PHP 취약점 무료 점검 3단계: 주소만 넣고 내 홈페이지 확인
우리 회사 홈페이지도 PHP 취약점(PHP2Shell) 위험할까? 10월 공개된 CVE-2026-109618·109619의 정체와 영향 버전, 주소만 넣는 무료 점검부터 결과 해석·패치까지 3단계를 비전문가 눈높이로 정리했어요.
📋 목차
"우리 쇼핑몰도 PHP라던데 괜찮은 거야?" 요즘 이런 질문 정말 많이 받으시죠? 저도 테스트용으로 굴리는 작은 워드프레스 사이트가 있어서 뉴스를 보자마자 철렁했어요. 개발자가 아니어도 주소 입력 → 결과 확인 → 업데이트 요청 세 단계면 1차 확인이 가능하니, 오늘 바로 따라 해 보세요.
PHP2Shell, 무엇이 위험한가요?
PHP 개발팀은 10월 21일(현지시각) 두 취약점 CVE-2026-109618·CVE-2026-109619(통칭 PHP2Shell)을 고친 긴급 업데이트를 냈어요. 메모리 처리 결함으로 로그인 없이 외부에서 서버 명령을 실행당할 수 있고, 위험도는 CVSS 9.2입니다. 홈페이지 코드를 잘 만들었어도 PHP 자체가 취약하면 영향을 받아요. 과학기술정보통신부는 22일 낮 12시 민간 사이버위기 경보를 '주의'로 올렸고, KISA 보호나라도 권고문을 게시했습니다.
| PHP 버전 | 취약 | 안전(수정판) |
|---|---|---|
| 8.5 | 8.5.12 미만 | 8.5.12 이상 |
| 8.4 | 8.4.27 미만 | 8.4.27 이상 |
| 8.3 | 8.3.36 미만 | 8.3.36 이상 |
| 8.2 | 8.2.35 미만 | 8.2.35 이상(2026.12.31 지원 종료) |
| 8.1 이하 | 공식 패치 없음 | 지원 버전으로 이전 |
1단계: 주소 넣고 무료 점검하기
보안기업 스틸리언이 10월 22일 무료 점검 페이지를 열었어요. 순서는 간단합니다.
- stealien.com/php2shell에 접속해요.
- 점검할 홈페이지 주소를 하나 입력해요.
- "본인이 소유하거나 관리 권한이 있는 웹사이트" 확인 후 점검하기를 눌러요.
안내에 따르면 공격 없이 /index.php 응답 헤더만 확인하고, 입력한 주소와 결과는 저장하지 않는다고 해요.
⚠️ 남의 사이트는 넣지 마세요. 권한 없는 점검은 법적 문제가 될 수 있어요. '무료 점검'을 사칭해 관리자 계정을 묻는 메일도 조심하세요.
2단계: 점검 결과 읽는 법
결과가 '취약'이면 바로 3단계로 가세요. '안전'이어도 끝이 아니에요. 이 결과는 해당 취약점 범위에 한정되고 사이트 전체 안전이나 업데이트를 대신하지 않습니다. 헤더로 판단하는 방식이라 버전 정보를 숨긴 서버는 판정이 애매할 수 있어요.
💡 실제 버전 확인법 — 서버 관리자는 php -v, 호스팅 이용자는 관리 화면의 'PHP 버전' 메뉴에서 숫자를 위 표와 비교해 보세요.
3단계: 패치·재시작·흔적 점검
- 업데이트: 표의 수정판 이상으로 올려요.
- 재시작: 웹 서비스를 다시 켜야 적용돼요.
- 흔적 점검: 낯선 접속 기록, 모르는 .php 파일(웹셸)이 없는지 봐요.
- 호스팅 문의: 업체에 적용 버전과 일시를 서면으로 받아 두세요.
23일 공개된 별도 취약점 CVE-2026-115560은 21일 패치로 막히지 않아요. 수정판이 나오기 전까지 session.upload_progress.enabled=0(파일 업로드 진행 추적 끄기)이 권고됐어요. 이상 징후가 보이면 KISA 118로 신고하세요.
해외는 어떻게 대응했나
미국 NSA는 "바로 못 고치면 고칠 때까지 사이트를 내리라"고 했고, 캐나다 사이버보안센터는 개념증명 코드가 공개됐다며 인터넷에 노출된 서버부터 패치하라고 권고했어요. 네덜란드·핀란드 일부 정부기관은 사이트를 잠시 닫았고, 팔로알토는 외부에 노출된 PHP 인스턴스를 약 2,200만 개로 추정했어요.
AI로 점검·보고 정리하기
비밀번호·고객정보는 빼고 아래처럼 물어보면 편해요.
① 버전 판정 "php -v 결과를 붙일게. PHP2Shell 수정판 기준표와 비교해 취약 여부와 목표 버전을 표로 알려줘."
▶ 결과: 현재 8.3.20 | 취약 | 목표 8.3.36 → 해석: 같은 8.3 안의 업데이트라 대규모 이전은 필요 없어요.
② 호스팅 문의문 "호스팅 업체에 PHP2Shell 조치 여부를 묻는 정중한 메일을 써줘. 확인 항목: 적용 버전, 재시작, 적용 일시."
▶ 결과: 제목+본문 4문장+질문 3개 → 해석: 답을 서면으로 받아 두면 감사·사고 때 근거가 돼요.
③ 작업 체크리스트 "백업부터 재시작 확인까지 PHP 업데이트 순서를 담당자·소요시간 표로 만들어줘."
▶ 결과: 6단계(백업 30분·업데이트 20분·재시작 5분 등) → 해석: 백업과 재시작 확인이 빠지기 쉬운 칸이에요.
④ 로그 요약 "IP를 가린 접속 로그 일부야. 10월 20일 이후 낯선 .php 요청과 대량 POST를 횟수·의심도 표로 정리해줘."
▶ 결과: 경로 3건, 의심도 상·중 → 해석: AI 판단은 참고용, '상'이 있으면 전문가 확인과 신고가 먼저예요.
⑤ 대표 보고 "위 내용을 현황·위험·조치·남은 과제 4칸, 1쪽 보고서로 요약해줘."
▶ 결과: 4칸 표(남은 과제: 8.2 지원 종료 대비) → 해석: 비개발 임원도 예산·일정을 바로 판단할 수 있어요.
핵심 요약
- PHP 8.2~8.5 수정판 미만은 모두 위험, 8.1 이하는 이전이 답이에요.
- 무료 점검은 1차 확인일 뿐, 실제 버전과 재시작까지 확인하세요.
- 추가 취약점은 업로드 진행 추적 끄기로 임시 대응해요.
자주 묻는 질문
Q1. 무료 점검은 안전한가요?
공격 없이 응답 헤더만 확인한다고 안내돼요. 단, 본인 사이트만 넣으세요.
Q2. 워드프레스 플러그인만 업데이트하면 되나요?
아니에요. PHP 자체 문제라 서버의 PHP 버전을 올려야 해요.
Q3. 호스팅을 쓰면 제가 할 일이 없나요?
업체가 조치하더라도 적용 버전과 일시를 직접 확인해 두세요.
Q4. 업데이트했는데도 '취약'으로 나와요.
웹 서비스 재시작이 안 됐을 가능성이 커요. 재시작 후 다시 점검하세요.
마무리하며
AI가 10년 넘게 숨어 있던 결함을 찾아냈다는 소식에 관심이 뜨겁지만, 우려도 큽니다. 헤더 기반 점검이 "안전" 착시를 줄 수 있고, 사칭 피싱이 번질 수 있으며, 무엇보다 8.1 이하 구버전에 묶인 소상공인 사이트는 무료 점검만으로 해결되지 않아요. 정부 경보와 별개로 비용 지원이 따라가지 않으면 방치되는 사이트가 남을 수 있습니다.
다른 블로거분들이 그누보드 운영자용 업데이트 화면 가이드, PHP 8.2 지원 종료 대비 이전 계획, 소상공인 보안 지원사업 비교를 더 깊이 다뤄 주시면 좋겠어요.
