1. 2026 긴급 보안 권고: PHP2Shell 취약점의 실체와 위험성
이번 사태를 촉발한 결함은 일명 ‘PHP2Shell‘로 명명된 2건의 초고위험 보안 결함입니다. 공통 취약점 평가 시스템(CVSS v4.0) 기준 위험도 9.2점을 기록하며 글로벌 보안 위협으로 분류되었습니다.
- CVE-2026-109618: 메모리 부족 등으로 예외 상황이 발생했을 때 비정상적인 요청 데이터를 정상적인 정보로 오인하는 결함
- CVE-2026-109619: 이미 메모리에서 할당 해제된 데이터를 다음 요청 처리 시 재참조하는 ‘해제 후 사용(Use After Free)’ 결함
공격자는 조작된 웹 요청을 한 번 전송하는 것만으로 웹 애플리케이션 실행 전 단계에서 임의의 악성 코드를 구동시킬 수 있습니다. 특히 아파치 웹서버와 직접 연동되는 mod_php 및 PHP-FPM, LiteSpeed 환경 모두 영향권에 들어 있어, 로그인 비밀번호를 몰라도 서버 내 백도어 설치나 데이터베이스 탈취가 가능합니다.
2. 긴급 패치 대상 버전 및 안전 기준점
PHP 공식 개발팀은 AI 분석 도구를 통해 결함을 식별한 즉시 긴급 보안 패치를 배포했습니다. 현재 운영 서버에 적용되어 있어야 하는 최소 안전 버전은 다음과 같습니다.
| 운영 중인 PHP 브랜치 | 패치 적용 안전 버전 (2026년 기준) | 상태 및 조치 사항 |
| PHP 8.5 계열 | 8.5.12 이상 | 즉시 패치 적용 권장 |
| PHP 8.4 계열 | 8.4.27 이상 | 즉시 패치 적용 권장 |
| PHP 8.3 계열 | 8.3.36 이상 | 즉시 패치 적용 권장 |
| PHP 8.2 계열 | 8.2.35 이상 | 최소 요구 안전 버전 |
| PHP 8.1 이하 (구버전) | 공식 지원 종료 (EOL) | 8.2 이상 버전으로 전면 마이그레이션 필수 |
PHP 7.x, 8.0, 8.1 등 이미 공식 기술 지원이 종료된 노후 버전은 자동 업데이트가 지원되지 않으므로, 즉각 최신 브랜치로 전환해야 외부 침해를 원천 차단할 수 있습니다.
3. 내 웹사이트 PHP 버전 확인하는 3가지 방법
서버 관리 권한 및 호스팅 방식에 따라 다음 3가지 경로 중 하나를 선택해 현재 버전을 파악할 수 있습니다.
① 웹 호스팅 관리 콘솔(cPanel / 호스팅 패널)
카페24, 가비아, 케미클라우드, 패스트코멧 등 상용 웹호스팅을 사용 중이라면 호스팅 관리 콘솔의 ‘cPanel’ 또는 ‘서버 환경 설정’ 메뉴로 이동합니다. ‘Select PHP Version’ 또는 ‘PHP 환경 설정’ 항목을 열면 현재 도메인에 바인딩된 버전을 즉시 확인할 수 있습니다.
② 워드프레스 사이트 건강(Site Health) 도구
워드프레스 기반 사이트는 서버 터미널 접속 없이도 확인이 가능합니다.
- 워드프레스 관리자 화면 접속 →
도구(Tools)→사이트 건강(Site Health)선택 - 상단
정보(Info)탭 클릭 후 하단의서버(Server)아코디언 메뉴 확장 - 항목 내 PHP 버전 수치를 확인하여 패치 기준 충족 여부 점검
③ 리눅스 CLI 터미널(SSH)
VPS나 독립 클라우드 서버(AWS, Vultr 등)를 운영하는 경우 터미널에서 다음 명령어를 입력합니다.
Bash
php -v
CLI 모듈과 웹서버(Nginx/Apache)가 사용하는 PHP-FPM 풀 버전이 상이할 수 있으므로, 웹서버 설정 파일(php-fpm.conf)에 명시된 서비스 버전도 교차 확인해야 합니다.
4. 안전한 PHP 보안 업데이트 3단계 실행 절차
버전 교체 작업 중 발생할 수 있는 플러그인 충돌이나 500 내부 서버 오류(Internal Server Error)를 방지하기 위해 다음 순서를 엄격히 준수합니다.
[1단계: 풀 백업 확보] ➔ [2단계: 버전 상향 및 호환성 점검] ➔ [3단계: 방화벽 강화 및 침해 스캔]
1단계: 웹 파일 및 데이터베이스(DB) 전체 백업
PHP 버전을 올리면 기존 테마나 서드파티 플러그인이 최신 PHP 문법을 지원하지 못해 사이트가 다운될 위험이 있습니다. UpdraftPlus 등 백업 플러그인이나 호스팅 스냅샷 기능을 이용해 웹 디렉터리와 MySQL 데이터베이스를 외부 스토리지로 내보냅니다.
2단계: 최신 보안 빌드로 업그레이드 적용
- 웹호스팅 이용자: cPanel 또는 호스팅 대시보드의 PHP 버전 선택기에서
8.2.35,8.3.36,8.4.27중 사이트 환경에 맞는 안전한 최신 릴리스를 선택하고 저장합니다. - 독립 서버(Ubuntu/Debian 기준): 저장소 패키지 색인을 갱신한 뒤 최신 패키지를 설치합니다.
Bash
sudo apt update && sudo apt --only-upgrade install php8.3-fpm php8.3-cli
sudo systemctl restart php8.3-fpm nginx
적용 완료 후 메인 페이지, 관리자 로그인, 결제 모듈, 게시글 작성 기능이 정상적으로 호출되는지 점검합니다.
3단계: 임시 조치 적용 및 웹 방화벽(WAF) 설정
즉시 버전 업그레이드가 어려운 환경이라면 php.ini 설정 파일 수정을 통해 일부 공격 벡터를 우회 차단할 수 있습니다.
- CVE-2026-109618 임시 대응:
memory_limit = -1지정 및post_max_size축소 - CVE-2026-109619 임시 대응:
session.upload_progress.enabled = 0설정 후 웹 데몬 재시작 - WAF 규칙 최신화: 클라우드플레어(Cloudflare) 등 프록시 기반 웹방화벽의 관리형 보안 규칙을 활성화하여 비정상 패킷을 서버 인입 전 차단합니다.
5. 자주 묻는 질문 (FAQ)
Q1. 일반 웹호스팅을 이용하는 블로그도 직접 PHP 버전을 변경해야 하나요?
호스팅 업체가 서버 인프라의 기본 라이브러리를 패치하더라도, 개별 웹사이트 계정에 할당된 PHP 버전 선택 권한은 사이트 운영자에게 위임되어 있습니다. 호스팅 관리 콘솔에 접속해 현재 계정 버전이 패치 기준(8.2.35 이상)을 충족하는지 직접 확인하고 수동 저장해야 온전히 보호받을 수 있습니다.
Q2. PHP 버전을 올린 뒤 사이트에 ‘500 Internal Server Error’가 발생하면 어떻게 하나요?
오래된 테마나 업데이트가 중단된 플러그인이 최신 PHP 엔진의 엄격한 문법과 충돌하면서 나타나는 현상입니다. 일단 호스팅 패널에서 지원 대상 최소 상위 버전(예: PHP 8.2.35)으로 재조정한 뒤, FTP나 파일 관리자로 충돌을 일으킨 플러그인의 폴더명을 변경해 비활성화하고 대체 플러그인을 적용해야 합니다.
Q3. 패치 전 사이트가 이미 공격받았는지 확인하는 방법이 있나요?
웹서버의 access.log 및 error.log를 열어 비정상적인 대용량 POST 파라미터 호출이나 알 수 없는 경로로의 실행 요청이 있었는지 대조해야 합니다.
또한 파일 업로드 폴더(wp-content/uploads 등) 내에 최근 생성된 미상의 .php 웹셸 파일이나 백도어 스크립트가 존재하는지 정밀 스캔을 병행해야 합니다.
2026년 기준 공식 발표된 PHP2Shell(CVE-2026-109618, CVE-2026-109619) 취약점은 별도 인증 없이 원격에서 서버 명령을 내릴 수 있는 초고위험 결함입니다.
웹사이트 소스 코드와 데이터베이스의 사전 백업을 마친 뒤, 호스팅 관리 패널이나 패키지 관리자를 통해 즉시 최소 요구 버전(8.2.35, 8.3.36, 8.4.27, 8.5.12 이상)으로 업그레이드를 완료하고 WAF 규칙을 최신화하여 침해 경로를 선제적으로 차단하시기 바랍니다.
