PHP2Shell 패치, 업데이트 뒤에도 재시작과 로그 점검이 필요한 이유

PHP2Shell 취약점에 대응하려면 PHP를 수정 버전으로 올리는 데 그치지 않고 웹 서비스 재시작과 침해 흔적 점검까지 해야 한다.

한국인터넷진흥원(KISA)은 2026년 10월 22일 기업 보안 대응 수칙을 발표했다.

하루 앞서 미국 국가안보국(NSA)과 연방수사국(FBI)도 PHP 시스템에 대한 긴급 권고를 내놨다.

PHP2Shell은 PHP 엔진의 취약점 2건(CVE-2026-109618·CVE-2026-109619)을 가리킨다.

로그인하지 않은 외부 공격자가 서버에서 명령을 실행할 수 있으며, 위험도는 CVSS 9.2로 제시됐다.

악용되면 웹셸 설치, 개인정보 유출, 홈페이지 변조나 내부망 침투로 이어질 수 있다.

수정 대상 버전은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 이상이다.

패치 후에도 PHP-FPM이나 Apache 같은 웹 서비스를 재시작해야 새 코드가 실제로 적용된다.

컨테이너 환경은 수정된 이미지로 다시 배포해야 한다.

명령줄에서 확인한 PHP 버전과 웹 서비스가 사용하는 버전이 다를 수 있어 각각 점검하는 것도 중요하다.

PHP 8.1 이하에는 정식 업데이트가 없으므로 임시 조치와 지원 버전으로의 전환을 검토해야 한다.

패치 전 침입 여부는 별도로 살펴야 한다.

KISA는 10월 20일 이후 로그에서 비정상적으로 큰 요청과 반복된 500 오류, 새로 생성된 PHP 파일, 낯선 외부 연결을 점검하도록 권고했다.

인터넷에 노출됐던 서버는 데이터베이스 비밀번호와 API 키, 관리자 비밀번호도 교체해야 한다.

침해가 의심되면 서버를 재시작하지 말고 외부 접속을 차단한 뒤 증거를 보존하고 보호나라에 신고하거나 118에 문의해야 한다.