안녕하세요, 스톤하트 주식회사의 야마다 다키입니다.
평소 SNS 운영과 지역 활성화 업무를 맡고 있지만, 오늘은 조금 다른 색채의 이야기를 해보겠습니다. 2026 년 10 월 21 일, 전 세계 웹사이트 운영자들이 큰 혼란을 겪는 뉴스가 있었습니다.
PHP2Shell(피에이치투에스HELL)
IT 뉴스에 관심 없는 분들에게는 낯선 용어일 수 있습니다. 다만, 홈페이지나 온라인 쇼핑몰을 운영하는 기업이나 가게라면 거의 모든 관계자가 알아야 할 이야기입니다. 전문 용어를 최대한 배제하고, '무슨 일이 일어났는지'와 '자신이 무엇을 해야 하는지'를 정리했습니다.
그렇다면 PHP 는 무엇인가요?
PHP(피에이치피)는 웹사이트를 구동하기 위한 프로그래밍 언어입니다.
가까운 예를 들자면,
- 많은 기업과 상점의 홈페이지에서 사용되고 있는 워드프레스 (WordPress)
- 온라인 쇼핑몰, 예약 사이트, 문의 폼
이러한 것들 대부분은 뒤에서 PHP 를 사용하여 작동하며, 세계의 웹사이트 중 약 70% 가 PHP 로 작동한다는 말도 있습니다.
건물을 비유하자면 PHP 는 '홈페이지라는 건물의 기초'와 같습니다.
PHP2Shell이란 무엇인가?
PHP2Shell 은 PHP 내부에 발견된 두 가지 중대한 취약점을 지칭하는 이름입니다. 공식적으로는 CVE-2026-109618 과 CVE-2026-109619 로 명명되었습니다.
핵심은 세 가지입니다.
잠금장치 없이 외부에서 침입당할 수 있습니다. 본래 로그인 (ID 와 비밀번호) 이 필요하지만, 조작된 액세스만 보낼 경우 서버에서 악성 프로그램이 실행될 위험이 있습니다. 이를 상점에 비유하자면, '잠금을 걸었음에도 불구하고 도어의 구조 자체에 결함이 있어 외부에서 열려버리는' 상태와 같습니다.
심층도는 10 점 중 9.2 점으로, 세계 공통 지표인 취약성 위험도가 9.2 점에 달했습니다. 이는 최고 등급에 가까운 '긴급' 등급입니다.
③ 자신의 사이트에 문제가 없어도 영향을 받을 수 있습니다. 이것이 가장 중요한 부분입니다. WordPress 플러그인 오류와 같은 '사이트 고유 문제'가 아니라, 토대가 되는 PHP 자체의 문제입니다. 즉, 사이트를 제대로 만들어도 토대가 오래되었으면 위험할 수 있습니다.
어떤 범위까지 영향을 미치는지?
- 대상: PHP 5.4~8.5.11(10 년 이상 된 버전부터 최신 버전 근처까지, 거의 모두)
- 서버 종류와 관계없이 동작하는 PHP 웹사이트는 모두 영향을 받습니다.
- 수정판은 2026 년 10 월 21 일에 공개되었습니다: PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
- 공개된 시점부터 이미 공격이 시작되었음이 확인되었습니다.
또한 PHP 8.1 이전의 구버전은 공식 업데이트가 종료되었습니다. 구버전을 그대로 방치한 사이트는 특히 주의해야 합니다.
강제로 빼앗기면 어떤 일이 일어나는가?
서버가 탈취당하면 다음과 같은 일이 발생할 수 있습니다.
- 홈페이지가 변조되거나 (위조 사이트나 사기 페이지로 유도되는 경우 등)
- 문의 내용이나 고객 정보가 유출될 수 있습니다.
- 서버가 바이러스 배포나 타격 공격의 '발판'으로 악용되는 경우
- 구글에서 '위험한 사이트'로 표시되면 유입이 끊깁니다.
SNS 와 MEO 를 통해 열심히 고객을 모으더라도, 수용처인 홈페이지가 위험한 상태라면 신뢰가 한순간에 무너집니다.
AI 가 찾아낸 것? 주목받는 이유
이번 결함은 보안 기업 Calif・Wiz 와 OpenAI 의 연구자들이 AI 를 활용한 조사로 발견되었습니다. 실제로 문제의 핵심은 2024 년에 이미 지적되었으나, 악용하기에는 매우 복잡한 절차가 필요하여 '현실적이지 않다'고 여겨졌다고 합니다.
AI 의 힘으로 조사와 검증의 장벽이 한 번에 크게 낮아진 것입니다. 이는 '방어하는 측'뿐만 아니라 '공격하는 측'에게도 동일합니다. 이제부터는 오래된 소프트웨어를 방치하는 위험이 과거보다 훨씬 커질 것이라는 시대 변화의 순간을 느끼게 하는 사건이었습니다.
자신의 웹사이트는 괜찮을까요? 오늘 해야 할 일은 세 가지입니다.
저 역시 코드를 직접 작성하지 않습니다. 그래서 전문가에게 꼼꼼히 확인을 받아야 한다고 생각합니다. 어려운 것은 몰라도 괜찮습니다. 오늘 바로 시도해 볼 수 있는 다음 세 가지만 기억하세요.
①「누가 사이트를 관리하고 있는지」를 확인합니다.
사이트를 만들어 주신 제작사, 렌탈 서버 회사, 내부 담당자 등 서버를 관리하는 주체를 확인해 보십시오.
②「PHP2Shell 의 대응을 완료했나요？」라고 물었습니다.
그대로 이렇게 말씀하시면 됩니다.
PHP2Shell(CVE-2026-109618/109619) 관련으로, 저희 사이트의 PHP 가 수정 버전에 업데이트되었는지 확인 부탁드립니다.
많은 렌탈 서버 업체는 공식 웹사이트나 공지사항에서 대응 상황을 안내하고 있으며, 관리 화면의 공지사항도 확인해 보시기 바랍니다.
③「입혀지지 않았는지」도 확인해 주십시오.
업데이트는 "이제부터는 진입할 수 없도록" 하는 대응책입니다. 업데이트 전에 이미 침입된 경우, 업데이트만으로는 악성 프로그램이 삭제되지 않습니다. 가능하다면 업데이트 전에 의심스러운 접근이나 변조가 없었는지 확인해 주십시오.
요약
- PHP2Shell 은 웹 사이트의 기반인 PHP 에서 발견된 심각한 취약점입니다.
- 로그인 없이 외부에서 서버를 탈취될 위험이 있습니다.
- WordPress 와 같은 PHP 기반 사이트 대부분이 대상입니다.
- 대응책은 수정판으로의 업데이트가 기본이며, 관리자 및 서버 회사와 확인하세요.
홈페이지는 24 시간 운영해 주는 소중한 '점포의 얼굴'입니다. SNS 를 통한 고객 유치 노력만큼이나, 그 수용처의 안전을 중요하게 여기며 관리해 나가는 것이 필요합니다.
이 글이 주변에 사이트를 운영하시는 분들에게 확인의 계기가 되기를 바랍니다. 꼭 공유해 주세요.
출처: note 원문
번역: Qwen 3.5(.48) 초벌 + 교정 26청크
원문 보기 | 출처: note.com