서버를 통째로 넘길 수 있는 PHP 구멍이 뚫렸습니다
2026년 10월, 웹을 떠받치는 PHP에서 치명적인 보안 취약점 두 건이 한꺼번에 공개됐습니다. 묶어서 PHP2Shell이라고 부르고, 공식 번호는 CVE-2026-109618과 CVE-2026-109619입니다. 위험도 점수는 10점 만점에 9.2점 — '치명적' 등급입니다.
둘 다 원격 코드 실행(RCE) 취약점입니다. 쉽게 말해 공격자가 내 서버에서 제 마음대로 명령을 실행할 수 있다는 뜻입니다. 로그인도 필요 없이, 바깥에서 사이트 주소만 알면 서버를 장악할 수 있는 종류라 특히 위험합니다.
왜 이번이 특히 심각한가
같은 'RCE'라도 이번 건이 유독 급한 이유가 있습니다.
- 거의 모든 PHP 버전이 대상입니다. PHP 5.4부터 8.5까지, 지금 쓰이는 사실상 전 버전이 둘 중 하나 이상에 영향을 받습니다.
- 패치가 나오기 전에 내용이 먼저 샜습니다. 보안 패치는 10월 21일에 나왔는데, 그 전에 취약점 상세가 외부로 유출됐습니다. 그래서 공격자들이 패치보다 먼저 움직일 시간이 있었습니다.
- 공격 코드(PoC)가 공개됐고, 보안 업체들은 실제 공격 시도를 이미 관측하고 있다고 밝혔습니다.
- 워드프레스·드루팔·줌라도 뚫립니다. 보안 연구팀 Wiz는 최신 워드프레스·드루팔·줌라 환경에서 로그인 없이 코드 실행이 되는 것을 시연했습니다. 코드 실행까지 못 가도 서버 메모리에서 비밀번호·토큰·API 키를 읽어낼 수 있다는 점까지 보였습니다.
국내 중소기업 홈페이지 상당수가 워드프레스로 돌아가고, 그 밑은 전부 PHP입니다. 남 얘기가 아니라는 뜻입니다.
내 사이트도 해당될까요
거의 "그렇다"고 보는 게 안전합니다. 워드프레스·그누보드·라라벨 등 PHP로 만든 사이트라면 모두 이 PHP 위에서 돕니다. 직접 만든 사이트든, 솔루션을 쓰든, PHP 버전이 패치 전이면 대상입니다.
특히 더 이상 업데이트가 안 되는 오래된 PHP(예: 7.x, 5.x)를 쓰고 있다면 패치 자체가 나오지 않으니 더 위험합니다.
지금 당장 할 일
- PHP를 패치본으로 올리세요. 10월 21일에 나온 안전한 버전은 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35입니다. 이 숫자 이상이면 안전합니다. 임시 완화책도 일부 돌지만, PHP 측은 "완전한 우회책은 없고 업데이트가 유일한 해결"이라고 못 박았습니다.
- 호스팅을 쓴다면 업체에 확인하세요. 카페24·가비아 같은 호스팅이나 클라우드를 쓰면 PHP 버전을 업체가 관리합니다. "PHP 보안 패치가 적용됐는지" 문의하시면 됩니다. 발 빠른 호스팅은 이미 선제 적용을 시작했습니다.
- 지원 종료(EOL)된 PHP는 지원 버전으로 올리세요. 7.x 이하는 패치가 없으니, 이번 기회에 8.2 이상으로 올리는 게 맞습니다.
- PHP 버전을 밖에 드러내지 마세요. 서버 응답 헤더(X-Powered-By)에 PHP 버전이 그대로 노출되면 공격자가 표적 삼기 쉽습니다. 이 헤더를 끄는 설정을 함께 해 두면 좋습니다.
내 PHP 버전, 어떻게 확인하나
가장 간단한 방법은 호스팅·서버 관리 화면(cPanel, 호스팅 관리자 페이지 등)에서 PHP 버전을 보는 것입니다. 워드프레스라면 관리자 화면의 '사이트 상태(도구 → 사이트 건강)'에서도 PHP 버전을 알 수 있습니다. 거기 적힌 숫자가 위의 패치본보다 낮으면 바로 올려야 합니다.
모의해킹 진단으로도 잡힙니다
저희 웹 모의해킹 진단은 사이트가 응답에 드러내는 PHP 버전을 확인합니다. 그 버전이 이번 패치본보다 낮으면 보고서에 '높음(즉시 조치)'으로 올려 드립니다. 공식 점검 도구 제작사가 이 취약점 전용 탐지 규칙을 아직 내놓기 전이라, 저희는 버전 판정으로 먼저 걸러내도록 진단 엔진을 업데이트해 두었습니다.
다만 솔직히 한 가지는 짚어야 합니다. 서버가 PHP 버전을 숨기고 있으면 버전만으로는 확정하기 어렵습니다. 그때는 위에서 말씀드린 대로 호스팅·관리자 화면에서 직접 버전을 확인하고 최신으로 올렸는지 보는 게 가장 확실합니다. 진단은 "밖에서 보이는 위험"을 빠르게 걸러 주는 역할이고, 최종 확인은 서버 안에서 하는 것이 안전합니다.
보안은 터지고 나서가 아니라 터지기 전에 막는 게 가장 쌉니다. 이번 PHP 건을 계기로 내 사이트의 PHP 버전부터 한번 확인해 보세요.
비전솔루션 웹 모의해킹 문의: 📧 [email protected] 🌐 https://www.visionc.co.kr/pentest