# PHP 의 치명적인 취약점은 무엇인가? | 전문가가 아닌 내가 알 수 없는 대로 확인한 것

> https://bookfactory.kr/board/news/23400
> 게시판: 뉴스
> 작성자: admin
> 작성일: 2026-10-23T09:44:31.977Z

---

안녕하세요. 내륙 해안가 작은 도시에서 사회복지사를 하고 있습니다. 부미토모입니다.

2026 년 10 월, PHP 에 중대한 취약점 (CVE-2026-109618, CVE-2026-109619, 통칭 'php2shell') 이 발견되었다는 뉴스가 잇따랐습니다. 이 글에서는 전문가가 아닌 저가, 알 수 없는 수준으로라도 공공기관 등의 정보를 조사하고, 그 중 중요하다고 느낀 점을 정리합니다.

## 목차

- 모든 것이 알 수 없는 상태였습니다.
- 발견한 사실들
- 무슨 일이 일어났는지
- 개정판이 나왔습니다.
- 악용되는 상황은 정보가 분산되어 있었기 때문입니다.
- 사쿠마 경제산업국에서 호소했던 사항
- 알 수 없는 방식으로 시도해 본 일
- 느낀 점
- 기타 참고 자료

## 모든 것이 알 수 없는 상태였습니다.

먼저 말씀드리자면, 저는 보안 전문가가 아닙니다. 작은 조직에서 임기응변으로 IT 를 맡고 있는 복지 종사자입니다.

이번 뉴스도 솔직히 말해 기술적 내용은 거의 파악이 안 되었습니다. '보도 자체를 중단하는 게 낫겠다'는 생각도 들었습니다.

그럼에도 불구하고 아무것도 하지 않는 것은 좋지 않다고 생각하여 조사해 보았습니다. 이 글에 적을 것은 출처가 있는 정보와 그 내용을 읽은 제 개인적인感想뿐입니다. 기술적 판단이나 구체적인 대응책은文末에 있는 공적 기관의 정보를 확인하시기 바랍니다.

※2026 년 10 월 22 일 오후 기준 정보입니다.

## 파악한 사실들

### 무슨 일이 일어났는지

PHP 는 웹 사이트를 구동하기 위해 널리 사용되는 언어입니다.

일본 정보처리진흥기구 (IPA) 가 주의보를 발표한 고치 경제산업청의 공지에는 이번 취약점이 악용될 경우 "외부 제 3 자에 의해 임의의 코드가 실행될 수 있다"고 설명되어 있습니다.

말하자면, "외부에서 무단으로 서버를 조작당할 수 있다"는 점입니다.

### 개정판이 나왔습니다.

PHP 개발 팀은 2026 년 10 월 21 일 (일본 시간 기준 23 시) 수정 버전을 공개했습니다. 보도 등에 따르면, 수정 대상은 8.2 이후의 모든 버전이며, 8.1 이 이하의 구버전에는 일반적인 수정 버전이 나오지 않는 것으로 알려졌습니다.

또한 개발 팀은 "수정판 업데이트가 유일한 완전한 대응책이다"라고 밝혔으며, 여러 해외 보안 기업도 이를 전하고 있습니다.

### 악용되는 상황은 정보가 분산되어 있었기 때문입니다.

IPA 는 공개 당시에는 악용 사례가 확인되지 않았다고 밝혔으나, 해외 보안 기업들からは 공격 시도가 관측되었다는 보고도 나오고 있습니다.

어떤 것이 옳은지 초보인 제가 판단할 수는 없습니다. 그래서 "아직 괜찮다"고 단정 짓지 않는 것이 옳다고 받아들였습니다.

## 사쿠마 경제산업청이 호소했던 사항

조사한 결과, 저와 같은 위치에 있는 사람에게는 가장 이해하기 쉬웠던 것이 고쿠쇼 경제산업국의 안내였습니다.

일본 경제산업청「PHP 의 중대한 취약성에 관한 주의보」

[2026 년 10 월 22 일] 시코쿠 지역 주요 기상 정보 및 주의사항 (2026 년 10 월 22 일 기준)

대상으로 직접 사이트를 운영하는 사업자뿐만 아니라, 다음과 같은 사업자들도 언급되었습니다.

- 웹사이트 등 제작 및 관리를 외부 업체에 위탁하는 사업자
- 렌탈 서버를 사용하는 사업자

그리고 호소 내용은 대체로 다음 두 가지였습니다.

- PHP 의 사용 현황과 버전을 확인하여 필요한 대응 방안을 모색합니다.
- 위탁처나 서비스 제공자에게 영향과 대응 상황을 확인합니다.

"내가 스스로 고칠 수 없더라도 물어볼 수 있다"는 말이라면, 전문가가 아닌 저에게도 가능하다고 생각했습니다.

일본 본토 거주자분들은 제가 일본 본토에 거주하지 않고 우연히 발견한 일본 4 도 경제산업청의 공지사항입니다. 이 공지사항은 IPA 가 전국에 배포한 보안 경보 안내를 소개하고 있습니다. 지역과 관계없이 먼저 확인해 보아야 할 것은 다음 두 가지라고 생각합니다. •IPA(정보처리진흥機構) 의 '중요한 보안 정보'

JPCERT/CC 의 '주의보장'

동시에 거주 지역의 경제산업청 웹사이트에도 비슷한 공지사항이 게시되어 있지 않은지 확인해 보는 것도 좋습니다.

## 알 수 없는 방식으로 시도해 본 일

구체적인 내용은 밝히지 않겠습니다만, 행한 일은 다음과 같습니다.

- 뉴스나 SNS 가 아닌 공공기관의 정보를 읽으세요
- 사용 중인 도구들 중 PHP 가 관련될 만한 것이 있는지 고려해 보겠습니다 (AI 에게 물어봅니다).
- 관련될 수 있는 항목에 대해 관리 요청을 받은方이나 서비스 제공업체의 정보를 확인하여 문의하세요.

혼자서는 판단할 수 없는 일만 많았지만, 들은 상대방이 정중하게 답변해 주셔서 매우 안심되었습니다.

## 느낀 점

이번에 가장 느낀 점은 일이 생기자마자 '누구에게 물어봐야 할지' 고민하는 게 매우 어렵다는 점입니다.

- 어떤 것이 어디서 움직이는지
- 누가 관리하고 있는지
- 연락하는 방법은 무엇인가요

평시에도 이를 정리해 두면, 필요할 때 대처 방식이 달라진다는 생각이 듭니다.

복지 현장에서는 매우 중요한 정보를 맡고 있습니다. 전문 IT 직원이 있는 조직은 많지 않습니다. 모든 것을 알려고 하기보다, 모르는 것을 인정하고 올바른 정보와 신뢰할 수 있는 사람들과 연결하는 것이 지금 제게 할 수 있는 일이라고 생각합니다.

## 기타 참고 자료

함께 읽으면 좋은 글

저자가 쓴 글에 대해

![画像](https://assets.st-note.com/img/1792656614-jGD3nOLMiRaQPrS8x6JgANcF.png?width=1200)

**출처:** [note 원문](https://note.com/se_dev/n/ne96fd7a9ebb3)

*번역: Qwen 3.5(.48) 초벌 + 교정 28청크*

[원문 보기](https://note.com/se_dev/n/ne96fd7a9ebb3) | 출처: note.com