# [문과생용] PHP 의 '치명적인 취약점'이란 무엇인가? 회계부장이 비유로 설명합니다

> https://bookfactory.kr/board/news/23431
> 게시판: 뉴스
> 작성자: admin
> 작성일: 2026-10-23T12:48:44.499Z

---

## 뉴스를 보시고 "우리 회사는 괜찮을까?"라고 걱정하신 분께

2026 년 10 월 21 일, 프로그래밍 언어 'PHP'에 매우 심각한 취약점이 발견되었다는 사실이 공표되었습니다.

통칭은 'php2shell(피에이치투쉘)'이며, 심각도는 10 점 만점 중 9.2 점으로 최고 등급인 'Critical(비상)'에 해당합니다.

나는 회계 담당자이고 엔지니어는 아닙니다.

하지만 회사에서 일을 하다 보면 시스템 관련 이야기는 내 일이 아니라는 말로 들릴 수 있습니다. "그건 뭐야? 우리랑 무슨 상관 있나?"라고 물려지는 상황도 있습니다.

이번 글에서는 문과생인 제가 이해한 범위 내에서 전문 용어를 최대한 배제하고 이 사안을 정리해 보겠습니다.

※이 글은 2026 년 10 월 23 일 현재 공개된 정보를 바탕으로 작성되었습니다. 상황이 빠르게 변하므로, 최신 정보를 확인하려면 마지막에 게시된 공적 기관의 페이지를 참조하시기 바랍니다.

## 그런데 왜 'PHP'라고 부르는 것일까?

PHP 는 웹사이트를 구동하는 '백엔드 언어'입니다.

예를 들어 레스토랑 주방에서 일하는 셰프라고 할 수 있습니다.

고객 (당신) 이 웹사이트에서 '상품 보기', '로그인', '문의 보내기' 등의 주문을 하면, 주방에 있는 PHP 가 주문을 받아 요리 (표시되는 화면) 를 만들어 제공합니다.

### 「우치는 상관없다」고 생각했지만, 의외로 많이 쓰입니다.

PHP 는 전 세계 수많은 웹사이트에서 널리 사용되고 있습니다. 예를 들어 다음과 같은 것들이 있습니다.

- 워드프레스 (블로그나 기업 홈페이지에서 널리 알려진)
- Drupal, Joomla, Magento(온라인 쇼핑몰 등)
- 라벨 (PHP 로 작성된 비즈니스 시스템의 기반)

회사 홈페이지, 채용 사이트, 캠페인 사이트, 문의 폼. 누가 만들었는지, 어떤 엔진으로 돌아가는지 파악하지 못한 사이트는 실제로 PHP 로 작동하고 있을 가능성이 높습니다.

## 무슨 일이 일어났는지: "주방의 뒷문이 열려 있었다."

이번에 발견된 것은 PHP 본체(즉, 웹 서버 그 자체)에 존재하는 취약점입니다. 공개된 취약점 식별자는 다음 두 가지입니다.

- CVE-2026-109618
- CVE-2026-109619

둘 다 "원격에서 임의의 코드를 실행할 수 있다"는 유형의 것입니다.

이러한 '임의의 코드 실행'이라는 용어는 문과생들에게는 특히 잘 와닿지 않는 표현이라고 생각합니다.

### "임의의 코드 실행"을 일본어로 하면

알지 못하는 사람이 외부에서 귀하의 사이트 서버에 원하는 명령을 내릴 수 있다는 것입니다.

카페에서는 다음과 같습니다.

- 원래 주문할 수 있는 것은 '주문'뿐입니다.
- 이번 결함: 악의적인 사람이 주문을 내는 척하며 주방에 침입해 셰프에게 임의로 지시할 수 있게 되는 것입니다.

「이 손님의 개인정보를 가져오라」「점장의 장부를 복사하라」「요리에 이상한 것을 섞어라」. 이런 지시들을 점원들이 알아채지 못한 채 내릴 수 있는 상태다.

이번에는 ID 나 비밀번호로 로그인할 필요가 없으며, 즉 열쇠를 가지고 있지 않은 사람도 들어갈 수 있게 된다는 뜻입니다.

### 왜 '최고 레벨'이라고 하는가

취약성의 공포는 다음 세 가지로 결정됩니다.

- 외부에서 공격할 수 있는가 (이번에는 가능함)
- 특수 권한이 필요한가 (이번에는 필요하지 않다고 판단됨)
- 해킹당했을 때의 피해 규모 (서버가 탈취될 수 있음)

세 가지 모두 조건이 열악하여 평가 점수가 9.2 점이라는 높은 점수를 기록했습니다.

### 원인은 무엇일까? (간단히만)

원인은 PHP 가 '메모리 부족'과 같은 문제를 해결할 때 사용하는 처리 방식에 있다고 알려져 있습니다.

문과생들이 말하면, 예상치 못한 문제가 발생했을 때 후속 조치 절차에 실수가 있었다는 이미지를 가집니다. 평소에는 문제가 없더라도 그 실수가 드러나면 주방이 완전히 통제당하게 됩니다.

## 실제로 악용되고 있는가?

여기서는 정보원에 따라 서술 방식이 상이합니다.

- 보안 기업 와치타워는 실제로 악용 사례를 관측했다고 밝혔습니다.
- 반면, 다른 보도에서는 침입 성공 사례를 확인한 정보원이 아직 없다는 내용도 있습니다.
- 일본어 IPA 주의보 (10 월 21 일 발간 사전판) 에는 "IPA 가 악용된 사례가 확인되지 않았다"는 취지의 내용이 포함되어 있습니다.

즉, 이미 공격 시도가 있을 가능성이 높지만 피해의 전체 양상은 아직 명확하지 않다. 이것이 현재 상황이다.

또한 일부 SNS 등에서 '전 세계적으로 수백만 건의 악용이 관측되었다'는 숫자를 보게 되지만, 제가 확인한 공적 기관이나 주요 보안 기업의 정보 중에는 이 숫자의 근거는 확인되지 않았습니다. 숫자만으로는 쉽게 퍼져나갈 수 있는 주제이므로, 맹신하지 않는 것이 안전합니다.

다만 "숫자가 불확실하므로 괜찮다"는 말은 아닙니다. 사전에 세부 사항이 유출된 사례도 발생했으며, 전문가들은 대응을 즉시 취해야 한다고 공통적으로 보고 있습니다.

## 어떤 PHP 가 위험한가요?

PHP 에는 '버전 (Version)'이라는 개념이 있습니다. 스마트폰 운영체제인 'iOS 18'과 같은 것입니다.

이번에는 다음 4 가지가 수정판 (완결판) 으로 나왔습니다.

- 8.5.12 이후
- 8.4 시리즈 → 8.4.27 이후
- 8.3.36 이후
- 8.2 계열 → 8.2.35 이후

문제는 그 외의 오래된 판본입니다.

- 8.1, 8.0, 7.4: 공식 수정판은 나오지 않았습니다 (PHP 팀의 최소한의 대응만).
- 7.3 이전 (5.x 시리즈 포함): 지원이 종료되었으며 수정이 제공되지 않습니다.

오래된 버전을 계속 사용하고 있는 사이트는 수정이 어렵거나 스스로 대응책을 마련해야 하는 경우가 많습니다.

스마트폰으로 비유하자면, 제조사의 지원이 종료된 구형 모델에서 심각한 결함이 발견된 상태입니다. 유일한 해결책은 기기 교체 (버전 업그레이드) 입니다.

### 설정만으로는 완전히 막을 수 없다.

일부 설정 변경으로 위험도를 낮추는 '임시 조치'도 소개되었으나, PHP 측에서는 설정 변경만으로 완전히 방어할 수 없다고 밝히고 있으며, 이는あくまで '응급 조치'에 불과합니다.

## 재무책임자로서 회사가 지금 해야 할 일

전문적인 작업은 정보시스템 부서나 제작사에 의뢰하게 됩니다.

다만, 무엇을 물어봐야 하는지 알면 엔지니어가 아니더라도 충분히 대응할 수 있습니다. 저라면 다음 순서로 확인하겠습니다.

### 단계 1: '우리 PHP 자산'을 파악하다

먼저, 회사 내부의 웹사이트 및 시스템 목록을 작성합니다. 회계 용어인 '고정자산 명부'의 개념을 따릅니다.

- 회사 홈페이지
- 채용 사이트, 캠페인 사이트
- 온라인 쇼핑몰, 예약 시스템
- 회사 내부 업무 시스템
- 과거 제작사에게 제작을 의뢰했으나 방치해 둔 웹사이트

장부에 적지 않은 것이 가장 위험합니다.

### 단계 2: 각 담당자 및 업체에게 이 세 가지를 물어보세요.

- PHP 의 버전은 무엇인가요?
- 이번 취약점 (CVE-2026-109618/109619) 에 대한 대응을 완료하셨나요?
- 구형 버전을 사용할 경우 언제까지 업데이트해야 하나요?

이 세 가지를 이메일로 확인하고 답변을 기록하여 보관하는 것이 핵심입니다.

### 단계 3: 렌탈 서버나 클라우드의 '제공사 발표'를 확인하세요

회사 자체에 서버를 보유하지 않고 렌탈 서버나 클라우드를 사용하는 경우, 제공사가 자동으로 해결해 주는 경우도 있습니다.

그러나 '자동으로 해결된다'고 오해하지 말고, 제공업체의 공지사항을 통해 대응 현황을 확인하세요.

### 단계 4: 업데이트가 지연될 경우의 '응급 조치'에 대해 상담하세요

즉시 업데이트가 불가능한 시스템의 경우 대안적 대응 방안을 모색하거나 전문가와 상담하십시오.

- 사이트를 일시적으로 비공개로 설정합니다.
- 사용하지 않는 시스템은 외부에서 보이지 않도록 설계합니다.
- 중요한 데이터 백업을 지금 바로 복구하세요.

### 단계 5: '만약에'라는 상황에 대비해 연락 경로를 미리 정해 두세요

만약 의심스러운 움직임이 발생했을 때 누구에게 연락하고 누가 판단할 것이 명확하지 않으면 초기 대응이 지연됩니다.

회계 관점에서 볼 때, 사고 발생 시 보고 경로를 미리 정하고 판단 주체를 결정하는 것은 부정 대응의 기본과 같습니다.

## 개인 (블로그나 부업 사이트를 운영하는 사람) 이 해야 할 일

회사만의 이야기일 뿐만 아니라, WordPress 를 통해 개인 블로그나 사이트를 운영하는 분들에게도 동일하게 적용됩니다.

- 사용 중인 렌탈 서버 관리 화면에서 PHP 버전을 확인합니다.
- 새로운 버전 (8.2.35/8.3.36/8.4.27/8.5.12 이후) 으로 전환할 수 있다면 전환하십시오.
- 페이지 전환 후 사이트가 정상적으로 표시되는지 확인합니다.
- 안전상식을 위해 미리 백업 작업을 진행해 두세요.
- 서버 회사에서 보내는 공지 메일은 평소보다 더 세심하게 읽어야 합니다.

주의사항으로, 버전을 급격히 올리면 사이트 일부가 작동하지 않을 수 있습니다. 작업 전 반드시 백업을 취하는 것이 원칙입니다.

### 사이트를 소유하지 않은 일반 사용자는?

본인의 컴퓨터나 스마트폰으로 특별한 작업을 수행할 필요는 기본적으로 없습니다.

다만, 사용 중인 서비스에서 '비밀번호 변경 요청'이나 '의심스러운 로그인 알림'이 들어오면 즉시 대응해 주세요. 또한 '취약점 대응을 위한'이라는 명칭의 피싱 메일이 증가할 수 있으므로, 메일 내 링크는 무분별하게 클릭하지 마세요.

## 이번 기회를 통해 다시 한번 생각하게 된 점

보안 관련 논의는 필연적으로 '엔지니어의 업무'로 오해받기 쉽습니다.

자산이 무엇인지, 리스크가 어디에 있는지, 누가 책임을 지는지를 정리하는 것은 사실 회계나 관리 부문의 전문 분야이기도 합니다.

전문 지식은 전문가에게 맡기셔도 됩니다. 다만, '질문해야 할 질문'과 '기록 남기는 방법'은 문과생도 갖출 수 있는 무기입니다.

이번 기회를 통해 본사의 웹 자산 재고를 정리해 보시는 것은 어떨까요.

## 더 자세히 알고 싶은 분께: 초보자를 위한 보안 책

이번 뉴스로 보안의 기초부터 알고 싶다는 문과 출신들을 위해, 초보자를 대상으로 여러 랭킹 및 종합 기사에서 언급된 책들을 소개합니다.

### 『사이버 보안이 정말 이해가 안 될 때 읽는 책』

전문 용어를 몰라도 읽을 수 있는 초보자를 위한 입문서로 소개되었습니다. '무엇이 모르고 있는지조차 모른다'는 상태의 문과생들에게 첫 번째 책으로 적합합니다.

### 이러스트로 풀이한, 이 한 권으로 보안의 기본을 모두 이해하는 책

일러스트와 도해로 보안의 기본을 한 번에 정리할 수 있는 대표적인 입문서입니다. 경영진이나 관리자도 '전체 그림'을 파악하는 용도로 적합합니다.

### 만화 및 도해로 이해하기 쉬운 정보보안 교본

만화로 기초를 익힐 수 있는 유형입니다. 글자를 잘 읽지 못하는 분이나 회사 내 교육 및 홍보에 활용하고 싶은 분께 적합합니다.

## 최신 정보를 확인할 수 있는 공식 기관의 페이지

상황은 매일 업데이트되며, 반드시 1 차 정보를 확인하시기 바랍니다.

- IPA(정보통신기술진흥센터)의 PHP 취약점 대응에 관한 내용입니다. https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
- JPCERT/CC: PHP 에서 발견된 다수의 취약점에 대한 주의보
- GMO Flatt Security 블로그: php2shell 개요 및 대응 가이드

끝까지 읽어주셔서 감사합니다.

이 계정은 30 대 후반의 회사원 (회계)이자 아버지로서 업무, 돈, 육아, 일상생활의 노하우를 공유합니다. 팔로우를 해주시면 다음 글도 안내해 드리겠습니다.

댓글이나 피드백을 주시면 감사하겠습니다.

※본 기사는 2026 년 10 월 23 일 현재 공개된 정보를 바탕으로 작성된 일반인을 위한 안내이며, 개별 시스템의 안전성을 보장하지 않습니다. 실제 대응은 사용 중인 환경 담당자 및 제공 업체를 확인하시기 바랍니다. ※상품 링크는 아마존 아소시에이트 링크를 포함하고 있습니다.

#PHP #취약점 #보안 #php2shell #WordPress #재무책임자

**출처:** [note 원문](https://note.com/1man_challenge/n/n76cec9e5aa76)

*번역: Qwen 3.5(.48) 초벌 + 교정 57청크*

[원문 보기](https://note.com/1man_challenge/n/n76cec9e5aa76) | 출처: note.com