이 글을 읽어야 할 대상: WordPress 로 운영 중인 사이트 (상점, 회사, 블로그 등) 를 소유하거나 관리하는 사람, 그리고 렌탈 서버나 VPS 에서 PHP 를 실행 중인 사람입니다.
【결론】이 정도만 읽으면 충분합니다.
발생한 일: PHP 에 외부에서 사이트를 탈취할 수 있는 심각한 취약점이 2 개 발견되었습니다. 10 월 21 일 PHP 의 개발자가 수정 버전을 공개했습니다. 개발자는 "완전한 우회책은 없으며, 업데이트가 유일한 안전한 선택이다"라고 밝혔습니다.
지금 바로 해야 할 일
- 수정이 적용되었는지 확인하고 아직 완료되지 않은 경우 즉시 수정을 요청하십시오. 먼저 서버 회사의 공지사항을 확인한 후, 이해가 되지 않는다면 서버 회사나 제작사에 문의하여 수정을 요청하십시오. (전송 가능한 문구는 ③ 참조. 작업 전 로그 등 기록을 보관해 달라는 내용도 함께 포함하십시오. 자세한 내용은「수정 전후」참조)
- 백업 수행 (방법은 ② 참조. 백업이 제대로 되어 있는지 모르겠다면 문의에 "백업이 완료되었습니다"라는 한 줄을 추가하세요).
- 수정이 즉시 적용되지 않는 경우, 해당 사이트를 일시적으로 중단할지 여부를 논의해야 합니다. IPA 역시 외부 접근 차단 또는 서비스 정지 여부를 판단하도록 안내하고 있으며, 미국의 사이버 보안 기관인 CISA 또한 즉시 수정이 불가능한 조직은 수정될 때까지 PHP 가 작동하는 시스템을 중단하라고 권고하고 있습니다. 중단 방법은 '수정이 적용될 때까지의 임시 보호'로 정의됩니다.
하지 말아야 할 일: 관리 화면에서 사전 준비 없이 PHP 버전을 임의로 변경하는 것 (사이트가 하얗게 변할 수 있습니다. 변경은 서버 제공업체나 제작사의 안내에 따르십시오).
(2026 년 10 월 22 일 오후 기준 정보입니다. 공격에 사용 가능하다고 알려진 코드들의 유통 현황과 각국 기관의 요청에 따라 업데이트했습니다. '정지하기로 결정했다'는 내용과 '수정 전후 확인: 두 가지를 확인한다'는 항목을 추가했습니다. 이 글의 업데이트는 이번으로 종료됩니다. 이후 최신 정보는 사용 중인 서버 회사의 안내, IPA 와 JPCERT/CC 의 발표, 국가 사이버 통괄실 X 계정 (@cyber_forecast) 에서 발송하는 주의 및 경보 정보를 통해 확인하시기 바랍니다.)
먼저「PHP 는 무엇인가？」를 묻는 분께. 그림으로 설명한 글은 여기입니다 → PHP 는 무엇인가?
무슨 일이 일어났는지 (30 초 만에)
- WordPress 등 많은 사이트를 구동하는 'PHP'에 두 가지 중대한 취약점이 발견되었습니다. 일부 보도에서는 이를 'PHP2Shell'이라고도 부릅니다.
- 만약 악용된다면 외부에서 서버에 악성 프로그램을 실행당할 위험이 있습니다. 구성에 따라 사이트가 변조되거나 저장된 데이터가 탈취될 수도 있습니다.
- 국제적인 위험도 평가 기준에 따르면 두 가지 모두 10 점 만점 중 9.2 점으로, '매우 위험' 수준에 해당합니다.
- PHP 의 개발자는 10 월 21 일 수정 버전을 공개했습니다.
수정판: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 (현재 사용하고 있는 버전을 기준으로, 예를 들어 8.4 를 사용 중이라면 8.4.27 을 참고하세요)
취약성 번호: CVE-2026-109618, CVE-2026-109619 (서버 회사 공지에서는 해당 번호로 표기되기도 함)
대상: 웹 사이트를 구동하는 모든 PHP(렌탈 서버에서 일반적으로 사용되는 구동 방법도 포함). 8.1 이전 버전은 ③ 의 [중요] 를 참조하세요.
번호가 수정판보다 낮아도 서버사가 독자적으로 수정을 적용할 수 있습니다. 숫자만으로 판단하지 말고, 공지사항이나 문의를 통해 본인의 계약 플랜이 '대응 완료'인지 확인해 주세요.
개정판이 나왔는데 왜 이렇게 급하게 하는 거죠
- 사용 가능하다고 알려진 코드가 이미 인터넷에 유포되었다는 보도가 나왔으며, 캐나다 사이버보안센터도 관련 보도를 인용해 경고를 발령했습니다.
- 클라우드flare 는 공격 시도를 감지하여 긴급 방어 규칙을 적용했습니다 (클라우드flare 를 사용하지 않는 사이트에는 효과가 없습니다). 보안 기업 watchTower 역시 악용 시도를 감지했다고 밝혔습니다. 반면 캐나다 사이버 보안 센터는 10 월 21 일 발표 당시에는 활발한 악용 사례를 확인하지 못했다고 밝혔습니다. 피해가 어디까지 확산되었는지는 아직 알 수 없습니다. 상황을 파악하지 못했으므로 수정을 서둘러야 하는 상황입니다.
- 국내에서도 사쿠라인터넷, 엑스서버, GMO 페파보 등의 서버 회사가 긴급 유지보수를 실시했고, 사이게임즈, 픽시브 등 주요 서비스들도 잇따라 긴급 점검을 진행했습니다 (ITmedia NEWS, 니케이 크로스테크 보도).
수정판이 나왔다고 해서 이미 안전하다고 말할 수는 없습니다. 수정판이 곧바로 여러분의 서버에 도착하지는 않으니까요.
오히려 수정 버전이 나온 지금부터 '수정이 당신의 서버에 적용될 때까지'의 기간 동안은 경계심을 늦추지 마십시오. 수정 버전이 나오면 '어디를 고쳤는지'가 전 세계에 드러나게 됩니다. 공격하는 측은 그 단서를 이용해 취약점의 위치와 공격 방법을 파악할 수 있습니다. 고장 난 창문의 잠금 장치를 수리한다고 알려주면 도둑에게 '어떤 창문의 잠금 장치가 고장 났는지'를 알려주는 것과 같습니다. 수정이 적용될 때까지 그 창은 열려 있는 상태입니다.
상황 파악 (1 분): PHP 버전 확인
WordPress 를 사용하면 관리 화면에서 확인 가능합니다.
관리 화면 → 도구 → 사이트 상태 → 정보 → 서버 →「PHP 버전」
「8.3.xx」와 같은 숫자를 메모하세요.
[주의] 숫자가 오래되어도 즉시 전환하지 마십시오. 전환 없이 진행하면 사이트가 하얗게 변할 수 있습니다. 메모만으로도 충분합니다.
찾아내지 못하더라도 무관한 것은 아닙니다. 알 수 없다면 제작사나 서버사에 문의하세요.
② 그다음: 백업 수행
렌탈 서버 관리 화면에는 '백업' 항목이 종종 포함됩니다.
이미 WordPress 백업용 플러그인을 사용하고 있다면, 오늘 한 번만 수동으로 백업해 두세요. 새로운 플러그인을 당장 설치할 필요는 없습니다.
저장한 파일은 가능하면 자신의 컴퓨터에 다운로드해 두시고, 타인이 볼 수 있는 곳에 두지 마세요.
방법이 명확하지 않다면 무리하지 말고, ③ 문의에「백업이 취해졌는지, 어떻게 복원할 수 있는지」를 한 줄로 추가해 주세요.
백업은 구멍을 막는 약이 아니라, 불가피한 사태에 대비한 생명의 끈입니다. 실제로 데이터를 복원할 때는 스스로 판단하지 말고, 서버 회사나 제작사와 상담한 후 진행하시기 바랍니다.
③ 역할별: 누가 고칠지 확인하는가
'렌탈 서버'인 엑스 서버, 사쿠라, 로리ポップ 등을 계약한 사람만
- 수정 시기와 방법은 서버 회사나 계약 플랜에 따라 다릅니다. 익숙하지 않은 설정을 직접 수정할 필요가 없습니다.
- 하지만 "무엇을 해도 괜찮다"는 뜻은 아닙니다. 알림이 오지 않는다는 것은 "이미 고쳐졌다"는 뜻도 아닙니다.
- 먼저 서버 회사의 '장애 및 유지보수 정보' 페이지를 열어 즐겨찾기에 등록하세요.
- 이어 다음 페이지에서 이번 두 건의 취약점 (CVE-2026-109618/CVE-2026-109619) 에 대한 대응이 본인의 계약 플랜에서 '대응 완료'로 표시되는지 확인합니다. 알림이 없거나 본인의 플랜이 대상인지 불확실할 경우, 즉시 문의 폼에서 다음 문구를 보내세요:
10 월 21 일에 공개된 PHP 수정 사항 (CVE-2026-109618/CVE-2026-109619) 이 내 계약 플랜 (서버명 및 플랜명) 에 적용되었는지 확인해 주세요. 아직 적용되지 않았다면 언제 적용될지, 그리고 그 전에 취할 수 있는 대응 방안을 알려주세요.
- 버전 번호만으로는 이번 수정이 적용되었는지 알 수 없습니다. 공지사항이나 문의를 통해 본인의 계약 플랜이 대응되었는지 확인하세요.
웹사이트 제작 및 유지보수를 전문 업체에 위탁하는 사람
- 지금 바로 다음 세 가지를 이메일로 보내두세요.
우리 사이트의 PHP 버전은 무엇인가요? 10 월 21 일 발표된 PHP 수정 (CVE-2026-109618/CVE-2026-109619) 이 우리 사이트에 적용되었나요? 아직 적용되지 않았다면 누가 언제 적용할까요? 최신 백업은 하고 있나요?
개인 정보를 수집하는 문의 폼이 있거나 보호해야 할 가치가 큰 사이트라면, "수정이 완료될 때까지 사이트를 일시 중단하는 것이 좋을까요?"라는 질문도 함께 추가하는 것이 좋습니다.
- 오늘까지 응답이 없다면 영업 시간 내 전화로 확인하세요.
VPS(자신의 서버를 직접 관리하는 것) 을 계약한 사람
- 렌탈 서버와 달리, 회사 측이 자동으로 수정해 주는 경우는 드뭅니다. PHP 업데이트는 계약자 측의 책임입니다. 스스로 관리하지 않는다면, 관리에 맡긴 사람에게 "이미 공개된 수정 버전 (또는 배포원의 수정 버전) 을 즉시 적용해 달라"고 요청해야 합니다.
- 자신이 관리하는 경우, 백업과 작동 확인을 완료한 상태에서 수정 버전 (또는 사용 중인 OS 의 배포원 업데이트) 을 즉시 적용해 주세요. 적용 완료 전까지 공개 일시 정지도 고려해 보시기 바랍니다. WAF 는 보조 수단일 뿐이며, 핵심은 수정 버전의 적용입니다.
【중요】메모한 숫자가 '8.1 이전'인 분 (어떤 입장이든)
- 慌て서 스스로 버전을 올리는 이야기는 아닙니다. 먼저 '고침할 수 있는가'를 묻는 이야기입니다.
- 8.1 이전에는 PHP 개발자로부터 일반적인 수정 버전이 제공되지 않았습니다. 이번에는 예외적으로 개발자가 7.4~8.1 버전에도 최소한의 수정을 공개했으며, 일부 배포업체와 장기 지원 업체도 자체 수정 버전을 준비하고 있습니다. 다만, 이는 전문가용 형태이므로 서버 업체나 관리자가 이를 적용하지 않으면 해당 수정은 사용자의 사이트에 도달하지 않습니다. 적용되지 않으면 보안 취약점이 그대로 남게 됩니다. 7.3 이전 버전용 수정은 개발자의 공식 발표에 따르면 존재하지 않습니다. 해당 버전이라면 새 버전으로의 업그레이드를 신속하게 상담하시기 바랍니다.
- 작업: ③ 문의에 "이번 사건으로 인해 우리 PHP 가 수정될까요? 수정되지 않는다면 언제, 누가 새로운 버전으로 전환할까요?"라는 문장을 한 줄 추가합니다.
수정이 적용될 때까지의 '일시적인 방어'
문의해도 즉시 답변이 오지 않을 수 있습니다. 수정이 완료될 때까지 사이트를 조금이라도 보호할 수 있는 방법이 있습니다.
WAF 을 켜세요 (렌탈 서버 담당자)
많은 렌탈 서버는 서버 관리 화면 (WordPress 내부가 아님) 에 'WAF'(불법 통신을 자동으로 차단하는 기능) 설정이 있습니다. 서버 회사가 이번 사태와 관련하여 WAF 설정을 안내하는 경우, 해당 안내를 따르십시오. 일반적인 WAF 를 켜는 것만으로도 이번 취약점을 막을 수 있는지 확인은 어렵습니다. 이는 보조 수단일 뿐이며, 핵심은 패치 적용입니다.
설정 옵션을 변경하면 드물게 문의 폼 전송 실패나 로그인 불가 등의 문제가 발생할 수 있습니다. 설정을 변경했다면 메인 페이지뿐만 아니라 평소 사용하는 문의 폼 등 주요 기능도 모두 테스트해 보시기 바랍니다. 문제가 발생하면 WAF 를 끄는 상태로 되돌리거나 서버 업체에 문의하시기 바랍니다.
▶ 일시적으로 잠금 처리 (보호하고 싶은 것이 큰 사이트)
회원 정보를 보관하거나 이름 및 연락처를 수집하는 사이트라면, 서버 관리 화면의 '접근 제한' 기능 (사이트 접속 시 아이디와 비밀번호를 요구하는 화면) 을 활용해 수정 완료 전까지 일시적으로 사이트 전체를 잠그는 방법도 있습니다. 전체 사이트를 잠그는 방식은 대부분 PHP 가 실행되기 전에 차단되므로, WordPress 의 '공사 중' 화면보다 더 강력한 보호가 됩니다 (방식은 서버 업체에 문의해 주세요).
대신 그 기간 동안 고객은 사이트를 보지 못해 예약이나 결제도 중단됩니다. 차단 범위나 해제 방법을 모른다면 강제로 설정하지 말고 서버 업체에 문의하세요. 차단 여부를 결정할 때는 사이트 공개 중단으로 인한 손해를 고려하여 서버 업체나 제작사와 함께 결정하세요.
실제로 고시 총리는 10 월 22 일 X(트위터) 에 올린 게시물에서 자신의 공식 웹사이트를 일시적으로 차단하여 대응한 뒤, 조치 종료 후 다시 개시했다고 밝히고 있습니다. 또한 상황에 따라 사이트를 일시적으로 중단하는 것도 중요하다는 점을 다시 한번 느꼈다고 덧붙였습니다.
정지하기로 결정했다면: "PHP 가 작동하지 않는 상태"로 정지해달라
중요한 것은 PHP 자체를 실행하지 않는 것입니다. WordPress 의 '유지보수 모드'나 '공사 중' 플러그인과 같이 PHP 가 통신을 수신한 후 표시를 전환하는 방식은 실제로 PHP 가 여전히 실행 중이기 때문에, 보안 업체인 Sansec 역시 이번 취약점을 막을 수 없다고 지적했습니다.
위 '액세스 제한' 설정에서 어느 정도 보호가 가능한지는 구현 방식과 범위에 따라 다릅니다. PHP 를 차단하고 PHP 를 사용하지 않는 안내 페이지 (정적 HTML 페이지) 로 전환하는 작업은 서버 업체나 제작 업체와 상담하여 진행하시기 바랍니다. 요청하실 때는 다음 문구를 그대로 보내시면 됩니다.
수정이 완료될 때까지 공개 사이트에서 PHP 가 작동하지 않도록 설정하고, PHP 를 사용하지 않는 공지 페이지 (정적 HTML) 를 표시해 주실 수 있을까요? 전환 후 PHP 가 작동하지 않는지도 확인해 주시면 감사하겠습니다.
사이트 전체를 정지할 수 없는 상황에서의 대안으로, 허용되는 통신 종류를 페이지 로드 시 사용하는 GET/HEAD(HEAD) 만으로 제한하는 방법도 Sansec 이 제시하고 있습니다. 다만 이 경우에도 PHP 는 계속 작동하므로, 문의 폼이나 로그인과 같은 페이지 외 기능에 미치는 영향은 사이트별로 확인해야 하며, 완전한 대응책은 아닙니다.
하지 말아야 할 일
- 관리 화면에서 PHP 버전을 직접 변경하지 않고도 별도의 준비 없이 운영할 수 있습니다. 오래된 플러그인이 새로운 PHP 버전과 호환되지 않아 사이트가 하얗게 변하고 관리 화면에 진입할 수 없는 경우가 발생할 수 있습니다. 수정은 서버 회사, 제작사, 관리자 모두 백업과 작동 확인을 먼저 준비한 후 진행해야 합니다. "관리 화면에서 변경해 주세요"라는 안내가 오면 해당 절차에 따라 진행하시기 바랍니다.
- WordPress 플러그인으로 '공사 중' 화면을 만들더라도 그 화면을 유지할 수는 없습니다. 공사 중 화면을 표시하는 것도 결국 같은 PHP 코드를 실행하기 때문에, 취약점이 있는 PHP 가 여전히 작동해 버립니다. 사이트를 일시적으로 중단하려면 PHP 를 실행하지 않는 방식으로 중단해야 합니다. 중단 여부를 결정할 때는 서버 업체나 제작 업체와 상담하여 결정하시기 바랍니다.
- '설정 한 줄만 바꾸면 방지할 수 있다'는 믿지 않는다. PHP 의 개발자들은 설정을 변경하는 임시 방법도 제시하고 있지만, 이는 공격 범위를 좁히는 것뿐이며 안전해지지는 않는다고 개발자 스스로 명시하고 있다. 근본적으로 해결하려면 업데이트를 해야 한다. 확실한 대응책은 이번 수정이 반영된 PHP 를 사용하는 것이다.
수정 전과 수정 후: 두 가지를 확인합니다.
수정이 완료되었다고 해서 끝은 아닙니다. 수정은 앞으로 더 큰 취약점을 찾아내어 방어하기 위한 것입니다. 이미 침입이 발생했을 경우, 그 당시 설치된 '뒷문'(서버를 외부에서 조작하기 위한 장치)이나 데이터 변조는 단순한 업데이트만으로는 제거되지 않을 수 있습니다. 영국 사이버 보안 기관인 NCSC 또한 침입 여부를 확인하고 뒷문이 없는지 검증할 것을 권고하고 있습니다.
조사에 도움이 될 수 있는 것은 서버 로그와 파일입니다. 수정이나 사이트 정지를 결정하기 전에 로그, 설정, 의심스러운 파일을 모두 백업하고, 침입의 징후가 없는지 확인해달라고 관리자에게 요청하세요. 이렇게 하면 나중에 조사할 수 있는 증거가 남게 됩니다. 다만, 이를 위해 수정이나 정지를 지연시키는 것이 아니라, 동시에 신속하게 진행해달라는 전제가 필요합니다.
수정이 반영되었는지 확인합니다.
- 가장 확실한 방법은 서버 회사의 공지를 확인하거나 직접 문의하는 것입니다. 해당 사이트가 실제로 사용하고 있는 PHP 에 이번 수정이 반영되었는지 확인해 주세요. 공지가 없다면 ③ 항목에 따라 문의하세요.
- WordPress 를 사용 중이라면, 앞서 확인한 '사이트 헬스' 화면에서 PHP 버전 번호를 다시 확인해 보시는 것이 도움이 될 수 있습니다. (수정이 적용되더라도 번호가 변경되지 않는 경우가 있으므로, 번호만으로 판단하지 마세요.)
수정 전에 침입되지 않았는지 확인합니다.
- 자신으로 감지할 수 있는 이상 징후의 예: WordPress 관리 화면의 '사용자' 탭을 확인하여 알 수 없는 '관리자'가 추가되지 않았는지, 알 수 없는 페이지나 알 수 없는 사이트로 연결되는 링크가 추가되지 않았는지 확인합니다. (여기에 아무것도 없더라도 침입되지 않았다고 단정할 수는 없습니다.)
- 전문가에게 확인을 요청해야 할 항목: 서버 내부에 낯선 파일 (후문으로 접근 가능한 것) 이나 의도하지 않은 자동 실행 설정, 의심스러운 프로그램의 동작이 없는지, 외부로 의심스러운 통신이 이루어지지 않았는지, 기록 (로그) 에 의심스러운 접근 흔적이 남지 않았는지 확인해달라. 제작사나 서버사에 다음과 같이 요청해달라.
이번 PHP 취약점 (CVE-2026-109618/CVE-2026-109619) 을 공격받았는지, 수정 전 상태인지 여부를 확인하기 위해 로그나 의심스러운 파일·계정 등을 조사해 주실 수 있을까요? 수정이나 정지 작업을 수행하기 전에 로그, 설정, 의심스러운 파일을 백업해 주시면 감사하겠습니다.
- 이번에 확인된 자료에는 침입 여부를 판단할 수 있는 구체적인 파일명, 해시값, IP 주소가 명시되어 있지 않습니다. 회원 정보나 고객 연락처를 관리하는 사이트라면 전문가의 조사를 받으시길 권장합니다.
변화를 감지한 순간
낯선 화면으로 바뀌고 알 수 없는 관리자가 늘어난 이상한 현상을 발견했다면 당황하지 말고 백업 복구를 먼저 하지 마시고, 서버 회사나 제작사에 즉시 연락하세요. 먼저 복구를 하면 어떤 행위가 있었는지 파악할 수 있는 단서가 사라질 수 있습니다. 비밀번호 변경도 상담처의 안내에 따라 진행하시기 바랍니다.
어떤 기관에 문의해야 할지 막막할 때는 다음 창구도 있습니다.
- 일본 정보처리진흥기구 (IPA) 의「정보보안 안심상담창구」: 보안 관련 고민 사항 상담처
- JPCERT/CC 의「사건 대응 요청」: 의심되는 무단 접근 등 발생 시 대응을 요청할 수 있는窓口 (개별적인 복구 지원이 보장되지 않음) https://www.jpcert.or.jp/form/
아직 알지 못하는 것들
- 서버 업체별로 적용되는 수정 시간 (사용 환경)
- 8.1 이전 PHP 에서는 서버 회사가 자체 수정을 적용할지 여부
- 공격이 실제 피해로까지 확산되었는지 (일부 민간인은 악용 시도를 관측했다고 발표했으며, 반면 캐나다의 공공기관은 공개 당시 활발한 악용 사례를 확인하지 않았다고 밝혔습니다).
이들에 대해서는 사용하는 서버 회사의 안내, IPA 와 JPCERT/CC 의 발표, 국가 사이버 통괄실 X 계정(@cyber_forecast) 의 게시물을 확인하시기 바랍니다.
지금까지 취한 조치에도 불구하고 사이트는 아직 완전히 복구되지 않았습니다. 수정 사항이 확인될 때까지는 경계심을 늦추지 마십시오.
이 정보를 통해 피해가 최소화되기를 진심으로 기원합니다.
참고 (2026 년 10 월 22 일 기준)
- PHP 공식 보안 권장사항 (10 월 21 일, 수정판 공개, 취약점 대상, 업데이트 권장사항, 7.4~8.1 버전의 최소 수정): https://www.php.net/archive/2026.php#2026-10-21-5
- ITmedia NEWS「고시 총리가 'PHP 패치 적용을 즉시' X(트위터) 에서 예외적인 요청을 함, 엔지니어들은 '경영진에게 전달됨'을 평가함'(10 월 22 일. 총리와 국가 사이버 통합실이 일시 정지도 하나의 유효한 조치로 부르는 보도) https://www.itmedia.co.jp/news/article/2610/22/2000002483/
- 고시 사나오 총리의 X(트위터) 게시물 (10 월 22 일. 공식 사이트의 일시 정지 및 재개 보고와 국가 사이버 총괄실 X 계정의 팔로우 요청) https://x.com/takaichi_sanae/status/2113118173818224932
- 미국 CISA, "PHP 의 치명적 취약점 발견, 즉시 패치 필요" (10 월 21 일)
- 캐나다 사이버보안센터 'AL26-026'(10 월 21 일) https://www.cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619
- ITmedia NEWS「PHP 의『긴급』레벨 취약점, 개발사가 수정 버전을 공개『즉시 업데이트하라』」(10 월 22 일) https://www.itmedia.co.jp/news/article/2610/22/2000002480/
- 니케이 크로스테크 (국내 긴급 유지보수 현황)
- watchTowr「PHP2Shell: PHP 원격 코드 실행 취약점 악용」
- PHP Foundation 의 릴리스 예고 (공개 전 과정. CVE-2026-109618/CVE-2026-109619, 모두 CVSS v4.0 점수 9.2)
- IPA「PHP 의 중요한 보안 업데이트 공개 예고」https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
- 영국 NCSC(영국 사이버 보안 센터) 가 10 월 21 일 발표한「PHP 를 위협하는 중대한 보안 문제」https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php
- IPA「PHP 취약점 대응 안내 (CVE-2026-109618, CVE-2026-109619: PHP2shell)」（2026 년 10 월 22 일) https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
- Sansec「PHP2Shell: Critical PHP RCE (CVE-2026-109618, CVE-2026-109619)」（10 월 21 일. 대응 방법 및 유지보수 모드가 작동하지 않는 점）https://sansec.io/research/php2shell
- 네트웍스 보안/블리핑컴퓨터 (10 월 21 일)
- 클라우드flare 긴급 WAF 규칙 추가 안내
출처: note 원문
번역: Qwen 3.5(.48) 초벌 + 교정 65청크
원문 보기 | 출처: note.com