PHP2Shell 취약점 패치 버전 — 8.5.12·8.4.27·8.3.36·8.2.35, 공개 나흘 전부터 공격 시도

PHP로 돌아가는 웹사이트라면 지금 버전부터 확인해야 한다. PHP 개발팀은 2026년 10월 21일 치명적 취약점 두 개를 긴급 패치했다. 묶어서 'PHP2Shell'이라 부른다. 로그인도 필요 없이 요청 하나로 웹서버에서 코드를 실행할 수 있고, 애플리케이션 코드가 돌기도 전에 공격이 먹힌다. 미국 사이버보안·인프라보안청(CISA)과 영국 국가사이버보안센터(NCSC)가 즉시 패치를 권고했다. NCSC는 바로 고칠 수 없는 시스템은 아예 내리라고까지 했다.

이 글은 "내 서버는 무엇을 해야 하나"에 답한다.

1. 어떤 취약점인가

영향을 받는 것은 웹 요청을 처리하는 모든 PHP 설치다. PHP-FPM, 아파치 mod_php, php-cgi, 프랭컨PHP, 라이트스피드가 모두 해당한다. PHP 팀은 mod_php가 가장 위험하다고 봤다. 수십 년 묵은 코드에 있던 버그다.

2. 내 서버는 무엇으로 올려야 하나

버전 확인은 서버에서 php -v, PHP-FPM이면 php-fpm -v로 한다. 배포판 패키지를 쓰면 배포판 보안 공지의 패키지 버전을 봐야 한다. 리눅스 배포판과 LTS 업체는 공개 전에 패치를 받았다. 반면 자원봉사로 운영되는 rpms.remirepo.net 저장소는 공개 당일 업데이트가 없다고 알렸다. 여러 대를 한 번에 점검하려면 서치라이트 사이버가 10월 22일 공개한 오픈소스 도구 php2shell-scanner를 쓸 수 있다.

PHP 팀이 낸 임시 완화책도 있다. 109618에는 memory_limit을 바꿀 수 없게 고정하고 post_max_size를 8M(업로드가 필요하면 32M)으로 낮추며 컨테이너 메모리를 제한하는 방법, 109619에는 session.upload_progress.enabled=0 설정이다. PHP 핵심 개발자는 어떤 완화책도 공격을 완전히 막지 못한다고 했다. 클라우드플레어는 무료 요금제를 포함한 모든 고객에게 웹방화벽(WAF) 규칙을 배포했지만 역시 임시 방편이라고 밝혔다.

3. 이미 공격이 시작됐나

아마존 위협 인텔리전스는 10월 17일 공격 시도가 상용 익명화 서비스와 연결된 IP에서 왔다고 했다. 공격자가 엠바고 중인 정보를 어떻게 얻었는지는 밝혀지지 않았다. 클라우드플레어 최고기술책임자는 패치 전부터 두 취약점에 대한 초기 공격을 관측했다고 말했다. 바이러스토탈은 인터넷에 노출된 PHP 호스트를 510만 개 이상으로 추정했다. 포티넷은 12개, 시스코는 31개 제품을 점검 중이다. 보안 장비 안에도 PHP가 들어 있어서다.

10월 24일 다룬 Node.js 취약점은 「Node2Shell(CVE-2026-111497)」에서 정리했다. 취약점 점수 읽는 법은 「CVSS란」, 지원이 끝난 버전이 왜 위험한지는 같은 날 「지원 종료(EOL)란」에서 설명했다.

4. 남은 것과 확인되지 않은 것

• 보안 장비: 팔로알토 PAN-OS 수정판, 포티넷·시스코 점검 결과가 아직 나오지 않았다.
• 세 번째 취약점: CVE-2026-115560의 영향 버전과 수정 시점이 공개되지 않았다.
• 사전 유출 경로: 공개 전 공격자가 어떻게 정보를 얻었는지 미확인이다.
• 실제 피해 규모: 침해된 사이트 수는 아직 집계가 없다.