PHP 긴급 보안 업데이트, PHP2Shell 취약점 오늘 배포

PHP는 전 세계 웹 서버와 콘텐츠 관리 시스템(CMS)의 상당 부분을 구동합니다. 공식 발표는 세부 기술 정보를 패치 시점에 공개하겠다고 밝혔고, 이미 일부 보안 업체(watchTowr, Sansec 등)가 취약점의 실재와 RCE 가능성을 확인했습니다. 유출된 PHP2Shell 도구 관련 영상이 여러 애플리케이션에서 동작하는 모습을 보여 주며, 패치 공개 후 대규모 공격이 빠르게 시작될 수 있다는 경고가 나왔습니다.

PHP 긴급 보안 릴리스, 무엇이 문제인가

PHP Foundation의 php.announce 메일링과 공식 Discourse 게시물에 따르면, 보안팀은 두 개의 Critical 취약점을 해결하는 릴리스를 2026년 10월 21일 14:00 UTC에 예정했습니다. 둘 다 CVSS v4.0 9.2이며, 세부 내용이나 악용 증거가 나오면 더 일찍 배포할 수도 있다고 밝혔습니다. 패치와 함께 영향 받는 버전·고정 버전 번호·기술 상세가 공개됩니다.

현재까지 확인된 핵심은 다음과 같습니다.

• 원격 코드 실행 가능성이 높다.
• 인증되지 않은 공격자가 네트워크를 통해 악용할 수 있다.
• PHP 5.4 이상(일부 출처는 PHP 5부터)의 광범위한 버전에 해당할 수 있다.
• 지원이 종료된 구버전(PHP 8.1 이하)은 공식 패치를 받지 못할 수 있어 업그레이드가 필요하다.

CERT-EU와 호주 사이버 보안 센터(ACSC) 등도 경고를 냈습니다. 패치를 즉시 적용할 수 없는 사이트는 일시적으로 오프라인으로 전환하는 방안까지 검토하라는 내용이 포함됐습니다. Cloudflare 등 일부 기업은 이미 방화벽 규칙을 임시로 강화하고 있습니다.

PHP2Shell이란? 알려진 영향과 위험

보안 커뮤니티에서는 이 이슈를 PHP2Shell로 부르고 있습니다. 과거 Log4Shell과 비슷한 이름을 붙인 이유는 광범위한 버전 영향과 원격 실행 가능성 때문입니다. 유출된 도구 영상은 WordPress 7.1.3, MediaWiki, phpBB, Magento 2.4.9, Joomla, Laravel, Drupal, WHMCS 등에서 코드 실행이 되는 장면을 보여 줬습니다. Sansec은 패치 공개 후 15분 이내에 대규모 공격이 시작될 수 있다고 예상했습니다.

중요한 점은 이 취약점이 PHP 인터프리터 자체에 있다는 것입니다. 애플리케이션 코드가 안전해도 PHP 버전이 취약하면 서버 전체가 위험해질 수 있습니다. 인터넷에 노출된 PHP 서버가 약 130만 대에 이른다는 추정치도 있습니다.

현재 판정은 “공식 발표 + 보안 업체 확인 + 패치 예정”입니다. 악용 여부는 아직 공개적으로 대량 확인되지 않았으나, 세부 정보가 유출된 상태라 패치 전·후 모두 주의가 필요합니다.

누구에게 영향이 있는가

• 직접 서버를 운영하는 경우: PHP-FPM, mod_php 등을 사용하는 웹 서버 전체가 대상입니다. 버전을 확인하고 패치 준비 상태를 점검해야 합니다.
• 호스팅·매니지드 서비스를 쓰는 경우: 제공자가 PHP를 업데이트합니다. 즉시 문의해서 적용 일정을 확인하세요. 공유 호스팅은 제공자 일정에 의존합니다.
• CMS·프레임워크 사용자: WordPress, WooCommerce, Magento, Shopware, Joomla, Drupal, Laravel 등 PHP로 만든 모든 사이트가 해당됩니다. 애플리케이션 업데이트만으로는 부족하고 PHP 자체 패치가 필요합니다.
• 개발·CI 환경: 로컬 개발 서버, Docker 이미지, CI 파이프라인에 구버전 PHP가 남아 있으면 같이 점검하세요.

지원이 끝난 PHP 8.1 이하를 쓰는 사이트는 공식 패치가 없을 가능성이 높습니다. 이 경우 지원되는 버전(PHP 8.2 이상)으로 업그레이드하거나 백포트를 고려해야 합니다.

지금 당장 해야 할 준비와 확인 방법

1. PHP 사용 여부와 버전 목록을 만드세요.
   php -v 또는 호스팅 패널, phpinfo()로 확인합니다. 컨테이너·여러 사이트가 있으면 모두 점검합니다.
2. 호스팅 제공자에게 문의하세요.
   “오늘 14:00 UTC PHP Critical 보안 릴리스 적용 일정”을 구체적으로 물어보세요. 자체 서버라면 유지보수 창을 잡아 둡니다.
3. 백업을 완료하세요.
   파일과 데이터베이스를 모두 백업합니다. 업데이트 후 문제가 생겼을 때 복구 지점이 필요합니다.
4. 임시 완화 조치를 검토하세요.
   Sansec 등은 php.ini에서 session.upload_progress.enabled = 0과 session.use_strict_mode = 1을 임시로 설정하는 방안을 제시했습니다. 완벽한 해결책은 아니며 공식 패치가 우선입니다.
5. 모니터링을 강화하세요.
   웹 서버 로그, 비정상 프로세스, 갑작스러운 파일 생성 등을 주시합니다. 패치 공개 직후 공격 시도가 늘어날 수 있습니다.

패치 후 확인과 실패 시 대응

패치가 나오면 php.net과 공식 보안 공지를 확인하고 즉시 적용합니다. 적용 후 php -v로 버전을 재확인하고, 사이트 정상 동작을 테스트합니다. 문제가 생기면 백업으로 롤백한 뒤 제공자나 전문가에게 문의하세요. 구버전을 계속 써야 한다면 인터넷 노출을 최소화하고 WAF 규칙을 강화하는 임시 대응을 병행합니다.

WordPress 등 주요 CMS는 PHP 버전 호환성을 확인한 뒤 업데이트하는 것이 안전합니다. 패치만 적용하고 CMS 자체 업데이트를 미루면 다른 위험이 남을 수 있습니다.

FAQ

Q. WordPress만 업데이트하면 되나요?
A. 아니요. 이번 문제는 PHP 자체에 있습니다. PHP 버전을 올려야 합니다.

Q. 패치가 아직 안 나왔는데 사이트를 꺼야 하나요?
A. 공식 권고는 “준비 후 즉시 업데이트”입니다. 중요한 사이트가 패치를 바로 못 받으면 일시적 오프라인이나 추가 WAF 규칙을 검토할 수 있습니다.

Q. 구버전 PHP(8.1 이하)는 어떻게 하나요?
A. 공식 패치가 없을 가능성이 큽니다. 지원되는 버전으로 업그레이드하는 것이 가장 확실합니다.

핵심 출처
– PHP Foundation 공식 공지 (Discourse / php.announce)
– Ars Technica, Sansec, CERT-EU 등 보안 보도 및 분석

이 글은 2026년 10월 21일 기준 확인된 정보를 바탕으로 작성됐습니다. 패치 배포 후 공식 상세 내용이 나오면 추가 확인이 필요합니다. 웹사이트를 운영 중이라면 지금 버전 확인과 호스팅 문의부터 시작하세요.