긴급 공지: PHP2Shell에서 심각한 취약점이 발견되어 즉시 조치가 필요합니다.

2026년 10월 23일 | 조언하는, 블로그

심각도: 매우 심각 (CVSS 9.2) | 발행일: 2026년 10월 22일

10월 21일, PHP의 심각한 취약점 두 가지(CVE-2026-109618 및 CVE-2026-109619)가 공개되었습니다. 이 두 취약점은 "PHP2Shell"이라는 별칭으로 불리며, 공격자가 로그인 없이 웹 서버를 장악할 수 있도록 허용합니다. 공개된 개념 증명(proof-of-concept) 익스플로잇이 존재하며, 실제로 악용 시도가 보고된 바 있습니다.

PHP는 WordPress, Laravel, 고객 포털 및 다양한 벤더 제품을 포함하여 웹의 상당 부분을 차지하고 있습니다. 만약 귀사가 웹사이트나 웹 애플리케이션을 운영하고 있다면, 아마도 어딘가에 PHP가 사용되고 있을 것입니다.

사이버후트 상태

CyberHoot은 관련 시스템을 모두 검토하고 패치를 적용했습니다. CyberHoot 플랫폼 이용 고객께서는 별도의 조치를 취하실 필요가 없습니다.

오늘 여러분의 목표: 문제를 찾아내고 해결하세요

1단계: 먼저 인터넷에 연결된 시스템을 감사합니다. 공개 웹사이트, 고객 포털, 웹 애플리케이션 등 인터넷에서 접근 가능한 모든 시스템을 포함합니다. PHP가 설치되어 있는지, 설치되어 있다면 어떤 버전인지 확인합니다.

2단계: 두 번째로 내부 시스템을 감사합니다. 인트라넷, 내부 도구, 컨테이너, 어플라이언스 및 PHP가 포함된 공급업체 제품을 포함합니다.

3단계: 가능한 한 빨리 패치를 적용하십시오. PHP 8.5.12, 8.4.27, 8.3.36 또는 8.2.35 버전으로 업데이트하거나, 벤더에서 제공하는 검증된 백포트 패치를 받으십시오. 그런 다음 웹 서버 또는 PHP 워커를 재시작하십시오. 패치는 재시작해야만 적용됩니다.

지금 패치할 수 없나요?

패치가 적용될 때까지 시스템을 오프라인으로 전환하거나 공용 인터넷에서 차단하십시오.

웹 애플리케이션 방화벽은 부분적인 도움만 줄 뿐입니다.

PHP 8.1 이하 버전은 정기적인 업스트림 패치가 제공되지 않습니다. 공급업체에 백포트를 요청하거나 마이그레이션을 계획하십시오.

이미 공격을 받았는지 확인하세요

패치를 적용하면 침입을 막을 수 있지만, 누군가 이미 침입했는지 여부는 알 수 없습니다. IT 팀이나 MSP(관리형 서비스 제공업체)에게 10월 17일 이후의 로그 및 엔드포인트 데이터를 확인하도록 요청하십시오.

특이한 멀티파트 POST 요청
요청의 PHP_SESSION_UPLOAD_PROGRESS
PHP 요청 시작 시 메모리 부족 오류 발생
새롭거나 예상치 못한 PHP 파일, 그리고 웹 서버에서 예기치 않게 시작된 프로세스
익숙하지 않은 예약 작업(크론 작업)

도움이 될 수 있는 도구:

PHP 관련 위험에 대한 노출 정도를 평가하는 데 도움이 되는 무료 도구들이 있습니다. 저희가 직접 테스트해보지는 않았지만, 다음과 같은 두 가지 도구를 알려드립니다. 사용 시 발생하는 모든 위험은 사용자 본인이 감수해야 합니다.

Corelight PHP2Shell 감지 이번 사건을 위해 Zeek 및 Suricata 탐지 기능이 구축되었습니다. 의심스러운 HTTP 트래픽을 감지하고, 시도 내역을 보여주지만, 침해 성공 여부는 입증할 수 없습니다. 암호화된 트래픽에 대한 검사 가시성이 필요합니다.
PHP2Shell Guard 무료커뮤니티에서 개발한 Linux용 Bash 도구입니다. 이 도구의 `hunt` 명령어는 10월 17일부터 보안 침해 징후를 검사합니다. 새롭고 검증되지 않은 타사 코드가 포함되어 있습니다. 관리자 권한으로 실행하기 전에 소스 코드를 검토하십시오.

의심스러운 점을 발견하면 복구 또는 삭제하기 전에 로그와 증거를 보존하고 포렌식 검토를 요청하십시오.

믿을 수 있는 사이버 보안 파트너: 사이버후트. 웃고, 배우고, 함께 즐겨봐요!