# [긴급] PHP 취약점 CVE-2026-109618/109619 (php2shell) 대응 가이드 — 영향 버전, 확인 방법, Claude Code 대응 절차 [2026 년 10 월]

> https://bookfactory.kr/board/news/23254
> 게시판: 뉴스
> 작성자: admin
> 작성일: 2026-10-22T13:19:45.876Z

---

2026 년 10 월 21 일, PHP 에 심각한 CVSS 9.2(긴급) 등급의 취약점 2 개(CVE-2026-109618/CVE-2026-109619) 가 공개되었습니다. 이 취약점은 'php2shell'이라는 이름으로 불리며, 인증 없이 원격으로 코드를 실행할 수 있는 수준이며 이미 수정 패치가 제공되었습니다.

사쿠라, Cygames, pixiv 등 국내 서비스들도 긴급 유지보수를 진행하면서 영향이 확대되고 있습니다.

이 글에서는 '무슨 일이 일어났는지', '자신이 어떤 영향을 받는지', '어떻게 대응해야 하는지'를 신속히 정리한 뒤, 현직 엔지니어로서 Claude Code 와 GitHub Copilot 을 활용해 이 취약점에 안전하게 대응하는 방법을 설명합니다.

이 글에서 알 수 있는 사항: ① CVE-2026-109618/CVE-2026-109619 의 개요와 영향 범위 ② 자신의 PHP 버전이 해당 취약점에 노출되었는지 확인하는 방법 ③ Claude Code·Copilot 을 활용한 패치 적용 절차 ④ 주요 렌탈 서버의 대응 현황

## 1. PHP 취약점 CVE-2026-109618/109619 개요

### 취약성의 전체 양상

PHP 개발 팀은 일본 시간 2026 년 10 월 21 일 22 시 40 분경에 총 2 건의 중대한 취약점을 포함하는 보안 릴리스를 공개했습니다. 두 취약점 모두 CVSS v4.0 점수가 9.2(긴급) 으로, 일반적인 구성 환경에서는 임의의 코드 실행으로 이어질 수 있습니다.

![画像](https://assets.st-note.com/img/1792639481-tyWHupIJv1n6jLDgSxT03ONF.png?width=1200)

### 공격 위협

대상은 PHP-FPM, Apache 의 모듈 버전 (mod_php), php-cgi, FrankenPHP, LiteSpeed 등 주요 PHP 실행 환경의 거의 대부분입니다. 특히 mod_php 가 가장 위험하며, 애플리케이션 코드가 실행되기 전에 인증 없이 요청을 통해 공격을 유발할 수 있다는 사실이 입증되었습니다.

### 이미 발생한 영향

국내에서도 사쿠라 인터넷, 사이게임, 픽시브 등 여러 서비스가 긴급 유지보수에 들어갔습니다. PHP 로 작동하는 웹 애플리케이션을 운영 중인 분들은 호스팅 환경의 PHP 버전을 즉시 확인하시기 바랍니다.

## 2. 영향 버전 및 수정 버전 목록

![画像](https://assets.st-note.com/img/1792639980-q825QPMja4mET7XeyGbU9Hk3.png?width=1200)

최신 수정 버전:

- PHP 8.5 시리즈 → 8.5.12
- PHP 8.4 시리즈 → 8.4.27
- PHP 8.3 시리즈 → 8.3.36
- PHP 8.2 시리즈 → 8.2.35

PHP 8.1 이전에는 이미 지원이 종료되어 공식 수정 패치가 제공되지 않습니다. 해당 버전을 8.4 이후로 업그레이드하는 것을 고려하시기 바랍니다. ※PHP 개발 팀은 예외적으로 7.4, 8.0, 8.1 버전용 소스 수정을 준비하고 있다는 정보가 있습니다.

## 3. PHP 버전 확인 방법

### 서버에 직접 접근할 수 있는 경우

터미널에서 다음 명령을 실행합니다.

실행 결과의 첫 번째 줄에는 PHP 8.4.17 (cli) 버전이 표시됩니다. 이를 그림 2 의 표와 비교해 보세요.

### WordPress 와 같은 웹 서비스를 확인하는 경우

phpinfo() 함수를 사용하는 것이 가장 확실합니다. 다음 PHP 파일을 생성하여 웹 서버에 업로드한 후 브라우저에서 접속하세요.

WordPress 의 경우 관리 화면의 '도구 → 사이트 건강 → 정보 → 서버' 항목에서도 PHP 버전을 확인할 수 있습니다.

### 렌탈 서버의 경우

각 회사의 관리 화면에서 확인 가능합니다. 서버 측에서 자동 업데이트되는 경우가 많으므로, 먼저 관리 화면의 공지사항을 확인해 주세요.

## 4. 주요 렌탈 서버의 대응 현황

현재 공개된 주요 렌탈 서버의 지원 현황은 다음과 같습니다 (2026 년 10 월 22 일 기준, 최신 정보는 각 회사 공식 홈페이지를 확인하시기 바랍니다).

사쿠라인터넷 - 10 월 21 일부터 긴급 유지보수를 실시하며 순차적으로 패치 적용 완료. X 서버 - 대응 현황을 공지 페이지에서 공개 중. 로리팝 - 서버 측에서 PHP 버전 업데이트 완료. 코노하 WING - 대응 현황을 공지 페이지에서 공개 중. 믹스호스트 - 서버 측에서 순차적으로 대응 중.

많은 렌탈 서버는 사업자 측에서 PHP 본체를 자동으로 업데이트하지만, PHP 버전을 직접 지정하는 경우 수동 업데이트가 필요합니다. 관리 화면에서 PHP 버전을 변경할 수 있다면 수정된 버전으로 변경하세요.

## 5. Claude Code 와 GitHub Copilot 을 안전하게 사용하는 방법

이후에는 AI 코딩 도구를 활용하여 인위적 실수를 줄이면서 업데이트 작업을 진행하는 실제 방법을 설명하겠습니다.

### 단계 1: 영향 범위 조사 (Claude Code)

먼저 자신의 프로젝트에서 PHP 의 어떤 버전을 사용하고 있으며 어디서 실행되는지 한 번에 확인합니다. Claude Code 에 다음과 같이 요청합니다.

클로드 코드는 여러 파일을 가로지르며 조사하는 데 능숙하여, 흩어져 있는 버전 지정 불일치를 한 번에 찾아냅니다.

### 단계 2: 업데이트 계획 수립 (Copilot Chat 또는 Claude Code)

### 단계 3: 업데이트 작업 및 자동 테스트 (Claude Code)

### 단계 4: 본업 적용 전 최종 확인 (Copilot 채팅)

## 6. Laravel 사용자에게 추가로 확인해야 할 사항

라벨을 사용 중이시라면 아래 내용도 추가로 확인해 보시기 바랍니다.

① Laravel 의 지원 대상 PHP 버전을 확인하는 방법입니다. 사용 중인 Laravel 버전이 어떤 PHP 버전에 대응하는지 `composer.json` 의 `require` 섹션에서 확인합니다.

② Composer outdated 명령어로 Laravel 의 의존성 패키지를 확인한 후, Laravel 본체와 함께 최신 버전으로 업그레이드 여부를 검토해 보시기 바랍니다.

③ 서비스 제공자가 app/Providers/ 하위에서 세션 관련 커스텀 처리를 수행하는 경우, 세션 업로드 진행 기능에 영향을 미치는 구현이 있는지 확인해 주세요.

## 7. 대응 체크리스트

- 자신의 서버와 서비스에서 현재 사용 중인 PHP 버전을 php -v 명령어로 확인했습니다.
- 도 2 에 표시된 수정 버전 (8.5.4/8.4.19 등) 과 현재 버전을 비교하여 확인했습니다.
- 수정 버전 업데이트 계획 수립
- 검증 환경에서 동작 확인을 완료했습니다.
- 본 환경 적용 일정안을 확정했습니다.
- 롤백 절차를 준비했습니다.
- 패치 적용까지 공격 트래픽 감시 강화

## 8. 왜 AI 코딩 도구가 유용한가

이번 취약점 대응에서 AI 도구가 특히 효과적으로 발휘되는 이유는 세 가지입니다.

빠른 PHP 버전의 영향 범위 조사는 composer.json, Dockerfile, CI 설정, 프로덕션 서버 설정 등 여러 곳에 흩어져 있습니다. Claude Code 는 저장소 전체를 한 번에 스캔하여 누락을 줄일 수 있습니다.

② 야간 대응으로도 실수율이 줄어듭니다. 취약점 대응은 시간과의 싸움이며, 야간 작업이 되는 경우가 많습니다. AI 에게 '계획 → 실행 → 검증'을 맡기면 피로로 인한 인위적 실수를 줄일 수 있습니다.

③ 롤백 절차를 함께 준비할 수 있는 AI 툴에 '롤백 절차 포함'을 요청하면,万一의 경우를 대비한 롤백 계획이 함께 제공됩니다. 이는 긴급 대응 시 자주 간과하는 부분을 보완해 줍니다.

## 요약

이 글의 요약

- 2026 년 10 월 21 일, PHP 개발 팀이 php2shell 취약점 2 개(CVSS 9.2)를 수정한 보안 릴리스를 공개했습니다.
- 인증 없이 원격 코드 실행이 가능하며, PHP-FPM, mod_php, LiteSpeed 등 주요 환경의 대다수가 대상입니다.
- 수정 버전 (PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35) 으로 즉시 업데이트하는 것을 권장합니다.
- Claude Code 와 GitHub Copilot 을 사용하면 영향 범위 조사부터 업데이트 계획, 자동 테스트, 리뷰까지 일관되게 처리할 수 있습니다.
- 야간 긴급 대응은 AI 도구의 무대입니다. 롤백 절차를 함께 준비하면 안전성이 높아집니다.

## 자주 묻는 질문

Q. 렌탈 서버를 사용 중이라면 무엇을 해야 하나요? A. 호스팅 제공업체의 대응 상태를 확인하세요. 많은 제공업체는 자동으로 PHP 버전을 업데이트하지만, PHP 버전을 직접 지정하고 있는 경우 수동 업데이트가 필요합니다.

Q. 워드프레스는 영향을 받습니까? A. 워드프레스 자체보다는 PHP 실행 환경이 영향을 받습니다. 워드프레스를 실행 중인 서버의 PHP 버전을 확인하고 업데이트해야 합니다. 관리 화면의 '도구 → 사이트 건강 → 정보 → 서버'에서 PHP 버전을 확인할 수 있습니다.

Q. 업데이트 전 임시 대응책은 가능한가요? A. GMO Flatt Security 의 조사에 따르면 "Session Upload Progress" 기능을 비활성화하는 것만으로는 대응이 불가능하다는 것이 확인되었습니다. 패치 적용까지의 기간 동안은 공격 트래픽 감시를 강화하고, 공개 후에는 즉시 적용하는 것이 권장됩니다.

Q. PHP 7 시리즈를 사용하고 있습니다. 영향을 받을까요? A. PHP 7 시리즈는 이미 지원이 종료되었으므로 공식 수정 패치가 제공되지 않습니다. 영향을 받을 수 있는 경우 PHP 8.4 시리즈 이상의 버전으로 업그레이드하는 것을 강력히 권장합니다.

Q. Claude Code 와 Copilot 중 무엇을 사용해야 하나요? A. 복잡한 조사 및 자동 실행은 Claude Code, 배포 전 최종 검토는 Copilot Chat 이 더 뛰어납니다. 두 도구를 상황에 맞게 활용하면 가장 안전하게 대응할 수 있습니다.

## 참고・출전

- PHP 개발 팀 공식 공지: https://news-web.php.net/php.announce/509
- GMO Flatt 보안 블로그「PHP 의 중대한 취약점『php2shell』」: https://blog.flatt.tech/entry/php2shell
- CERT-EU: PHP 의 치명적 취약점

## 관련 글

AI 코딩 도구 선택 방법

Claude Code 사용 방법

최신 클로드 모델 아키텍처

Copilot 결제 및 크레딧 절약 방법

이 글이 도움이 되셨다면 팔로우 부탁드립니다. 매주 GitHub Copilot, Claude, Gemini 의 현장 노하우를 공유하고 있습니다. 새 글은 팔로워에게 알림이 발송됩니다.

#PHP #보안 #AI 활용 #엔지니어 #ClaudeCode #GitHubCopilot #CVE #취약성 대응 #WordPress #Laravel #서버 운영 #php2shell #생성 AI

**출처:** [note 원문](https://note.com/ai_work_pro/n/n138d33f21d66)

*번역: Gemma 3(.44) 초벌 + 교정 36청크*

[원문 보기](https://note.com/ai_work_pro/n/n138d33f21d66) | 출처: note.com