[보안 공지] PHP 원격 코드 실행 취약점(PHP2Shell) 안내 및 조치 권고

게시일: 2026. 10. 22.(목)  |  관련 CVE: CVE-2026-109618, CVE-2026-109619

안녕하십니까, 아이티이지입니다.

웹사이트 개발에 널리 쓰이는 PHP에서 인증 없이 서버 명령을 실행할 수 있는 심각한 보안 취약점 2건이 공개되어 안내드립니다. 취약점 공개 전부터 공격 시도가 확인되고 있으므로, PHP로 운영 중인 웹사이트는 아래 내용을 확인하시어 조속히 조치해 주시기 바랍니다.

1. 개요

PHP 보안팀은 2026. 10. 21.(수) PHP 엔진 자체의 원격 코드 실행 취약점 2건(CVE-2026-109618, CVE-2026-109619)을 공개하고 보안 업데이트를 배포하였습니다. 두 취약점의 위험도는 CVSS v4.0 기준 9.2(Critical)입니다.

공격에 성공하면 외부 공격자가 로그인 없이 웹서버 권한으로 명령을 실행할 수 있습니다. 이 경우 홈페이지 위·변조, 악성코드 설치, 데이터베이스 정보 유출로 이어질 수 있습니다. 취약점은 WordPress, 그누보드 등 홈페이지 프로그램이 아니라 서버에 설치된 PHP에 있으므로, 홈페이지 프로그램을 최신으로 유지하고 있더라도 영향을 받습니다.

2. 영향 대상

PHP로 웹 요청을 처리하는 모든 서버가 대상입니다. PHP 5.4 이상 거의 모든 버전이 해당되며, 아래 보안 업데이트 버전 이상은 영향을 받지 않습니다.

• PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35

특히 PHP 8.1 이하(5.x, 7.x 포함)는 PHP 공식 지원이 종료된 버전으로 PHP 공식 사이트에서 보안 패치가 제공되지 않습니다. 이 버전을 사용 중인 경우 아래 3항의 임시조치와 4항의 웹방화벽 적용을 함께 검토해 주시기 바랍니다.

3. 조치 방법

사용 중인 PHP 버전에 따라 아래와 같이 조치해 주시기 바랍니다.

운영체제 패키지(yum, dnf, apt)로 PHP를 설치한 경우, 배포판이 기존 버전 번호를 유지한 채 보안 수정을 반영하므로 버전 번호가 바뀌지 않을 수 있습니다. 배포판 보안 공지 또는 패키지 변경 이력에서 위 CVE 번호가 포함되었는지 확인해 주십시오.

업데이트 후에는 반드시 웹서비스(Apache, PHP-FPM 등)를 재시작해야 반영됩니다. 서버 전체 재부팅은 필요하지 않습니다.

공식 패치를 적용할 수 없는 경우 임시조치

PHP 보안팀은 즉시 업데이트할 수 없는 서버에 아래 설정을 임시로 권고하고 있습니다. php.ini 또는 웹서버·PHP-FPM 설정 파일에 관리자 설정으로 적용한 뒤 웹서비스를 재시작합니다.

session.upload_progress.enabled = 0
memory_limit = -1

이 설정은 알려진 공격 경로 일부를 차단할 뿐이며, 적용하더라도 취약점이 해소되지는 않습니다. 적용 전 아래 사항을 확인해 주시기 바랍니다.

• session.upload_progress.enabled = 0은 파일 업로드 진행률 표시 기능을 끕니다. 일반적인 홈페이지와 WordPress는 이 기능을 사용하지 않습니다.
• memory_limit = -1은 PHP 메모리 사용 한도를 없앱니다. 스크립트 하나가 서버 메모리를 모두 사용할 수 있으므로 서버 메모리 사용량을 반드시 모니터링하시고, 보안 업데이트 적용 후에는 원래 값으로 되돌려 주십시오.
• 홈페이지 소스 코드의 ini_set()이나 .user.ini로 설정하면 효과가 없습니다.

임시조치 적용이 어렵거나 설정 방법을 모르시는 경우 아래 문의처로 연락 주시면 안내해 드리겠습니다.

4. 웹방화벽 이용 권고

PHP 8.1 이하 버전을 사용하여 공식 보안 패치를 적용할 수 없는 경우, 임시조치만으로는 모든 공격 경로를 막을 수 없으므로 웹방화벽 적용을 강력히 권고드립니다. 웹방화벽은 서버에 도달하기 전에 공격 요청을 걸러내어 업그레이드 전까지 위험을 줄여줍니다.

당사 웹방화벽 서비스를 이용 중인 고객은 웹방화벽 제조사가 이번 취약점 탐지 패치를 개발하고 있으며, 배포되는 즉시 당사에서 적용할 예정입니다. 별도 신청은 필요하지 않습니다.

웹방화벽을 이용하지 않는 고객은 아래 문의처로 적용을 신청해 주시기 바랍니다. 적용 시 서비스 도메인, 원본 서버 IP, HTTPS 인증서 정보가 필요합니다.

5. 침해가 의심되는 경우

아래 현상이 있으면 서버 파일을 삭제하거나 임의로 정리하지 마시고 즉시 연락 주시기 바랍니다. 원인 분석에 필요한 기록이 사라질 수 있습니다.

• 홈페이지 화면이 변경되었거나 모르는 페이지·파일이 생긴 경우
• 서버가 갑자기 느려지거나 웹서비스가 반복적으로 중단되는 경우
• 서버에서 외부로 알 수 없는 트래픽이 발생하는 경우

6. 당사 조치 사항

당사 관리대행(operating 이상) 서비스를 이용 중인 고객께는 서버별 PHP 버전을 확인하여 순차적으로 개별 안내드리고 있습니다. 조치 과정에서 웹서비스 재시작으로 수 초간 접속이 지연될 수 있으며, 작업 일정은 사전에 협의하겠습니다.

서버를 직접 관리하시는 고객은 위 3항에 따라 조치해 주시기 바랍니다. 당사의 조치 대행이 필요하시면 문의처로 요청해 주십시오.

7. 문의처

• 고객센터: 1600-8324 (내선 1번) (평일 9:00~18:00)
• 이메일: server@iteasy.co.kr
• 기술지원 요청
  • 서버호스팅 작업의뢰
  • 이지클라우드 작업의뢰

참고 자료

• PHP 보안 권고: CVE-2026-109618
• PHP 보안 권고: CVE-2026-109619
• PHP 지원 버전 안내

본 공지는 2026. 10. 22. 기준으로 작성되었으며, 추가 정보가 확인되면 갱신하겠습니다.