회사 홈페이지가 워드프레스·그누보드라면? PHP2Shell 긴급 패치, 비개발자가 오늘 확인할 5가지
결론부터 말할게요. 2026년 10월 21일 PHP 팀이 치명적 취약점 2건(CVE-2026-109618, CVE-2026-109619, 일명 PHP2Shell)을 고친 보안 업데이트를 냈어요. 공식 CVSS v4.0 점수는 9.2(Critical)예요. 로그인 없이 원격에서 서버 명령을 실행하는 유형이라, 보안 업체들은 공개 직후부터 초기 악용 시도를 보고했어요.
회사 홈페이지나 쇼핑몰이 워드프레스·그누보드·영카트·라이믹스처럼 PHP로 돌아간다면 이번 주 안에 "우리 서버의 PHP가 패치 버전인지" 확인하세요. 개발자가 아니어도 할 일이 있어요.
취약점 개요, 패치 전 임시 조치, 웹셸 점검 항목을 정리한 원문을 디포트리스 공식 블로그에 올렸어요.
→ [긴급 보안 경고] PHP 치명적 취약점(RCE) 긴급 대응 가이드 보기
우리 회사 홈페이지도 해당될까요?
홈페이지를 누가 관리하는지에 따라 확인 방법이 달라요.
- 워드프레스를 직접 관리해요 → 관리자 화면 도구 → 사이트 상태 → 정보 → 서버에서 PHP 버전을 볼 수 있어요.
- 웹호스팅을 써요 → 호스팅 관리 페이지의 PHP 버전 설정 화면이나 호스팅사 보안 공지를 확인하세요.
- 제작 외주사가 관리해요 → 외주사에 패치 적용 여부를 물어보세요. 아래 메일 초안을 그대로 쓰셔도 돼요.
- 아임웹·카페24 같은 서비스형 빌더를 써요 → 서버는 운영사가 관리해요. 운영사 공지를 확인하면 돼요.
비개발자가 오늘 확인할 5가지는 무엇일까요?
- PHP 버전과 관리 주체 확인 — 직접 서버, 호스팅, 외주 중 어디에 속하는지 먼저 적어 두세요.
- 패치 적용을 서면으로 요청 — 적용 일시와 적용한 PHP 버전을 회신받으세요. "확인해 볼게요"만으로는 기록이 남지 않아요.
- 패치가 늦어지면 임시 조치 요청 — 관리자 페이지 접근 제한, 점검 모드 전환, 외부 접속 일시 차단처럼 노출을 줄이는 조치를 요청하세요.
- 낯선 파일·계정 점검 요청 — 최근 새로 생긴 PHP 파일, 처음 보는 관리자 계정, 이상한 외부 통신은 웹셸 설치 징후일지도 몰라요.
- 백업이 따로 보관되는지 확인 — 홈페이지 백업이 같은 서버 안에만 있으면 서버가 장악될 때 함께 지워지기도 해요. 회사 핵심 자료 백업이 웹 서버와 분리됐는지도 같이 확인하세요.
AI로 하면 빨라지는 일은 무엇일까요?
1. 외주사·호스팅사 요청 메일 초안
ChatGPT·Claude·Gemini 등에 아래처럼 요청하면 1분 안에 초안이 나와요. 회사명과 사이트 주소만 바꾸세요.
우리 회사 홈페이지(워드프레스 기반)의 관리 업체에 보낼 메일을 써 줘. - 2026-10-21 공개된 PHP 보안 업데이트(CVE-2026-109618, CVE-2026-109619) 적용 여부 확인 요청 - 적용 일시와 적용한 PHP 버전을 회신해 달라고 요청 - 적용 전이라면 관리자 페이지 접근 제한 등 임시 조치 가능 여부 문의 - 최근 새로 생긴 파일이나 관리자 계정이 있는지 점검 요청 - 정중하지만 회신 기한(이번 주 금요일)을 분명히
2. 받은 답변 해석
업체가 보내 준 PHP 버전 번호를 붙여 넣고 "이 버전이 2026년 10월 보안 릴리스 이후 버전인지 php.net 기준으로 확인하는 방법을 알려 줘"라고 물어보세요. AI 답은 참고만 하고, 최종 판단은 php.net 공식 릴리스 정보로 하세요.
3. AI에 붙여 넣으면 안 되는 것
- 서버·FTP·DB 접속 비밀번호와 접속 주소
- 관리자 페이지 주소와 계정
- 고객 이름·전화번호·주문 정보가 담긴 로그 원문
로그를 AI로 분석하고 싶다면 개인정보와 IP를 지운 일부 줄만 쓰세요. 실제 침해 의심이 있으면 AI 대화보다 서버 담당자나 보안 업체 점검이 먼저예요.
왜 이번에는 서둘러야 할까요?
인증 없이 원격 실행되는 취약점은 공격 자동화가 쉬워요. 이번 건은 정식 공개 전부터 정보가 새어 나갔고, 패치 공개 직후 초기 악용 시도가 보고됐어요. 몇 년 동안 업데이트 없이 운영된 홈페이지가 특히 위험해요. 국내에는 제작 후 관리 계약이 끝난 중소기업·병원·학원 홈페이지가 많아요.
웹 서버가 장악되면 홈페이지 변조에서 끝나지 않기도 해요. 같은 네트워크의 내부 서버나 백업 저장소로 옮겨 가는 경우가 있어서, 웹 서버와 백업 경로를 분리해 두는 구성이 피해 범위를 줄이는 데 도움이 돼요. 서버 담당자용 상세 대응은 디포트리스 공식 블로그 원문에 정리했어요.
자주 묻는 질문
Q. 제작사가 관리해요. 우리가 따로 할 일이 있나요?
있어요. 패치 적용 여부와 일시를 서면으로 받아 두세요. 관리 계약이 끝난 상태라면 지금 누가 서버를 관리하는지부터 확인해야 해요.
Q. PHP를 업데이트하면 홈페이지가 깨지지 않나요?
같은 버전 계열 안의 보안 업데이트는 영향이 작은 편이지만, 오래된 플러그인이 있으면 문제가 생기기도 해요. 백업을 먼저 받고 적용한 뒤 주요 화면을 확인하도록 요청하세요.
Q. 패치 전에 홈페이지를 꺼야 하나요?
상황에 따라 달라요. 결제·회원가입이 없는 소개용 홈페이지는 점검 모드 전환 부담이 작아요. 쇼핑몰처럼 멈추기 어려우면 관리자 페이지 접근 제한 같은 임시 조치와 빠른 패치 일정을 함께 잡으세요.
Q. 서비스형 빌더(아임웹 등)도 해당되나요?
서버는 운영사가 관리하므로 사용자가 PHP를 직접 업데이트하지 않아요. 운영사 공지를 확인하고, 연동한 외부 플러그인·자체 서버가 있다면 그쪽을 따로 점검하세요.
취약점 개요, 패치 전 임시 조치, 웹셸 점검 항목을 정리한 원문을 디포트리스 공식 블로그에 올렸어요.
→ [긴급 보안 경고] PHP 치명적 취약점(RCE) 긴급 대응 가이드 보기
출처
이 글은 2026년 10월 22일 기준 공개 정보를 정리했어요. 영향 버전과 패치 버전은 PHP 공식 발표를 기준으로 확인하세요.
댓글
댓글 쓰기