PHP2Shell 보안패치 및
PHP 업그레이드 해드립니다
10월 21일 공개된 PHP 원격코드실행 취약점, 아직 패치 안 하셨나요?
서버 지식 없어도 됩니다. 2008년부터 PHP 서버를 직접 운영해 온 개발자가 백업부터 패치, 메이저 업그레이드, 소스 호환성 수정까지 직접 처리합니다.
8.1 이하는 공식 수정판이 나오지 않습니다. "패치 적용" 이 아니라 8.2 이상으로 올리는 것 외에는 근본 해결책이 없습니다.
지금 PHP 서버는 "패치 전" 이면 전부 공격 대상입니다
2026년 10월 21일, PHP 에서 치명적인 원격 코드 실행 취약점 두 건이 공개됐습니다. 두 건을 묶어 PHP2Shell 이라고 부릅니다.
메모리 손상 — OOM 처리 중 미초기화 데이터
메모리 부족(Out-Of-Memory) 처리 과정에서 요청 데이터가 반쯤 초기화된 상태로 남아 메모리가 손상됩니다. 공격자는 이를 이용해 서버 프로세스의 실행 흐름을 조작할 수 있습니다.
요청 간 전역 상태 잔존 — Cross-request State
이전 요청의 전역 상태가 다음 요청까지 살아남아 악용됩니다. 특히 Apache mod_php 처럼 프로세스를 재사용하는 구성에서 다른 사용자의 요청 컨텍스트를 오염시킬 수 있습니다.
로그인 없이, 조작된 HTTP 요청 하나로 임의 코드 실행
인증이 필요 없는 비인증 원격 코드 실행(Unauthenticated RCE) 입니다. 공개 하루 전 세부 내용이 유출돼 이미 실제 공격에 사용되고 있으며, 메이저 버전을 올리면 기존 소스가 깨지기 때문에 "패치" 와 "소스 수정" 을 한 번에 처리해야 합니다.
PHP 공식 입장 — "완전한 완화책은 없다. 업데이트만이 안전한 선택이다."이런 상황이라면 지금 바로 진단받으세요
호스팅사·보안 솔루션에서 PHP2Shell / CVE-2026-109618 / CVE-2026-109619 경고를 받으신 분
서버 관리자 없이 사이트를 운영 중인 소상공인 · 1인 기업 · 소규모 스타트업
외주로 만든 사이트인데 제작사와 연락이 끊긴 분
PHP 5.x / 7.x / 8.0 / 8.1 을 쓰고 있어 이번 패치 대상에서 빠진 분
그누보드 · 영카트 · 워드프레스 · 라라벨 · 코드이그나이터 등 PHP 기반 사이트 운영자
당장 메이저 업그레이드가 어려워 임시 방어라도 먼저 해두고 싶은 분
진단 → 패치/업그레이드 → 소스 수정 → 보고서
CentOS 소스 컴파일, Ubuntu/Rocky 패키지, Plesk·cPanel 환경, PHP 5 → 7 → 8 전환까지 실제 운영 서버에서 수없이 해본 일입니다.
현황 진단
- 현재 PHP 버전, 실행 방식(mod_php / PHP-FPM), 확장 모듈, 웹서버 구성 확인
- PHP2Shell 노출 여부 및 위험도 판단 — mod_php 기본 구성이 가장 위험
- 업그레이드 시 깨질 소스 코드 사전 점검
보안 패치 또는 버전 업그레이드
- 8.2 이상: 패치 버전(8.2.35 / 8.3.36 / 8.4.27 / 8.5.12)으로 업데이트
- 8.1 이하: 8.2~8.4 로 메이저 업그레이드
- 확장 모듈(mysqli, gd, mbstring, intl, opcache 등) 재설치 및 설정 이관
- php.ini 보안 설정 점검 (expose_php, disable_functions, open_basedir)
소스 호환성 수정
- 업그레이드 후 발생하는 Deprecated / Fatal Error 수정
- 구버전 함수(mysql_*, ereg, each, create_function 등) 대체
- 주요 페이지 · 결제 · 회원 기능 동작 테스트
당장 업그레이드가 어려운 경우 — 임시 방어
- Apache mod_php → PHP-FPM 전환 (공격 난이도를 크게 높임)
- 알려진 공격 경로 차단 설정 적용
작업 보고서 제공
- 변경 전/후 버전, 적용한 패치
- 수정 파일 목록
- 롤백 방법
패치 후에도 지켜야 합니다
패치 이후 서버를 24시간 AI 가 감시하는 월 구독 보안관제와 결합하면 다음 취약점 공개 때도 가장 먼저 압니다.
AI 서버 보안관제운영 서버를 다루는 네 가지 원칙
백업 먼저
작업 전 소스 + DB + 설정 파일 전체 백업부터 받습니다
스테이징 테스트
가능하면 스테이징에서 먼저 검증한 뒤 운영 서버에 적용합니다
저트래픽 시간대
접속이 적은 시간대에 작업해 다운타임을 최소화합니다
문서화 · 롤백
변경 내역과 롤백 방법을 문서로 정리해 드립니다
2008년부터 PHP 기반 쇼핑몰 · 기업 홈페이지 · B2B 시스템을 구축하고 서버를 직접 운영해 온 개발자가 작업합니다. CentOS 소스 컴파일 환경, Ubuntu/Rocky 패키지 환경, Plesk · cPanel 환경, PHP 5 → 7 → 8 전환까지 — 실제 운영 서버에서 수없이 반복해 온 일입니다.
현재 PHP 버전에 맞는 패키지를 고르세요
정확한 범위와 견적은 무료 진단 후 확정됩니다.
메이저 업그레이드 시 소스 수정 범위는 진단 후 확정되며, 파일 수가 패키지 범위를 크게 넘으면 사전 협의 후 추가 비용이 발생할 수 있습니다.
작업 전 필요한 정보
- 서버 접속 정보 (SSH 또는 호스팅 관리자 계정)
- 사용 중인 PHP 버전과 호스팅 형태 (가상서버 / 클라우드 / Plesk·cPanel / 웹호스팅)
- 사이트에 사용된 프레임워크나 CMS 종류
- 받으신 보안 경고 메일 원문 (있을 경우)
주의사항
- 공유 웹호스팅(카페24, 가비아 등)은 PHP 버전을 호스팅사만 변경할 수 있어 서버 작업이 불가합니다. 소스 호환성 수정만 진행 가능하며, 구매 전 문의 바랍니다.
- 서버 접속 정보는 작업 완료 후 즉시 폐기하며, 작업 기간 중 비밀번호 변경을 권장합니다.
- 운영 서버 작업 특성상 100% 무중단을 보장하지는 않으나, 백업과 롤백 절차를 갖추고 진행합니다.