나무모에 미러 (일반/어두운 화면)
최근 수정 시각 : 2026-10-22 17:58:24

PHP2Shell



주의. 사건·사고 관련 내용을 설명합니다.

사건 사고 관련 서술 규정을 유의하시기 바랍니다.


1. 개요2. 경과3. 해당하는 보안 취약점4. 대처 방법5. 영향을 받은 서비스
5.1. 국내5.2. 해외
6. 여담

1. 개요

2026년 10월에 발견된 PHP의 원격 코드 실행 취약점. CVE 취약점 식별 번호는 CVE-2026-109618[1], CVE-2026-109619[2]이다. 심각도 등급은 CVSS 4.0 기준 10점 만점에 9.2점이다. Java의 Log4shell 당시의 10/10보다는 낮지만 9점대 또한 즉시 패치를 진행해야 하는 등급이다.

2. 경과

이미 2024년에 취약점이 지적되었으나 수정 방침이 안 정해져서 무려 2년간 지연되었다고 한다.#

2026년 10월부터 간간이 PHP를 사용하는 사이트들이 해킹으로 긴급 점검에 들어가는 사태가 보고되던 와중, 한국 시간 기준 10월 21일 PHP 개발진이 취약점 2개가 발견되었으며 같은 날 UTC 기준 14시, 한국 시간 기준 23시에 보안 업데이트를 배포할 것을 발표하였다.#

PHP 공식 발표 전에 해커 뉴스 포럼에서 해당 취약점에 대한 정보가 공개될 것이라는 유출 정보가 게시되었으며, 상술한 2개의 취약점 식별 번호도 게시되었다.#

제일 치명적인 문제는 이 상황을 화이트 해커들이 알아내고 사이트들에게 알리고 대응과 패치를 할 시간을 주고 조치가 어느정도 된 후에 해당 사실 공표를 14시간 후에 발표하기로 했으나 J4ck3LSyN이라는 해커가 2026년 10월 21일 오전에 해당 공격을 재현했다고 주장하면서 기술적인 분석 정보를 뿌리는 대형 사고를 쳤다. #[3] @[4] 이에 수많은 사이트들이 공격에 노출되었고 긴급하게 서버를 내리는 대 혼란이 벌어지게 되었다. 이에 해커들은 그 14시간을 못 기다리냐며 해당 해커가 영구히 블랙리스트에 오를거라며 가열찬 비난을 하는 중이다. #1 #2[5]

그 외에도 Calif, Chainguard 등의 보안 업체도 실제 공격 시연 영상이나 수정된 PHP 이미지를 배포하는 등의 행위를 저질렀고, 급기야 PHP 공식 재단은 Chainguard를 향해 사전 합의를 일방적으로 어겼다며 공개 비판했다. #

이에 따라 유럽연합 컴퓨터긴급대응팀(CERT-EU), 호주 사이버보안센터(ACSC), 일본 국가사이버통괄실과 도쿄 경시청 등 세계 각국의 보안팀이 PHP를 사용하는 사이트들에 업데이트를 촉구하였다.#

한국인터넷진흥원(KISA)에서는 21일 23시 패치 공개 이후~22일이 되기 직전에 대응했다.# 한국에서는 Java의 비중이 높다고는 하지만 디시인사이드, 더쿠 등 민간에 트래픽이 높은 PHP로 제작된 사이트가 다수 존재하며 정부 사이트 중에서도 PHP를 사용하는 사이트가 일부 존재하는데, 일찌감치 공개 시간까지 고지되었으나 상당히 늦게 대응하였다.

Cloudflare의 CTO인 Dane Knecht는 21일 오후 4시에 임시조치로 해당 취약점과 관련한 WAF 설정을 무료 플랜을 포함한 모든 이용자에게 이용가능하도록 조치를 취했으며, 또한 해당 취약점으로 이미 초기단계의 공격을 감지했다고 밝혔다.#1 #2

한국 시간 기준 2026년 10월 21일 23시, 해당 취약점의 상세 정보와 취약점을 패치한 버전이 공개되었다.[6] 8.1버전 이하는 지원 기간이 종료되어 수정 버전이 공개되지 않았으나, PHP 보안팀이 PHP 7.4, PHP 8.0 및 PHP 8.1에 대한 최소한의 소스 백포트를 제공했다고 밝혔다.#

웹호스팅을 제공하는 카페24와 가비아는 패치 공개 이후 30~60분이 지난 뒤 관련 대응을 위한 보안 패치 작업을 시작하였다.

10월 22일 12시, KISA에서 사이버위기 경보 단계를 관심에서 주의로 격상하였다.#

3. 해당하는 보안 취약점

CVE에 등록된 해당 취약점은 다음과 같다.두 CVE 모두 예외 처리에서 메모리를 건든 후 이를 제대로 정리하지 않은 예외가 처리된다는 공통점이 있다.

4. 대처 방법

PHP를 보안 취약점이 수정된 버전으로 업데이트해야 한다. PHP 8.2는 8.2.35 이상, 8.3은 8.3.36 이상, 8.4는 8.4.27 이상, 8.5는 8.5.12 이상으로 업데이트한 뒤 Apache 또는 PHP-FPM 등 사용 중인 PHP 실행 서비스를 재시작한다.

연장 지원이 종료된 7.4, 8.0, 8.1도 몇몇 배포판[7]은 패치가 제공된다.

5. 영향을 받은 서비스

보안 업데이트가 실행될 때까지 본 취약점으로 인한 불법 접근이나 개인 정보 유출 등을 막기 위해 아래의 서비스들이 긴급 점검에 돌입하였다.

기본적으로 미디어위키 등 PHP를 이용하는 모든 사이트는 본 취약점의 영향을 받았다고 볼 수 있다. 2026년 10월 21일 23시의 업데이트 이후 점검을 마치고 운영을 재개하는 사이트들이 나오고 있다.

5.1. 국내

5.2. 해외

6. 여담

[1] GHSA-w8hw-w9fx-j79w[2] GHSA-6wmf-4rv5-p3rp[3] 현재 삭제됨.[4] 치명적인 바이러스가 발견되었는데 제약회사와 국가들이 대응 전에 바이러스 제조법을 뿌린 격이다.[5] 그러나 당사자는 자신은 아무런 불법적인 행위도 하지 않았다며 적반하장의 반응을 보이고, 자신을 향한 비판 트윗에 공격적으로 반응하면서 더욱 어그로를 끌고 있다.#[6] 8.2.35, 8.3.36, 8.4.27, 8.5.12[7] 우분투[8] 자동 짤방은 영향 받지 않는다.[9] 기본적으로 유저의 접속을 막지 않고 업데이트를 하는 게임이라 접속 불가인 점검은 서비스 기간 8년 중 처음이 되었다. #[10] 일본 내수판과 국제 수출판, 타이틀 소개 페이지와 유저 정보 페이지 모두 해당[11] 마이마이 일본 내수판/국제판, 츄니즘 일본판/국제 수출판, 온게키 일본 내수판[12] 게임에 따라 더 일찍 시작한 경우도 있다. 이니셜D 아케이드[13] maimai 일본 내수판/태고의 달인[14] 원래 21일 23시부터 였으나 점검을 1시간 당겼다.[15] Paheal 및 Rastafarian에서 운영하는 동명의 사이트에는 해당되지 않는다.

분류