2026년 10월 21일 공개된 PHP2Shell은 로그인 없이 외부에서 서버의 코드를 실행할 수 있는 CVSS 9.2의 치명적인 PHP 취약점입니다. 공개 며칠 만에 실제 공격이 확인되었고, PHP 8.1 이하 버전에는 보안 패치조차 제공되지 않습니다. 운영 중인 홈페이지의 PHP 버전을 진단하고 긴급 패치부터 PHP 8.x 업그레이드, 침해 흔적 점검까지 대응합니다.
PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 미만 버전을 사용 중이라면 지금 바로 점검이 필요합니다.
다른 업체가 제작한 홈페이지도 소스코드와 서버 환경을 확인하여 대응합니다.
최종 업데이트
PHP 버전과 실행 방식(FPM·CGI), 외부 노출 상태를 확인합니다.
PHP 8.2 이상은 패치 버전으로 즉시 업데이트합니다.
지원 종료 버전은 소스코드를 수정하여 PHP 8.3·8.4로 전환합니다.
웹셸·변조 파일과 접속 로그를 확인해 남아 있는 위협을 제거합니다.
PHP는 전 세계 웹사이트의 약 70%가 사용하는 언어입니다. 국내에서도 취약한 PHP가 설치된 것으로 추정되는 서버가 약 11만 대에 이르는 것으로 집계되었습니다. "우리 회사 홈페이지는 작아서 괜찮다"는 생각은 위험합니다. 공격은 사람이 아닌 자동화 도구가 인터넷 전체를 대상으로 진행합니다.
PHP2Shell은 인증을 거치지 않은 외부 공격자가 서버에서 임의의 코드를 실행할 수 있는 원격 코드 실행(RCE) 취약점입니다. 홈페이지 변조, 고객 개인정보 유출, 악성코드 유포, 랜섬웨어 감염으로 이어질 수 있습니다.
패치가 공개된 당일에만 국내에서 4만 건이 넘는 공격 시도가 차단되었고, 미국 CISA는 10월 26일 이 취약점을 '실제 악용 중인 취약점(KEV)' 목록에 등재했습니다. 공격 코드가 공개된 이후에는 패치하지 않은 서버부터 자동으로 공격을 받습니다.
보안 패치는 PHP 8.2 이상에만 제공되었습니다. PHP 5.x, 7.x, 8.0, 8.1로 운영 중인 홈페이지는 기다려도 패치가 나오지 않으며, 지원되는 PHP 버전으로 업그레이드하는 것 외에는 근본적인 해결 방법이 없습니다.
오래된 소스코드는 PHP 버전만 올리면 화면이 하얗게 나오거나 로그인·게시판·결제 기능이 멈출 수 있습니다. 기존 개발사가 없어 업그레이드를 미루는 사이, 서버는 공격에 그대로 노출됩니다.
현재 PHP 버전과 소스코드, 사용 중인 CMS와 라이브러리를 먼저 분석합니다. 패치만으로 해결 가능한 서버는 즉시 조치하고, 업그레이드가 필요한 사이트는 테스트 환경에서 코드를 수정·검증한 후 운영 서버에 반영합니다.
PHP 보안 대응은 단순히 서버의 PHP 버전 숫자만 바꾸는 작업이 아닙니다. 현재 버전에 따라 패치로 해결할지, 버전 업그레이드가 필요한지 판단하고 소스코드 호환성까지 확인해야 서비스 장애 없이 안전하게 전환할 수 있습니다.
서버의 PHP 버전과 실행 방식(PHP-FPM, php-cgi, LiteSpeed 등), 웹서버 설정과 외부 노출 상태를 확인하여 PHP2Shell 취약점의 영향 여부를 판단합니다.
PHP 8.2 이상은 패치 버전(8.2.35·8.3.36·8.4.27·8.5.12)으로 즉시 업데이트하고, 지원이 종료된 PHP 5.x·7.x·8.0·8.1은 소스코드를 수정하여 PHP 8.3·8.4로 업그레이드합니다.
패치 이전에 이미 공격을 받았다면 업그레이드만으로는 안전하지 않습니다. 웹셸과 변조된 파일, 의심 계정과 접속 로그를 점검하고 이후 보안 업데이트를 지속적으로 관리합니다.
PHP 버전 진단과 긴급 보안 패치, PHP 8.x 버전 업그레이드, 구버전 소스코드의 호환성 수정과 CMS 업그레이드, 침해 흔적 점검까지 지원합니다. 기존 개발사가 없거나 다른 업체에서 제작한 홈페이지도 대응할 수 있습니다.
서버의 PHP 버전과 실행 방식, 설치된 확장 모듈과 웹서버 설정을 확인하여 PHP2Shell을 비롯한 알려진 취약점의 영향 여부를 진단합니다.
PHP 8.2 이상을 사용하는 서버는 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 보안 패치 버전으로 업데이트하고 서비스 정상 동작을 확인합니다.
보안 지원이 종료된 PHP 5.x, 7.x, 8.0, 8.1 서버를 PHP 8.3·8.4로 업그레이드하고 확장 모듈과 서버 설정을 함께 정리합니다.
mysql_* 함수, each(), create_function() 등 삭제된 함수와 달라진 문법·오류 처리 방식을 찾아 새 PHP 버전에서 동작하도록 수정합니다.
그누보드·영카트, 워드프레스, XE·라이믹스, CodeIgniter, Laravel 등 PHP 기반 CMS와 프레임워크, 플러그인·테마의 호환성을 확인하고 업그레이드합니다.
패치 이전에 업로드된 웹셸, 변조된 파일, 새로 생성된 관리자 계정과 의심스러운 접속 로그를 확인하여 남아 있는 위협을 제거합니다.
운영 서버에서 바로 PHP 버전을 바꾸지 않습니다. 동일한 환경의 테스트 서버에서 소스코드를 수정하고 주요 기능을 검증한 후 백업과 롤백 계획을 갖추고 운영 서버에 반영합니다.
2026년 10월 21일 PHP 개발팀은 PHP 코어에서 발견된 두 건의 치명적인 메모리 취약점(Use-After-Free)과 보안 패치를 공개했습니다. 두 취약점은 PHP를 실행하는 대부분의 환경에 영향을 주며, 인증 없이 원격에서 코드를 실행할 수 있습니다.
CVSS 9.2 · Use-After-Free · 인증 불필요
CVSS 9.2 · Use-After-Free · 인증 불필요
외부 공격자가 로그인 없이 PHP 서버에서 임의의 코드를 실행할 수 있습니다.
PHP-FPM · php-cgi · FrankenPHP · LiteSpeed
8.5.12 · 8.4.27 · 8.3.36 · 8.2.35 (8.1 이하 없음)
현재 서버와 소스코드를 진단하여 패치와 업그레이드 범위를 정하고, 테스트 환경에서 검증한 후 운영 서버에 반영합니다. 반영 후에는 침해 흔적을 점검하여 남아 있는 위협까지 확인합니다.
PHP 버전·실행 방식·노출 확인
소스코드·CMS·라이브러리 점검
테스트 서버에서 수정·검증
백업·롤백 계획 후 적용
웹셸·로그 점검과 보안 업데이트
PHP로 운영되는 대부분의 기업 홈페이지, 쇼핑몰, 커뮤니티와 웹 시스템이 대상입니다. 특히 오래전에 제작되어 PHP 버전을 한 번도 올리지 않은 사이트일수록 위험합니다.
국내에서 가장 많이 사용되는 PHP 게시판·쇼핑몰 솔루션입니다. 구버전 그누보드4·5와 영카트는 PHP 업그레이드 시 호환성 수정이 함께 필요한 경우가 많습니다.
워드프레스는 PHP 위에서 동작하므로 서버의 PHP가 취약하면 워드프레스를 최신으로 유지해도 위험합니다. 테마·플러그인 호환성을 확인하며 PHP를 업그레이드합니다.
10년 가까이 PHP 버전을 올리지 않은 홈페이지는 이번 취약점뿐 아니라 이전에 공개된 수많은 취약점에도 노출되어 있습니다. 가장 먼저 업그레이드가 필요한 대상입니다.
프레임워크로 개발된 웹 시스템은 PHP 버전에 맞춰 프레임워크와 Composer 패키지도 함께 업그레이드해야 합니다. 의존성을 확인하며 단계적으로 전환합니다.
회원 개인정보와 주문·결제 데이터를 보관하는 사이트는 침해 시 개인정보 유출 신고와 과징금 등 법적 책임까지 이어질 수 있어 가장 빠른 대응이 필요합니다.
제작 업체와 계약이 끝났거나 담당 개발자가 퇴사해 누구도 PHP 버전을 관리하지 않는 홈페이지입니다. 소스코드와 서버를 인수하여 업그레이드부터 이후 관리까지 지원합니다.
요구사항 정리부터 사이트맵과 콘텐츠 준비, 외부 서비스 연동, 개발 검수와 서비스 오픈까지 웹사이트·웹서비스 개발 과정에서 활용할 수 있는 프로젝트 문서를 제공합니다.
프로젝트에 필요한 기능과 요구사항을 정리하고 필수 기능과 선택 기능, 우선순위와 참고자료를 관리할 수 있는 문서입니다.
자료 자세히 보기홈페이지와 웹서비스의 페이지 번호와 메뉴, 화면명과 사용자 유형을 정리하는 문서입니다.
자료 자세히 보기로고와 회사소개, 이미지, 상품정보, 약관과 외부 서비스 자료 등 디자인과 개발에 필요한 자료의 준비 상태를 관리합니다.
자료 자세히 보기개발된 기능을 사용자 관점에서 테스트하고 기대 결과와 검수 결과, 오류·수정사항과 처리 상태를 기록하는 문서입니다.
자료 자세히 보기도메인과 SSL, 운영 서버, 백업, 실결제와 외부 API, 관리자 계정, 보안·SEO 등 서비스 오픈 전 필수 항목을 확인합니다.
자료 자세히 보기프로젝트 준비부터 개발, 검수·오픈과 유지보수까지 단계별로 활용할 수 있는 프로젝트 문서를 무료로 제공하고 있습니다.
프로젝트 문서 전체 보기제공되는 문서는 일반적인 프로젝트 진행 과정을 기준으로 작성되어 있으며, 프로젝트의 규모와 서비스 유형, 계약 범위와 운영 방식에 맞게 필요한 항목을 수정하여 사용할 수 있습니다.
같은 PHP2Shell 취약점이라도 현재 사용 중인 PHP 버전에 따라 해결 방법이 다릅니다. PHP 8.2 이상은 보안 패치로, PHP 8.1 이하는 버전 업그레이드로 대응해야 합니다.
보안 패치가 제공되는 버전입니다. 패치 버전 미만이라면 즉시 업데이트가 필요합니다.
공식 지원이 종료되어 보안 패치가 제공되지 않습니다. PHP 8.3·8.4로 업그레이드해야 합니다.
수년 전에 지원이 종료된 버전으로 이번 취약점 외에도 다수의 취약점에 노출되어 있습니다.
PHP 버전 확인과 취약 여부에 대한 사전 진단은 무료로 진행하며, 진단 결과를 바탕으로 작업 범위와 예상 비용, 일정을 안내해 드립니다.
보안 패치는 비교적 짧은 시간에 진행할 수 있지만, PHP 5.x·7.x에서 8.x로의 업그레이드는 소스코드 규모와 사용 중인 CMS·라이브러리에 따라 작업량이 달라지며 별도 견적으로 진행됩니다.
업그레이드 이후 지속적인 보안 업데이트와 관리가 필요하다면 웹사이트 유지보수 또는 웹 시스템 유지보수 플랜으로 이어서 관리할 수 있습니다.
취약점 정보는 PHP 공식 보안 공지와 한국인터넷진흥원(KISA) 보호나라, 미국 CISA 공지 및 국내외 보안 보도를 기준으로 정리했으며, 새로운 정보가 확인되면 업데이트합니다.
보안 대응은 작업 이후의 기록도 중요합니다. 진단 결과와 패치·업그레이드 내역, 침해 점검 결과를 정리하여 내부 보고와 이후 관리에 활용할 수 있도록 제공합니다.
Diagnosis · Patch
Upgrade · Inspection
보고서의 제공 여부와 상세 범위는 계약 내용과 실제 작업 범위에 따라 협의하여 진행합니다.
PHP 버전과 실행 방식, 웹서버와 확장 모듈, 외부 노출 상태 등 PHP2Shell 취약점의 영향 여부를 판단한 근거를 정리합니다.
새 PHP 버전에서 문제가 되는 함수와 문법, CMS·플러그인·라이브러리의 호환성과 수정이 필요한 위치를 정리합니다.
적용한 PHP 버전과 변경된 서버 설정, 수정한 소스코드와 테스트 결과를 기록하여 이후 유지보수에 활용할 수 있습니다.
웹셸과 변조 파일, 의심 계정과 접속 로그 점검 결과를 정리하고 추가로 필요한 보안 조치와 관리 방안을 안내합니다.
관련 공지: PHP 지원 버전 안내(php.net) · KISA 보호나라 · CISA KEV 카탈로그
맞춤형 웹 시스템, 쇼핑몰, LMS, 플랫폼, 기업 홈페이지 등
다양한 비즈니스 환경에 맞춰 구축한 주요 프로젝트를 소개합니다.
멤버십을 기반으로 상품 판매, 주문·결제와 멤버십별 서비스를 운영할 수 있도록 구축한 쇼핑몰
프로젝트 자세히 보기 →
API를 통해 공연과 관광상품 정보를 수집후 고객이 예매할 수 있도록 구축한 온라인 예매 시스템
프로젝트 자세히 보기 →
전광판에 노출되는 운영 정보를 웹 기반 관리자 환경에서 관리할 수 있도록 구축한 공공 웹시스템
프로젝트 자세히 보기 →PHP2Shell 취약점의 영향 여부 확인 방법, PHP 8.1 이하 버전의 대응, 업그레이드 시 사이트 오류와 비용에 대해 자주 문의하시는 내용을 정리했습니다.
PHP2Shell은 2026년 10월 21일 PHP 개발팀이 공개한 PHP 코어의 원격 코드 실행(RCE) 취약점 CVE-2026-109618과 CVE-2026-109619를 부르는 이름입니다. CVSS 9.2의 치명적 등급으로, 로그인하지 않은 외부 공격자가 서버에서 임의의 코드를 실행할 수 있습니다. PHP-FPM, php-cgi, FrankenPHP, LiteSpeed 등 대부분의 PHP 운영 환경이 영향을 받습니다.
서버에 설치된 PHP 버전이 8.5.12, 8.4.27, 8.3.36, 8.2.35 미만이라면 취약할 가능성이 높습니다. 호스팅 관리 화면이나 서버에서 PHP 버전을 확인할 수 있으며, 확인이 어렵다면 홈페이지 URL을 알려주시면 PHP 버전과 실행 방식, 외부 노출 여부를 함께 점검해 드립니다.
아닙니다. PHP 8.1 이하 버전은 공식 지원이 종료되어 이번 취약점에 대한 보안 패치가 제공되지 않습니다. PHP 5.x, 7.x, 8.0, 8.1을 사용 중이라면 패치가 제공되는 PHP 8.2 이상, 가능하면 8.3 또는 8.4로 버전 업그레이드가 필요합니다.
오래된 소스코드는 그대로 버전만 올리면 오류가 발생할 수 있습니다. mysql_* 함수, each(), create_function() 등 삭제된 함수와 달라진 문법을 먼저 분석하고, 테스트 환경에서 코드를 수정·검증한 후 운영 서버에 반영하기 때문에 서비스 중단을 최소화할 수 있습니다.
이미 공격을 받았다면 패치만으로는 부족합니다. 패치 이전에 웹셸이 업로드되었거나 파일이 변조되었다면 업그레이드 후에도 공격자가 계속 접근할 수 있습니다. 업그레이드와 함께 웹셸·변조 파일, 의심스러운 계정과 접속 로그를 점검하는 것을 권장합니다.
가능합니다. 그누보드·영카트, 워드프레스, XE·라이믹스, CodeIgniter, Laravel 등 PHP 기반 CMS와 프레임워크로 제작된 사이트도 코어와 플러그인, 테마의 호환성을 확인한 후 PHP 버전과 함께 단계적으로 업그레이드합니다.
호스팅 업체가 서버의 PHP를 패치하더라도 PHP 8.1 이하를 사용하는 사이트는 상위 버전으로 전환해야 하며, 이때 소스코드가 새 버전에서 동작하도록 수정하는 작업은 사이트 운영자의 몫입니다. 현재 호스팅 환경을 확인하여 PHP 버전 전환과 코드 수정, 필요한 경우 서버 이전까지 함께 지원합니다.
같은 버전대 보안 패치는 비교적 짧은 시간에 진행할 수 있지만, PHP 5.x·7.x에서 8.x로 업그레이드하는 경우 소스코드 규모와 사용 중인 CMS·라이브러리에 따라 작업량이 달라집니다. 무료 사전 진단을 통해 현재 버전과 수정 범위를 확인한 후 예상 비용과 일정을 안내해 드립니다.
홈페이지가 변조되거나 고객 정보가 유출된 뒤의 복구 비용과 신뢰 하락은 업그레이드 비용과 비교할 수 없습니다. 현재 PHP 버전과 서버 환경을 진단하여 긴급 패치부터 PHP 8.x 업그레이드와 침해 점검까지 빠르게 대응합니다.
PHP 보안 긴급 점검 문의홈페이지 URL과 알고 계신 PHP 버전(모르셔도 괜찮습니다), 호스팅·서버 정보를 함께 보내주시면 더 빠르게 검토할 수 있습니다. 다른 업체에서 제작한 홈페이지도 대응 가능합니다.
홈페이지 URL과 서버 정보를 바탕으로 PHP 버전과 PHP2Shell 영향 여부를 확인합니다.
보안 패치로 해결 가능한지, 소스코드 수정과 버전 업그레이드가 필요한지 정리합니다.
예상 비용과 일정을 안내하고 위험도가 높은 서버부터 우선 조치합니다.