특히 웹사이트 속도 향상에 초점을 맞추고 있습니다. 믹호스트는 자체 CDN(콘텐츠 전송 네트워크)을 구축하여 사용자의 위치에 따라 가장 가까운 서버에서 콘텐츠를 제공함으로써 로딩 시간을 단축하고 전반적인 웹사이트 성능을 개선합니다.
특히 믹호스트의 CDN은 이미지, CSS, JavaScript 파일 등 정적 콘텐츠를 최적화하는 데 특화되어 있습니다. 이미지 파일은 압축하여 용량을 줄이고, CSS 및 JavaScript 파일은 브라우저에서 더 효율적으로 캐싱될 수 있도록 설정합니다.
또한 믹호스트는 웹사이트의 트래픽을 모니터링하고 필요에 따라 서버 자원을 자동으로 조절하여 안정적인 서비스를 제공합니다. 이를 통해 사용자는 웹사이트 속도 저하 없이 언제든지 원활하게 서비스를 이용할 수 있습니다.
믹호스트의 CDN은 다양한 웹사이트에 적용되어 있으며, 특히 대규모 웹사이트나 트래픽이 많은 곳에서 그 효과를 더욱 크게 발휘합니다. 믹호스트를 통해 웹사이트 속도를 향상시키고 사용자 경험을 개선함으로써 비즈니스 성장을 도모할 수 있습니다.
- 모든 서버에서 수정 패키지가 적용 완료되었습니다 (PHP 5.2~8.5 지원).
- CloudLinux 전용 수정 패키지를 사용하세요.
- 공식에서 버전 번호가 변경되지 않는다고 명시했습니다.
- phpinfo 와 사이트 헬스에서는 번호에 변화가 없습니다.
- 사용자 측 작업은 불필요하며, PHP 8.2 미만의 경우 지원 기간 내 버전으로 업그레이드를 권장합니다.
코노하 WING
- 현재 사용 중인 PHP 버전을 유지하면서 보안 패치를 순차적으로 적용 중입니다.
- 버전 번호를 올리지 않는 방침을 명확히 밝힘
- 파일 매니저와 웹 메일을 예방적으로 정지합니다.
- 사이트 표시 및 메일 송수신은 평소와 동일합니다.
- 사용자 버전 변경은 불필요합니다.
소비자물가지수
- 서비스 사이트나 컨트롤 패널 등을 일시 정지하여 대응 중이라는 정보가 있습니다.
- 완료 여부나 버전 번호 처리에 대한 상세한 공식 안내는 제한적입니다.
- 이용자로부터 진행 확인 요청이 들어오는 것을 확인할 수 있다.
- 최신 상황은 공식 발표를 통해 확인하는 것을 권장합니다.
컬러박스
- 전 서버에 수정 버전을 업데이트 완료했으며, 10 월 22 일 오전까지 완료될 것이라는 안내가 있습니다.
- 구 버전에도 수정 및 보호 조치를 적용한 것으로 명시되어 있습니다.
- 사용자 측의 작업은 불필요합니다.
핵심 서버 / 가치 서버 / XREA(밸류 도메인 그룹)
- 긴급 유지보수를 완료했습니다.
- 사용자로부터 PHP 8.3.36 등 공식 수정 버전으로의 업데이트 확인 보고가 있습니다.
- 고객 측에서 PHP 버전 변경 등 대응이 필요하다는 안내가 있습니다.
- 사용자 측의 작업은 불필요합니다.
오네이름.컴
- 긴급 유지보수 실시
- 현재 버전 유지하면서 패치를 적용하는 방향으로 정보를 파악할 수 있습니다.
- 완성 통보의 상세 내용이나 버전 번호 변경 사항에 대한 명시가 제한적입니다.
- 최신 상황은 공식적으로 확인하는 것을 권장합니다.
카고야
- CVE 번호를 명시한 공지문 공개
- PHP 8.2~8.5 의 수정 버전으로의 업데이트가 진행 중입니다.
- 관리 전용 서버, 공용 서버 등에도 대응 방안을 조정 중입니다.
- 최신 상황은 공식 공지에서 확인하는 것을 권장합니다.
주의사항
- 버전 번호가 올라가는 기업과 번호를 유지하면서 패치를 적용하는 기업이 공존하고 있습니다.
- mixhost 와 ConoHa WING 은 '번호가 바뀌지 않는다'고 명시했으므로, phpinfo 만으로 판단하지 마십시오.
- PHP 8.1 이전의 이전 버전은 공식 수정 버전을 제공하지 않아 각 기업의 독자적인 대응에 의존합니다.
- 상황은 시간이 지남에 따라 변하므로 반드시 현재 이용 중인 서버 회사의 공식 X(트위터) 및 지원 사이트를 직접 확인하시기 바랍니다.
이 글은 2026 년 10 월 22 일 현재 정보를 바탕으로 작성되었습니다.
출처: note 원문
번역: Gemma 3(.44) 초벌 + 교정 66청크
원문 보기 | 출처: note.com