PHP 기반 홈페이지를 운영한다면 웹 서버에서 실행되는 PHP의 보안 패치 적용 여부를 먼저 확인하세요. 2026년 10월 21일 공개된 취약점 2건은 로그인 없이 원격 코드 실행으로 이어질 수 있어요. 수정 버전은 이미 공개됐어요.
최근 PHP2Shell로 알려진 이슈를 운영자 관점에서 정리했어요. 2026년 10월 22일 한국 시간 기준이며, 이후 패키지 배포 상황은 공급업체 공지를 함께 확인하세요.
1. 어떤 환경을 확인해야 하나요?
PHP 공식 공지는 웹 요청을 처리하는 모든 PHP 설치 환경을 위험 평가 대상으로 안내해요. PHP-FPM, Apache의 mod_php, php-cgi, FrankenPHP, LiteSpeed가 포함돼요. 특히 mod_php는 애플리케이션 코드 실행 전 공격이 가능한 사례가 입증돼 가장 높은 위험으로 평가됐어요.
직접 설치한 워드프레스·쇼핑몰·게시판은 서버 런타임을 확인하세요. 관리형 호스팅이면 업체에 두 CVE의 수정 적용 여부를 요청하세요. 티스토리·네이버 블로그 이용자는 서버 PHP를 직접 업데이트하는 구조가 아니므로 서비스 운영사의 공지를 확인하는 쪽이 맞아요.
참고: PHP 공식 보안 공지
2. 취약점 2건의 차이
CVE-2026-109618: 메모리 부족 처리 문제
PHP가 메모리 부족 오류로 요청 처리를 중단할 때, 아직 정상적으로 초기화되지 않은 내부 상태가 후속 정리 과정에서 사용될 수 있어요. 공식 권고는 이를 원격 코드 실행으로 이어질 수 있는 심각한 문제로 설명해요.
CVE-2026-109619: 이전 요청 상태가 남는 문제
요청에 쓰인 메모리를 해제한 뒤에도 작업 프로세스에 관련 상태가 남고, 이후 요청에서 이를 참조할 수 있는 문제예요. 실제 악용 조건은 실행 방식과 설정에 따라 달라져요. 특정 구성을 사용한다는 이유만으로 안전하다고 단정하면 안 돼요.
두 취약점 모두 CVSS 4.0 기준 9.2점, Critical로 분류됐어요. 이 점수는 심각도 평가이지 내 사이트가 이미 침해됐다는 판정은 아니에요.
3. 수정 버전과 공급업체 패키지를 확인해요
| 사용 중인 계열 | 이번 취약점 수정 버전 |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
표는 이번 보안 수정이 포함된 릴리스 기준이에요. 리눅스 배포판·장기 지원 업체는 기존 버전 번호에 수정 사항을 반영할 수 있으니, 패키지 공지에 두 CVE가 해결됐다고 명시됐는지 확인하세요. PHP 8.1 이하는 PHP 프로젝트의 정규 업데이트가 종료된 상태라 공급업체 지원 여부와 지원 버전으로의 이전을 함께 검토해야 해요.
출처: 공식 수정 버전 및 배포 안내
4. 직접 운영하는 서버의 점검 순서
실제로 웹 요청을 처리하는 PHP를 확인해요
서버 터미널의 php -v는 명령줄 PHP 버전을 보여줘요. 웹 서버와 명령줄이 다른 PHP를 사용할 수 있으므로 이 결과 하나로 점검을 끝내지 마세요. 호스팅 관리 화면이나 서버 설정에서 사이트에 연결된 PHP 런타임과 패키지도 확인하세요.
명령어 참고: PHP 명령줄 옵션 문서. 확인을 위해 서버 설정 전체가 표시되는 페이지를 인터넷에 공개할 필요는 없어요.
패치 적용과 실행 중인 프로세스를 함께 확인해요
먼저 파일·데이터베이스 백업과 복구 절차를 확인하세요. 이후 운영체제·호스팅 공급업체의 업데이트 안내를 따라 수정 패키지를 적용하고, 업체 절차에 맞게 기존 PHP 작업 프로세스가 교체됐는지 확인해요. 컨테이너 환경이라면 새 이미지를 내려받은 것과 서비스 컨테이너를 실제 교체한 것을 구분하세요.
적용 후에는 홈페이지 열기만 확인하지 말고 로그인, 게시글 저장, 결제 연동, 파일 업로드 등 해당 서비스의 주요 기능을 점검하세요. 업데이트 시각·패키지 버전·확인 결과를 남겨 두면 후속 문의에도 도움이 돼요.
5. 호스팅 이용자는 이 질문부터 보내세요
제 사이트의 웹 요청 처리 PHP에 CVE-2026-109618과 CVE-2026-109619 수정이 적용됐나요? 적용 패키지, 완료 시각, 작업 프로세스 교체 여부와 고객이 추가로 해야 할 조치를 알려주세요.
워드프레스·플러그인 업데이트만 했다는 답변으로 PHP 패치 완료를 판단하지 마세요. 서버 PHP의 수정 적용을 별도로 확인해야 해요.
6. 임시 설정을 해결책으로 오해하지 마세요
PHP 프로젝트는 업데이트가 완전한 해결책이라고 안내해요. 오류 메시지 숨기기나 방화벽 사용만으로 해결됐다고 볼 수 없어요. 공식 권고의 임시 설정도 특정 공격 경로의 노출을 줄이는 조치이며, 운영 환경과 자원 제한에 대한 검토가 필요해요.
낯선 파일, 관리자 계정, 예상하지 못한 변경이 보인다면 무작정 지우기보다 로그와 확인 시각을 보존하고 서버·보안 담당자에게 조사 요청을 하세요. 패치 완료 여부와 기존 침해 여부 확인은 별도의 작업으로 다루는 게 좋아요.
오늘 할 일은 관리 주체 확인, 두 CVE 패치 적용 확인, 적용 후 서비스 점검이에요. 내 사이트에 어떤 PHP가 실행되는지부터 확인해 보세요.
확인일: 2026년 10월 22일(한국 시간). 참고: PHP 공식 보안 공지 · PHP 8.5.12 발표 · 본문의 공식 보안 권고 2건