2026년 10월 21일 PHP 보안팀과 미국 CISA는 PHP 웹 서버에서 로그인 없이 원격 코드 실행이 가능한 치명적 취약점 2건을 공개하고, 즉시 패치할 것을 권고했습니다. 커뮤니티에서는 이 이슈를 PHP2Shell이라고 부릅니다.
해당 취약점은 CVE-2026-109618, CVE-2026-109619입니다. 웹 요청을 처리하는 PHP 전반이 대상이며, PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed가 포함됩니다. PHP는 그중 Apache mod_php의 위험이 가장 크다고 밝혔습니다. 웹사이트뿐 아니라 PHP가 들어 있는 장비, 관리 화면, 컨테이너도 점검 대상입니다.
휴비즈ICT 홈페이지(hubizict.com)는 Java 기반이라 이 취약점의 직접 대상이 아닙니다. PHP로 운영 중인 홈페이지, 게시판, 업무 시스템, 장비 관리 화면을 가진 조직은 아래 순서대로 조치하시기 바랍니다.
대응
- 서버와 솔루션에 들어 있는 PHP 버전을 확인합니다. PHP는 다른 제품 안에 포함되어 있어 겉으로 보이지 않을 수 있습니다.
- 지원 버전은 즉시 패치합니다. PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상이 수정 버전입니다.
- PHP 8.1 이하는 PHP 프로젝트의 보안 업데이트가 끝났습니다. 사용 중인 배포판이나 제조사 수정본을 확인하거나, 지원되는 버전으로 올립니다.
- 인터넷에 열려 있는 시스템부터 적용합니다. 당장 패치할 수 없으면 외부 접속을 끊고 패치 후 다시 엽니다.
- 웹 방화벽은 패치 전까지의 임시 보완입니다. 설정 변경만으로는 안전해지지 않습니다.
- 패치 이후 PHP 프로세스가 명령 셸을 실행하거나 외부에서 파일을 받는 기록이 있는지 로그를 확인합니다.
참고
버전 확인과 패치 적용이 필요하시면 휴비즈ICT(054-256-7000, hubizict@hubizict.com)로 문의해 주세요.