10월 21일 공개된 PHP2Shell 취약점은 인증 절차 없이 서버에서 코드를 실행할 수 있습니다. 웹 애플리케이션 코드가 실행되기 전 단계에서 공격이 성립해, 소스를 아무리 잘 짜두어도 막히지 않습니다.
PHP 개발팀이 2026년 10월 21일 긴급 보안 업데이트를 공개하고 즉시 적용을 권고했습니다.
메모리 부족 오류를 처리하는 중 요청 데이터 초기화가 끝나기 전에 중단되고, 이후 잘못된 메모리 상태가 정상 데이터처럼 사용되면서 코드가 실행됩니다. 아파치 mod_php 구성에서는 인증되지 않은 HTTP 요청만으로 공격이 가능합니다.
요청 처리에 쓰인 메모리가 해제된 뒤에도 내부 상태가 남아, 같은 작업 프로세스가 다음 요청을 처리할 때 그 오래된 상태를 참조하면서 코드 실행으로 이어집니다.
php -v 로만 버전을 확인하셨다면 — 실제 서비스 버전과 다를 수 있습니다
설정 변경만으로는 부족합니다.
session.upload_progress.enabled=0 같은 설정은 일부 공격 경로만 막습니다.
근본 해결은 패치 적용과 프로세스 재시작입니다.
웹 요청을 실제로 처리하는 환경의 버전을 확인해야 합니다.
php -v 는 명령행 PHP 버전만 보여주므로 서비스 버전과 다를 수 있습니다.
# PHP-FPM 을 쓰는 경우 php-fpm8.4 -v # 서버에 설치된 PHP 버전 전체 보기 ls /etc/php
# 버전 번호가 그대로라 php -v 로는 알 수 없습니다
dpkg -l 'php8.1*' | awk '/^ii/ {print $2, $3}'
확인이 어려우시면 도메인만 알려주셔도 외부에서 확인 가능한 범위로 1차 점검해 드립니다. 서버 접속 없이 가능한 비침습 확인이며, 비용은 들지 않습니다.
PHP 8.1 이하는 공식 지원이 끝나 새 버전이 나오지 않습니다. 배포판 백포트 패키지로만 대응됩니다.
| 사용 중인 버전 | 패치 버전 | 비고 |
|---|---|---|
| PHP 8.5 | 8.5.12 | |
| PHP 8.4 | 8.4.27 | |
| PHP 8.3 | 8.3.36 | |
| PHP 8.2 | 8.2.35 | |
| PHP 8.1 | 8.1.34 -9 | 지원 종료 · 백포트 |
| PHP 8.0 | 8.0.30 -25 | 지원 종료 · 백포트 |
| PHP 7.4 | 7.4.33 -31 | 지원 종료 · 백포트 |
| PHP 7.3 이하 | 지원 종료 · 상위 버전 이전을 권장합니다 | |
2017년부터 PHP 기반 시스템을 구축하고 운영해 온 개발사입니다. 서버 접속 권한만 주시면 끝까지 처리합니다.
실제 요청을 처리하는 환경 기준으로 PHP 버전과 패치 여부를 확인합니다.
운영 중단을 최소화해 적용하고, 남아 있는 작업 프로세스까지 재시작합니다.
조치 내역과 적용 후 검증 결과를 문서로 남겨 드립니다.
오히려 더 위험합니다. 이번 취약점은 특정 사이트를 노린 공격이 아니라 PHP 자체의 문제라, 자동화된 스캔으로 무차별 시도됩니다. 패치되지 않은 서버는 규모와 관계없이 대상이 됩니다.
업체마다 다릅니다. 공용 호스팅은 제공사가 일괄 패치하는 경우가 있지만, 서버 호스팅이나 클라우드를 쓰신다면 직접 적용해야 합니다. 또 제공사가 패치했더라도 작업 프로세스가 재시작되지 않으면 취약 상태가 남습니다.
저희가 소스를 만들지 않았어도 진행 가능합니다. 서버와 운영 환경 기준으로 조치하는 작업이라, 접속 권한과 현재 구성만 확인되면 됩니다.
PHP-FPM 재시작 시 몇 초 정도 끊길 수 있습니다. 트래픽이 적은 시간대에 진행하며, 작업 전 현재 구성을 백업합니다.
서버 대수와 PHP 버전 수, 운영 환경에 따라 달라집니다. 1차 확인은 무료이며, 조치 범위가 정해진 뒤 견적을 안내해 드립니다.
사이트 주소만 알려주셔도 1차 확인은 무료로 해드립니다.
서버 정보를 몰라도 괜찮습니다.
사이트 주소만 주시면 외부에서 확인 가능한 범위로 먼저 점검하고,
필요한 정보를 정리해서 안내드립니다.
대상 취약점 CVE-2026-109618 CVE-2026-109619 ·
CVSS 4.0 기준 각 9.2점 · 2026년 10월 21일 PHP 공식 보안 업데이트 공개 ·
본 안내는 공개된 정보를 바탕으로 작성되었으며, 실제 조치는 운영 환경에 따라 달라질 수 있습니다.