# PHP2Shell이란 무엇인가? 사이트 보안과 관련된 문제를 쉽게 설명합니다.

> https://bookfactory.kr/board/news/23607
> 게시판: 뉴스
> 작성자: admin
> 작성일: 2026-10-24T09:37:06.306Z

---

안녕하세요, 스톤하트 주식회사의 야마다 다키입니다.

평소 SNS 운영과 지역 활성화 업무를 맡고 있지만, 오늘은 조금 다른 색채의 이야기를 해보겠습니다. 2026 년 10 월 21 일, 전 세계 웹사이트 운영자들이 큰 혼란을 겪는 뉴스가 있었습니다.

PHP2Shell(피에이치투에스HELL)

IT 뉴스에 관심 없는 분들에게는 낯선 용어일 수 있습니다. 다만, 홈페이지나 온라인 쇼핑몰을 운영하는 기업이나 가게라면 거의 모든 관계자가 알아야 할 이야기입니다. 전문 용어를 최대한 배제하고, '무슨 일이 일어났는지'와 '자신이 무엇을 해야 하는지'를 정리했습니다.

## 그렇다면 PHP 는 무엇인가요?

PHP(피에이치피)는 웹사이트를 구동하기 위한 프로그래밍 언어입니다.

가까운 예를 들자면,

- 많은 기업과 상점의 홈페이지에서 사용되고 있는 워드프레스 (WordPress)
- 온라인 쇼핑몰, 예약 사이트, 문의 폼

이러한 것들 대부분은 뒤에서 PHP 를 사용하여 작동하며, 세계의 웹사이트 중 약 70% 가 PHP 로 작동한다는 말도 있습니다.

건물을 비유하자면 PHP 는 '홈페이지라는 건물의 기초'와 같습니다.

## PHP2Shell이란 무엇인가?

![画像](https://assets.st-note.com/img/1792810272-xw6Vsi8X1ToZSreQGCv7Uq90.png?width=1200)

PHP2Shell 은 PHP 내부에 발견된 두 가지 중대한 취약점을 지칭하는 이름입니다. 공식적으로는 CVE-2026-109618 과 CVE-2026-109619 로 명명되었습니다.

핵심은 세 가지입니다.

잠금장치 없이 외부에서 침입당할 수 있습니다. 본래 로그인 (ID 와 비밀번호) 이 필요하지만, 조작된 액세스만 보낼 경우 서버에서 악성 프로그램이 실행될 위험이 있습니다. 이를 상점에 비유하자면, '잠금을 걸었음에도 불구하고 도어의 구조 자체에 결함이 있어 외부에서 열려버리는' 상태와 같습니다.

심층도는 10 점 중 9.2 점으로, 세계 공통 지표인 취약성 위험도가 9.2 점에 달했습니다. 이는 최고 등급에 가까운 '긴급' 등급입니다.

③ 자신의 사이트에 문제가 없어도 영향을 받을 수 있습니다. 이것이 가장 중요한 부분입니다. WordPress 플러그인 오류와 같은 '사이트 고유 문제'가 아니라, 토대가 되는 PHP 자체의 문제입니다. 즉, 사이트를 제대로 만들어도 토대가 오래되었으면 위험할 수 있습니다.

## 어떤 범위까지 영향을 미치는지?

- 대상: PHP 5.4~8.5.11(10 년 이상 된 버전부터 최신 버전 근처까지, 거의 모두)
- 서버 종류와 관계없이 동작하는 PHP 웹사이트는 모두 영향을 받습니다.
- 수정판은 2026 년 10 월 21 일에 공개되었습니다: PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
- 공개된 시점부터 이미 공격이 시작되었음이 확인되었습니다.

또한 PHP 8.1 이전의 구버전은 공식 업데이트가 종료되었습니다. 구버전을 그대로 방치한 사이트는 특히 주의해야 합니다.

## 강제로 빼앗기면 어떤 일이 일어나는가?

서버가 탈취당하면 다음과 같은 일이 발생할 수 있습니다.

- 홈페이지가 변조되거나 (위조 사이트나 사기 페이지로 유도되는 경우 등)
- 문의 내용이나 고객 정보가 유출될 수 있습니다.
- 서버가 바이러스 배포나 타격 공격의 '발판'으로 악용되는 경우
- 구글에서 '위험한 사이트'로 표시되면 유입이 끊깁니다.

SNS 와 MEO 를 통해 열심히 고객을 모으더라도, 수용처인 홈페이지가 위험한 상태라면 신뢰가 한순간에 무너집니다.

## AI 가 찾아낸 것? 주목받는 이유

이번 결함은 보안 기업 Calif・Wiz 와 OpenAI 의 연구자들이 AI 를 활용한 조사로 발견되었습니다. 실제로 문제의 핵심은 2024 년에 이미 지적되었으나, 악용하기에는 매우 복잡한 절차가 필요하여 '현실적이지 않다'고 여겨졌다고 합니다.

AI 의 힘으로 조사와 검증의 장벽이 한 번에 크게 낮아진 것입니다. 이는 '방어하는 측'뿐만 아니라 '공격하는 측'에게도 동일합니다. 이제부터는 오래된 소프트웨어를 방치하는 위험이 과거보다 훨씬 커질 것이라는 시대 변화의 순간을 느끼게 하는 사건이었습니다.

## 자신의 웹사이트는 괜찮을까요? 오늘 해야 할 일은 세 가지입니다.

![画像](https://assets.st-note.com/img/1792810311-8Dgo69OXKbZRWnuVEredPFjw.png?width=1200)

저 역시 코드를 직접 작성하지 않습니다. 그래서 전문가에게 꼼꼼히 확인을 받아야 한다고 생각합니다. 어려운 것은 몰라도 괜찮습니다. 오늘 바로 시도해 볼 수 있는 다음 세 가지만 기억하세요.

### ①「누가 사이트를 관리하고 있는지」를 확인합니다.

사이트를 만들어 주신 제작사, 렌탈 서버 회사, 내부 담당자 등 서버를 관리하는 주체를 확인해 보십시오.

### ②「PHP2Shell 의 대응을 완료했나요？」라고 물었습니다.

그대로 이렇게 말씀하시면 됩니다.

> 
> 
> PHP2Shell(CVE-2026-109618/109619) 관련으로, 저희 사이트의 PHP 가 수정 버전에 업데이트되었는지 확인 부탁드립니다.
> 

많은 렌탈 서버 업체는 공식 웹사이트나 공지사항에서 대응 상황을 안내하고 있으며, 관리 화면의 공지사항도 확인해 보시기 바랍니다.

### ③「입혀지지 않았는지」도 확인해 주십시오.

업데이트는 "이제부터는 진입할 수 없도록" 하는 대응책입니다. 업데이트 전에 이미 침입된 경우, 업데이트만으로는 악성 프로그램이 삭제되지 않습니다. 가능하다면 업데이트 전에 의심스러운 접근이나 변조가 없었는지 확인해 주십시오.

## 요약

- PHP2Shell 은 웹 사이트의 기반인 PHP 에서 발견된 심각한 취약점입니다.
- 로그인 없이 외부에서 서버를 탈취될 위험이 있습니다.
- WordPress 와 같은 PHP 기반 사이트 대부분이 대상입니다.
- 대응책은 수정판으로의 업데이트가 기본이며, 관리자 및 서버 회사와 확인하세요.

홈페이지는 24 시간 운영해 주는 소중한 '점포의 얼굴'입니다. SNS 를 통한 고객 유치 노력만큼이나, 그 수용처의 안전을 중요하게 여기며 관리해 나가는 것이 필요합니다.

이 글이 주변에 사이트를 운영하시는 분들에게 확인의 계기가 되기를 바랍니다. 꼭 공유해 주세요.

**출처:** [note 원문](https://note.com/daiki0917yoshida/n/n6905d0da3a4b)

*번역: Qwen 3.5(.48) 초벌 + 교정 26청크*

[원문 보기](https://note.com/daiki0917yoshida/n/n6905d0da3a4b) | 출처: note.com