WordPress 나 Laravel 도 대상입니다. "결국 무엇을 해야 할까?"를 최대한 쉽게 정리해 드립니다 (2026 년 10 월 22 일 기준). "PHP 의 취약점이 심각한 것 같다", "서비스가 긴급 유지보수에 들어갔다"는 같은 뉴스를 최근 몇 일 동안 많이 보셨을 것입니다. 안녕하세요, 초급 인프라 엔지니어인 Sei 입니다. 이번에는 화제가 된 PHP 취약점 'php2shell'에 대해 초급자 관점에서 최대한 쉽게 정리해 보았습니다. ▼이 글에서 알 수 있는 것 ✅ PHP 가 무엇인지? ✅ 어떤 일이 일어났는지 (3 줄로) ✅ 본인에게 관련이 있는지 구분하는 법 ✅ 지금 바로 해야 할 일※보안 정보는 매일 업데이트됩니다. 최신 정보는 반드시 마지막에 기재된 공식 발표를 확인하시기 바랍니다.---■ PHP 가 무엇인지?PHP 는 웹사이트를 구동하기 위한 프로그래밍 언어입니다. 우리가 웹사이트를 볼 때, 배경에는 '서버'라는 컴퓨터가 페이지의 내용을 만들어 보내고 있습니다. PHP 는 이 서버 위에서 작동하여, - 로그인한 사용자의 이름을 표시하는 - 블로그 게시물을 데이터베이스에서 추출하여 나열하는 - 문의 폼 내용을 받아내는 - 즉, '현재 바로 페이지를 구성하는' 일을 수행합니다. 레스토랑에 비유하자면, 고객 (브라우저) 이 주문하면, 주방 (서버) 이 요리 (웹 페이지) 를 만들어 내어 제공합니다. 이 주방에서 요리하는 사람이 PHP 라는 것이죠. PHP 의 가장 큰 특징은とにかく 널리 사용된다는 것입니다. - 전 세계 웹사이트의 대부분에서 사용됨 - 블로그나 사이트 제작으로 유명한 'WordPress'도 PHP 로
PHP 기반의 시스템은 Laravel, EC-CUBE 등 다양한 형태로 존재하기 때문에, PHP 취약점이 발견되면 영향을 받는 사이트 수가 매우 많습니다. 이번 뉴스가 크게 보도된 이유도 바로 이 때문입니다.
---■ 무엇이 일어났는가? (3 줄로 요약)■
- PHP 에 외부에서 서버를 탈취할 수 있는 취약점이 2 개 발견됨
- 심각도는 10 점 만점 중 9.2 점으로 '긴급' 수준
- 2026 년 10 월 21 일 (일본 시간 23 시) 수정 버전이 공개된 이 2 개 취약점은 CVE-2026-109618 과 CVE-2026-109619 로 지정되며, 보안 업계에서는 'php2shell'이라고 불립니다.
---■ 무엇이 그렇게 위험한가?■
가장 위험한 점은 '원격 코드 실행 (RCE)'이라는 유형의 취약점이라는 것입니다. 쉽게 말하면, 외부에서 특별한 요청만 보낼 수 있으면 서버 위에서 원하는 프로그램을 실행시킬 수 있다는 것입니다. 악용될 경우 다음과 같은 피해가 발생할 수 있습니다.
- 사이트 내용을 수정
- 저장된 정보를 탈취
- 서버를 다른 공격의 발판으로 사용
이번에는 PHP 의 매우 오래된 버전이 광범위하게 영향을 받는 것으로 추정되며, 발표 전 정보가 유출되어 계획보다 일찍 공개된 사정도 있어 국내에서도 많은 서비스가 긴급 유지보수를 수행했습니다. 또한 PHP 보안 팀은 수정 버전 공개 시점에 '실제로 사용할 수 있는 공격 코드를 확인하지 못했다고' 밝혔습니다. 다만, 수정 내용에서 공격 방법이 연구될 가능성이 있으므로, 신속한 대응이 중요합니다.
---■ 관련이 있는가? 구분 방법 다음 중 하나에 해당하는 사람은 관련이 있습니다.・WordPress 를 통해 블로그나 사이트를 운영 중이거나・Laravel, EC-CUBE 등 PHP 로 작성된 시스템을 사용 중이거나・개발 중이거나・회사나 개인에서 PHP 가 실행되는 서버를 관리 중입니다.반면, note 나 하테나 블로그처럼 "서비스만 이용해 글을 쓰고 있는" 사람들은 기본적으로 직접 무엇을 해야 할 필요가 없습니다. 서비스를 제공하는 회사가 대응합니다.---■ 지금 바로 해야 할 3 가지 일1. PHP 버전을 확인합니다.서버에 설치된 사람은 다음 명령어로 확인할 수 있습니다.php -vレンタルサーバー나 WordPress 의 경우라면 관리 화면에서 확인할 수 많습니다.2. 수정 버전을 업데이트합니다.수정 버전은 다음 버전입니다.・PHP 8.5 계열 → 8.5.12・PHP 8.4 계열 → 8.4.27・PHP 8.3 계열 → 8.3.36・PHP 8.2 계열 → 8.2.35이 이전 버전 중 하나를 사용하고 있다면 업데이트가 필요합니다.주의해야 할 것은 PHP 8.1 이전의 '지원이 종료된 버전'입니다.수정 버전이 제공되지 않으므로, 지원 중인 버전으로의 이동을 고려해야 합니다.3.レンタルサーバー 및 서비스 공지사항 확인합니다.レンタルサーバー나 클라우드 서비스를 사용하는 경우라면, 제공한 회사가 대응하는 경우가 많습니다.'자신이 직접 무엇을 해야 하는가'를 공지사항에서 확인해 보세요.---■ 즉시 업데이트가 불가능할 때?공식 발표에서는 몇 가지 설정 변경으로 '리스크를 낮추는' 방법도 소개하고 있습니다.
세션 업로드 진행 기능을 끄는 것 등은 일시적인 조치일 뿐, 완전히 예방할 수 없으며 근본적인 해결책은 수정 버전을 업데이트하는 것입니다. ---■ 신규 엔지니어로서 배운 점이번 뉴스 흐름을 따라가며 크게 느낀 점이 세 가지 있습니다. 1. 1 차 정보를 확인하는 습관을 기르세요. 발표 전후에는 SNS 를 통해 검증되지 않은 정보가 많이 유포되었습니다. 결국 PHP 공식 발표나 IPA(정보보호진흥원) 와 같은 1 차 정보를 통해 사실을 확인하는 것이 중요하다는 것을 깨달았습니다. 2. 지원이 종료된 버전은 그 자체로 위험합니다. 지원 기간이 끝난 버전에는 수정 버전을 배포하지 않습니다. "동작하고 있으니 괜찮다"고 생각하지 말고, 지원 기간을 미리 고려해야 합니다. 3. '즉시 업데이트할 준비' 역시 중요합니다. IPA 는 수정 버전을 배포하기 전에 '즉시 적용할 수 있는 체계를 구축하라'고 권고했습니다. 평소 자신의 환경에서 어떤 기능이 정상적으로 작동하는지 파악하는 것이 중요하다는 것을 배웠습니다. ---■ 참고한 정보·PHP Foundation「Today's PHP Security Release」·IPA「PHP 의 보안 릴리스 공개 예정에 관하여」·GMO Flatt Security Blog「PHP 의 중대한 취약점『php2shell』의 개요와 대응 지침」최신 상황은 반드시 공식 발표를 통해 확인하시기 바랍니다. 이 글이 상황을 정리하는 데 조금이나마 도움이 되기를 바랍니다. '읽기 편하게!'라고 생각하신다면 스킨이나 팔로우를 부탁드립니다.
출처: note 원문
번역: Qwen 3.5(.48) 초벌 + 교정 검수
원문 보기 | 출처: note.com