PHP2Shell 조치의 핵심은 PHP를 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상으로 올리고, PHP를 돌리는 웹 서비스를 모두 재시작하는 것입니다. 호스팅 업체가 PHP를 관리한다면 그 업체에 적용 여부를 확인하고 요청하면 됩니다.
KISA 보호나라는 2026년 10월 22일 「PHP 보안취약점(PHP2Shell) 관련 기업 보안 대응 수칙」을 내고 즉시 조치를 권고했습니다. 그 수칙과 php.net 보안 공지를 2026년 11월 4일에 읽고, 확인부터 패치, 점검까지 순서대로 정리했습니다.
1. PHP2Shell, 무엇부터 해야 하나요?
내 홈페이지가 PHP를 쓰는지, 쓴다면 몇 버전인지부터 확인합니다. 그다음 해결 버전으로 올려 재시작하고, 마지막으로 기록을 점검하고 비밀번호를 바꿉니다. KISA 수칙 여덟 가지를 사장님 눈높이로 묶으면 이 세 단계입니다.
PHP2Shell은 로그인 없이 바깥에서 서버에 명령을 실행할 수 있는 PHP 자체의 취약점 두 개(CVE-2026-109618, CVE-2026-109619)입니다. 과기정통부는 2026년 10월 22일 12시부로 민간 분야 사이버 위기 「주의」 경보를 냈습니다.
2. PHP를 쓰는지, 몇 버전인지부터 확인
KISA 수칙 1번은 인터넷에 공개된 모든 홈페이지와 시스템의 PHP 사용 여부와 버전을 확인하라고 합니다. 외주로 만든 사이트, 오래전에 만들고 관리하지 않는 사이트, 이벤트·테스트 서버, 관리자 페이지도 포함입니다.
과기정통부 보도자료는 워드프레스·그누보드 등 국내에서 많이 쓰는 홈페이지 제작 도구도 PHP 기반이라고 적었습니다. 이런 도구로 만든 사이트라면 확인 대상입니다.
버전 숫자를 볼 때는 조심할 점이 있습니다. 명령어(php -v)로 보이는 버전과 웹 서비스가 실제로 쓰는 버전이 다를 수 있고, 리눅스 배포판 패키지는 패치해도 번호가 바뀌지 않을 수 있다고 KISA는 적었습니다.
3. 해결 버전으로 올리고 모든 PHP 서비스 재시작
해결 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상이고, 리눅스 배포판·제조사가 주는 업데이트도 포함됩니다. KISA는 인터넷에 공개된 서버부터 우선 조치하라고 했습니다.
업데이트한 뒤에는 PHP를 돌리는 웹 서비스(PHP-FPM, Apache mod_php 등)를 모두 재시작하고, 실제로 쓰는 버전이 바뀌었는지 확인합니다. KISA 수칙은 이유를 이렇게 적었습니다.
재시작하지 않으면 메모리에 남은 이전 버전이 계속 동작해 여전히 취약
PHP 8.1 이하는 공식 업데이트가 나오지 않아 지원 버전으로 옮겨야 합니다. 8.2도 2026년 12월 31일 보안 지원이 끝날 예정이라 KISA는 8.3 이상 전환을 권장합니다. 호스팅을 쓰면 이 확인과 요청을 업체에 하면 됩니다.
4. 바로 올리기 어려우면 임시 조치
KISA 수칙 4번은 즉시 업데이트가 어려울 때 PHP 앞단에서 요청 크기를 제한하고, 파일 업로드가 필요 없는 서비스는 업로드 요청을 막으라고 합니다. php.ini 같은 설정에 PHP 공식 임시 설정을 넣고 모든 PHP 프로세스를 재시작하라고도 적었습니다.
다만 KISA는 임시 조치가 공격을 완전히 막지 못하므로 업데이트를 권고했습니다. 임시 조치도 어렵다면 업데이트 전까지 외부 접속 차단이나 서비스 일시 중단을 검토하라고 권고합니다.
php.net은 2026년 10월 23일, 드문 설정과 프로그램 조합에서만 생길 수 있는 다른 공격 경로 때문에 다음 정기 버그 수정판까지 session.upload_progress.enabled=0 설정을 제안했습니다. 서버 담당자가 함께 챙길 일입니다.
5. 업데이트 뒤 기록 점검과 비밀번호 교체
KISA 수칙 5번은 업데이트 뒤 최소 10월 20일(취약점 정보 유출일) 이후의 기록 전체를 점검하라고 합니다. 비정상적으로 큰 요청과 반복된 서버 오류, 웹 폴더에 새로 생긴 PHP 파일(웹셸), 결제 페이지에 몰래 붙은 외부 스크립트 등이 점검 항목입니다.
기록에 이상이 없어도 안전이 보장되지 않으므로, 업데이트와 함께 인증정보를 바꾸라는 것이 KISA 수칙입니다. 업데이트 전까지 인터넷에 노출됐던 서버는 DB 비밀번호, 외부 서비스 연동 키, 관리자 비밀번호 교체를 권장하고, 침해 흔적이 있으면 반드시 바꾸라고 적었습니다.
6. 해킹이 의심되면 끄지 말고 신고
침해 흔적을 찾았다면 KISA 수칙 7번 순서를 따릅니다. 서버를 끄거나 재시작하지 말고 네트워크에서 외부 접속만 막습니다. 재시작하면 메모리에 남은 공격 흔적이 사라지기 때문입니다.
신고는 보호나라(boho.or.kr)의 「침해사고 신고」 메뉴에서 합니다. 상담은 국번 없이 118입니다. 인터넷에 도는 공격 시험 코드(PoC)는 악성코드가 숨은 가짜가 많으니 내려받아 실행하지 말라고 KISA와 과기정통부가 함께 당부했습니다.
이 블로그를 운영하는 AiApp에서는 엠바스 외주로 기존 PHP 홈페이지의 점검과 버전 업그레이드, AiApp으로 옮기는 상담을 견적 페이지에서 받습니다. 근본적으로는 AiApp으로 만든 사이트는 PHP로 돌아가지 않아 PHP2Shell 같은 PHP 취약점의 패치 대상이 아닙니다.
서버와 실행 환경의 보안 업데이트는 AiApp이 하고, https 인증서를 자동으로 붙여 갱신하며, 백업을 두어 문제가 생기면 되돌릴 수 있습니다.
정리하면 PHP2Shell 조치는 이 순서입니다.
- PHP를 쓰는 사이트와 서버를 모두 찾고 버전을 확인합니다
- 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상으로 올리고 모든 PHP 서비스를 재시작합니다
- 바로 못 올리면 임시 조치를 하되, 업데이트를 대신하지는 못합니다
- 10월 20일 이후 기록을 점검하고 비밀번호와 연동 키를 바꿉니다
- 침해가 의심되면 끄지 말고 외부 접속만 막은 뒤 보호나라에 신고합니다
단계별로 더 자세히 보려면 이어지는 글을 읽어 보세요. 이 취약점이 무엇인지는 PHP2Shell 뜻, 무엇이 위험한가, 내 버전이 해당하는지는 php 취약점 버전, 내 홈페이지도 해당될까?에 있습니다.
옮길 버전은 php 버전별 기능 차이, 8.2 지원 종료 전에에서, 직접 할지 맡길지는 php 버전 업그레이드, 직접 할까 맡길까에서 고를 수 있습니다. 버전을 알아보는 법은 php 버전 확인 방법, 3가지로 정리, 카페24 호스팅이라면 카페24 php 업데이트, 확인부터 변경까지를 보세요.
바로 업데이트하기 어려울 때는 PHP2Shell 차단 방법, 패치 전 임시 조치, 패치 뒤 흔적 점검은 php 취약점 확인, 패치 뒤 해킹 흔적 점검에 정리했습니다. 워드프레스 사이트라면 워드프레스 php 패치 방법, 그다음 선택지로 이어 가세요.
참고자료 (모두 2026년 11월 4일 확인)
- KISA 보호나라 보안공지 「PHP 보안취약점(PHP2Shell) 관련 기업 보안 대응 수칙」(2026-10-22) — boho.or.kr
- KISA 보호나라 보안공지 「PHP 제품 보안 업데이트 권고」(2026-10-21) — boho.or.kr
- 과학기술정보통신부 보도자료(2026-10-22) 「웹사이트 개발 언어 ‘PHP’ 보안 취약점 관련 긴급 보안 최신화 및 기술적 조치 당부」 — msit.go.kr
- PHP 「Security advisory」(2026-10-21) · 「Informational advisory: Session upload progress」(2026-10-23) — php.net/archive/2026.php
- PHP 「Supported Versions」 — php.net/supported-versions.php
- AiApp 운영팀 확인(2026년 11월) — AiApp 사이트의 PHP 사용 여부, 보안 업데이트, https, 백업
#PHP2Shell #PHP보안패치 #PHP취약점 #KISA보호나라 #홈페이지보안
