PHP2Shell로 통칭되는 두 건의 치명적인 PHP 취약점이 발견되면서 기업이 직면한 과제가 드러났습니다. 안전하게 개발된 애플리케이션이라도 그 기반이 되는 기술을 통해 공격에 노출될 수 있다는 점입니다.
2026년 10월 21일, PHP 프로젝트는 CVE-2026-109618과 CVE-2026-109619에 대한 패치를 배포했습니다. 두 취약점 모두 CVSS v4.0 점수 9.2(긴급)를 받았습니다. 영향을 받는 조건에서는 공격자가 인증 없이 취약한 서버에서 원격으로 코드를 실행할 가능성이 있습니다. 공격이 성공하면 민감한 데이터, 시스템 무결성, 비즈니스 핵심 서비스의 가용성에 영향을 미칠 수 있습니다.
긴급 패치 적용이 필수적이지만, PHP2Shell은 애플리케이션 보안이 소스 코드를 넘어 확장되어야 하는 이유도 보여 줍니다.
PHP2Shell 사태의 개요
PHP2Shell은 개별 애플리케이션 코드의 결함이 아니라 PHP 런타임 자체에 영향을 미칩니다. 따라서 시큐어 코딩 관행만으로는 취약한 PHP 버전에서 운영되는 웹사이트를 보호할 수 없습니다.
웹 요청을 처리하는 PHP 환경(PHP-FPM, mod_php를 사용하는 Apache, php-cgi 등)이 영향을 받을 수 있습니다. WordPress, Laravel, CakePHP 또는 EC-CUBE를 사용하는 웹사이트와 애플리케이션은 기반 PHP 설치 환경을 점검해야 합니다.
10월 21일 배포된 패치 버전:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
각 조직은 PHP 공식 보안 권고를 확인하고 적절한 업데이트를 신속하게 적용해야 합니다.
PHP 8.1 이하 버전은 더 이상 PHP 프로젝트로부터 정기 보안 업데이트를 받지 못합니다. PHP 8.2도 2026년 12월 31일에 보안 지원이 종료되므로 마이그레이션 계획 수립이 특히 중요합니다.
PHP를 넘어서는 문제
기업 애플리케이션은 프레임워크, 프로그래밍 런타임, 데이터베이스, 운영체제, 라이브러리, 클라우드 서비스에 의존합니다. 이러한 구성 요소에 취약점이 있으면 잘 개발된 애플리케이션이라도 위험에 노출될 수 있습니다.
조직이 서로 다른 호스팅 환경에서 여러 애플리케이션을 관리하거나 외부 개발사에 의존하는 경우 과제는 더욱 커집니다. 소프트웨어 버전과 책임 소재를 정확히 파악하지 못하면 노출된 시스템을 찾아내는 데 귀중한 시간이 소요될 수 있습니다.
PHP2Shell은 더 넓은 원칙을 다시 한번 확인시켜 줍니다. 보안을 위해서는 조직이 직접 개발한 코드뿐 아니라 기술 스택 전체에 대한 가시성이 필요합니다. 예를 들어, 고객 포털 자체는 안전하더라도 해당 포털을 운영하는 서버가 오래된 PHP 런타임을 사용한다면 여전히 위험에 노출될 수 있습니다.
AI를 활용한 보안 연구는 취약점의 발견과 분석을 가속화할 수도 있습니다. 취약점 공개 시점을 전후해 익스플로잇 코드가 공개되었으며, 보안 기관들은 패치 버전이 배포되기 전부터 해당 취약점을 악용하려는 시도가 있었다고 보고했습니다.
취약점이 계속 등장하고 익스플로잇 정보가 빠르게 확산되는 상황에서, 조직에는 노출 여부를 평가하고 효율적으로 대응할 수 있는 체계적인 프로세스가 필요합니다.
지금 조직이 취해야 할 조치
1. 영향받는 시스템 식별
PHP를 사용하는 웹사이트와 애플리케이션을 확인하고, 설치된 버전을 점검한 뒤 인터넷에 노출된 시스템이나 비즈니스 핵심 시스템을 우선 처리합니다.
2. 보안 패치 적용
벤더의 안내를 검토하고 호환성을 평가한 후 해당하는 업데이트된 PHP 버전을 배포합니다. 즉시 패치를 적용할 수 없는 경우에는 임시 조치에 관한 공식 권고를 따릅니다. 임시 조치에는 접근 제한, 모니터링 강화, 영향받는 서비스의 일시 중단 등이 포함될 수 있습니다. 임시 조치는 패치 적용을 대체할 수 없습니다.
3. 침해 여부 점검
특히 패치 적용 전에 시스템이 노출되어 있었다면 로그와 확보 가능한 증거를 검토하여 무단 접근의 징후를 확인합니다. 조사 결과 필요하다고 판단되면 비밀번호나 API 키를 변경합니다. 패치를 적용해도 이미 발생한 침입은 제거되지 않습니다.
4. 구성 및 종속성 검토
웹 서버 설정, 불필요한 서비스, 서드파티 소프트웨어, 패치 관리 책임을 평가하여 지속적인 노출 위험을 줄입니다.
5. 지원 종료 버전의 마이그레이션 계획
레거시 시스템을 식별하고 애플리케이션 호환성을 평가하여 지원되는 PHP 버전으로 전환하는 경로를 마련합니다. 특히 여러 당사자가 같은 애플리케이션을 유지보수하는 경우, 내부 팀, 호스팅 업체, 서드파티 개발사 간에 업데이트 책임자를 명확히 지정합니다.
기술 수명 주기 전반의 보안 내재화
Rikkeisoft의 사이버 보안 전문 기업인 RK Global Cyber(RGC)는 전문적인 보안 역량을 Rikkeisoft의 엔지니어링 및 딜리버리 역량과 결합합니다.
RGC의 주요 서비스는 다음과 같습니다.
- 모의해킹: 웹, 모바일, API, 클라우드 및 네트워크 보안 테스트.
- 보안 컨설팅 & 하드닝: 보안 평가 및 인프라 하드닝.
- 사이버 위협 인텔리전스: 새로운 위협과 노출된 정보 모니터링.
- 침해 진단: 위협 헌팅 및 침입 조사.
- 보안 인력 지원 & BrSE: 온사이트 및 오프쇼어 사이버 보안 전문 인력.
PHP2Shell과 관련해서는 노출 여부를 평가하고 의심스러운 활동을 조사하는 데 보안 컨설팅 & 하드닝과 침해 진단이 특히 유용합니다.
Rikkeisoft는 다음과 같은 PHP 긴급 지원 문의도 받고 있습니다.
- 영향받는 시스템 평가, 패치 적용 및 필요시 임시 조치 시행.
- 무단 접근 징후 조사 및 필요시 인증 정보 변경.
- 지원 종료된 PHP 버전에서의 마이그레이션 및 이후 운영 점검.
지원 범위에는 초기 평가, 대응 계획 및 견적 제안, 조치 또는 마이그레이션, 운영 검증, 결과 보고서가 포함될 수 있습니다.
이 지원은 다른 회사가 개발했거나 내부에서 유지보수하는 시스템에도 적용됩니다. 기존 개발사와 연락이 닿지 않거나 PHP 버전을 알 수 없는 경우에도 문의하실 수 있습니다.
기존 고객은 영업 담당자에게 연락해 주시기 바랍니다. 그 외의 경우에는 문의 양식을 이용하여 영향받는 웹사이트 URL, 확인 가능한 서버 정보, 문제 설명을 함께 보내 주시기 바랍니다. 비밀번호, API 키 또는 기타 기밀 인증 정보는 절대 보내서는 안 됩니다.
RGC 사이버 보안 서비스 살펴보기:
https://rikkeisoft.com/ko/rk-global-cyber/
지원 요청:
https://rikkeisoft.com/ko/contact-us/
눈앞의 사고 대응을 넘어
PHP2Shell은 안전한 애플리케이션 개발이 사이버 보안의 일부에 불과하다는 사실을 보여 줍니다. 지원되는 소프트웨어를 유지하고, 종속성을 파악하며, 효과적인 취약점 대응 체계를 준비하는 것 또한 비즈니스 운영을 보호하는 데 똑같이 중요합니다.
Rikkeisoft는 엔지니어링과 사이버 보안 전문성을 유기적으로 결합하여 기업의 시스템 강화를 지원하고자 합니다.
2026년 10월 22일 기준 정보입니다.
