10월 21일 공개된 PHP 원격 코드 실행 취약점(PHP2Shell, CVE-2026-109618, CVE-2026-109619)은 한국 인터넷 업계 전체를 흔들었습니다. 한국인터넷진흥원(KISA)이 긴급 대응 수칙을 냈고, 정부는 민간 사이버 위기 경보를 ‘관심’에서 ‘주의’로 올렸습니다. 이 글은 공개된 공지와 보도, 보안업체 자료를 모아서 정리한 것입니다. 취약점이 무엇인지는 앞선 글(PHP 긴급 보안 패치 정리)에서 다뤘으니, 여기서는 패치를 하지 않으면 실제로 어떤 일이 생기는지, 카페24와 가비아 같은 호스팅을 쓰는 사이트가 어떤 상황인지에 집중합니다. 자료는 11월 3일까지의 것이라 이후 상황은 각 기관 공지로 다시 확인해야 합니다.
먼저, 무엇이 급했나
- 패치 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35입니다(10월 21일 릴리스).
- KISA는 취약점 정보가 10월 20일에 유출된 것으로 보고, 해외 보안업체를 중심으로 공격 시도가 보고되고 있다고 밝혔습니다. 보안업체 Cyfirma는 공식 패치 이전인 10월 17일부터 서버 로그를 점검하라고 권고했습니다.
- 인증 없이 요청 한 번으로 시도할 수 있다는 점 때문에, 공개망에 노출된 서버를 먼저 업데이트하라는 것이 KISA의 우선순위였습니다.
- KISA는 공개된 개념증명(PoC) 코드 중에 악성코드가 섞인 가짜가 있으니 직접 실행하지 말고, PHP 버전과 로그로 판단하라고 경고했습니다.
패치하지 않으면 어떤 문제가 생기나
1. 서버를 빼앗길 수 있다
KISA는 공격이 성공하면 웹셸(원격 조종용 악성 파일) 설치, 고객 데이터 탈취, 홈페이지 변조, 내부망 침투가 가능하다고 설명했습니다. 안랩이 공격을 재현한 결과, 서버가 외부와 연결을 맺고 웹서비스 계정 권한으로 명령이 실행되는 것이 확인되었습니다.
실제 피해 사례도 보고되었습니다. 드림리서치는 방화벽 장비 24대와 내부 관리 서버 1대가 침해되었다고 밝혔습니다. 공격자는 PHP2Shell로 들어간 뒤 리눅스 권한 상승 취약점을 이어 붙여 최고 관리자(root) 권한까지 얻었습니다. 한국 내 피해 규모는 확인되지 않았습니다.
2. 업데이트해도 안전하다고 보장되지 않는다
패치 전에 이미 침투했다면 패치만으로 사라지지 않습니다. KISA는 업데이트 후에도 최소 10월 20일 이후의 서버 기록을 점검하고, 이상이 없더라도 DB 비밀번호, API 키, 관리자 비밀번호를 교체하라고 권고했습니다. 이상 징후가 있으면 서버를 끄거나 재시작하지 말고 먼저 외부 연결을 끊고 로그와 프로세스, 네트워크 상태를 보존해야 합니다.
3. 중소 사이트에서 흔히 벌어지는 2차 피해
아래는 이번 사건에서 확인된 사례가 아니라, 웹셸이 심어진 사이트에서 일반적으로 생기는 문제입니다.
- 검색 결과에 보이지 않는 스팸 페이지가 대량으로 생겨 검색 순위가 떨어지고, 브라우저와 검색엔진이 “위험한 사이트” 경고를 띄울 수 있습니다.
- 쇼핑몰이나 결제 페이지에 외부 스크립트가 끼어들어 고객 정보나 카드 정보가 새어 나갈 수 있습니다.
- 사이트가 피싱 페이지나 공격용 서버로 쓰이면서 호스팅 업체로부터 이용 정지를 당할 수 있습니다.
- 개인정보가 유출되면 신고와 고객 안내 의무가 생기고, 복구 비용과 신뢰 하락이 뒤따릅니다.
점검 방법 (KISA 안내 요약)
- 10월 20일 이후 서버 로그에서 비정상적으로 큰 요청, 반복되는 500 오류, 원인 모를 PHP 재시작이나 메모리 부족 오류를 찾습니다.
- 웹서버가 sh, bash나 다운로드 도구를 실행한 기록이 있는지 봅니다.
- 웹 폴더, 업로드 폴더, 임시 폴더에 새로 생기거나 바뀐 PHP 파일이 있는지 확인합니다.
- 홈페이지나 결제 페이지에 모르는 외부 스크립트가 추가되지 않았는지, 낯선 주소로 나가는 연결이 없는지 봅니다.
- 패치 뒤에는 PHP-FPM, Apache, FrankenPHP, LiteSpeed 같은 실행 환경을 반드시 재시작해야 합니다. 컨테이너는 새 이미지로 다시 배포합니다.
호스팅 업체는 어떻게 대응했나
카페24
카페24가 낸 공지 세 건을 보면 대응은 단계적이었습니다.
- 10월 21일 오전 11시 30분부터 PHP 8.x 이하 전체 서비스에
session.upload_progress.enabled를 끄는 임시 조치를 순차 적용했습니다. 카페24는 이 조치가 완전한 방어를 보장하지 않는다고 밝혔습니다. - 같은 날 오후 11시 30분부터 PHP 8.2 이상 서비스에 공식 패치(8.2.35, 8.4.27, 8.5.12)를 순차 적용했습니다. 서버당 1~10분의 순간 중단이 안내되었습니다.
- 10월 22일 오전 11시 30분부터 지원이 끝난 PHP 7.4와 8.1에는 별도 보안 업데이트(7.4.33p2, 8.1.34p2)를 적용했습니다.
- 카페24는 지원 종료 버전은 보안 패치를 받을 수 없어 위험이 더 클 수 있다며 최신 PHP로의 이전을 권고했습니다. 또 고객의 소스는 플랫폼이 임의로 수정하지 않는 것이 원칙이라고 밝혔습니다.
가비아
가비아는 10월 22일 새벽부터 웹호스팅 서버의 긴급 패치를 시작했고, 지원되는 PHP 버전에는 수정 릴리스를, 지원이 끝난 버전에는 백포트 패치나 완화 조치를 적용해 영향받는 모든 웹호스팅 PHP 버전의 조치를 마쳤다고 밝혔습니다. 가비아는 “보안 패치는 기존 버전의 취약점을 수정하는 작업이고, 상위 버전 전환은 웹사이트의 실행 환경을 바꾸는 작업”이라고 구분했습니다. 가비아CNS는 PHP 버전 점검과 소스 수정, 기능 점검을 해 주는 서비스를 내놓았습니다.
그런데 왜 호스팅 사이트의 조치가 느리다고 하나
호스팅 업체는 서버 쪽 조치를 하루 안팎에 마쳤다고 밝혔습니다. 문제는 그 다음입니다. 서버를 패치하는 것과, 고객 사이트가 쓰는 PHP 버전을 올리는 것은 다른 일이기 때문입니다.
업체가 고객 사이트를 한꺼번에 올릴 수 없다
공유 호스팅에서는 고객마다 선택한 PHP 버전이 다릅니다. 오래된 쇼핑몰, 제작 후 손을 대지 않은 홈페이지, 지원이 끝난 플러그인이 있는 사이트는 버전을 올리면 화면이 깨지거나 오류가 나기 때문에, 업체가 일괄 변경하면 사이트가 멈춥니다. 그래서 지원이 끝난 버전에는 완화 조치나 소스 패치로 버티고, 근본 해결인 버전 이전은 고객이 해야 합니다.
숫자로 본 이전 속도
바이라인네트워크가 전한 센시스(Sensys)의 조사로는 10월 27일 기준 한국에서 취약한 PHP 버전을 쓰는 서비스가 508,709건이고, 이 중 수정 버전으로 옮긴 것은 19,737건(3.9%)이었습니다. 같은 조사에서 미국은 23.6%, 일본은 22.1%였습니다.
비트사이트(Bitsight)는 패치 후 일주일 동안 지원되는 PHP 8.2~8.5를 쓰던 호스트의 68.6%가 수정 버전으로 바뀐 반면, 8.1 이하를 쓰던 호스트는 6.4%만 바뀌었다고 밝혔습니다. 제니언스는 내부망의 PHP 장비 중 96%가 취약했고, 그중 78%가 8.1 이하, 48%가 2018년에 지원이 끝난 PHP 5.x 이하였다고 분석했습니다(제니언스는 내부망 장비 기준이라 웹호스팅과 그대로 비교하기는 어렵습니다).
핵심은 최신 버전은 빠르게 패치되지만, 지원이 끝난 버전을 쓰는 사이트는 거의 움직이지 않는다는 점입니다. 호스팅을 쓰는 중소 사이트와 오래된 쇼핑몰이 여기에 많습니다.
버전을 바꿀 때 조심할 것
뉴스1은 일부 웹호스팅 상품은 PHP 버전을 바꿀 때 서버 자료와 데이터베이스, 서버 내부의 백업 파일이 삭제될 수 있다고 보도했습니다. 카페24는 48시간 이내에 원래 환경으로 되돌릴 수 있는 원복 기능을 안내하지만 상품과 이용 조건을 확인해야 합니다. 버전을 바꾸기 전에는 반드시 따로 백업하세요.
내 사이트에서 해야 할 일
- 호스팅 관리 화면에서 PHP 버전을 확인합니다. 8.2.35, 8.3.36, 8.4.27, 8.5.12 이상이면 이번 취약점은 해결된 버전입니다. 호스팅이 버전 숫자를 패치 이름(예: 7.4.33p2)으로 표시하는 경우도 있으니 업체 공지로 적용 여부를 확인하세요.
- 8.1 이하를 쓰고 있다면 상위 버전으로 올리는 것이 근본 해결입니다. PHP 8.2도 2026년 12월 31일에 지원이 끝나므로 8.3 이상을 권합니다.
- 올리기 전에 파일과 DB를 백업하고, 먼저 테스트 환경에서 플러그인과 테마가 동작하는지 확인합니다. 워드프레스는 코어, 테마, 플러그인을 최신으로 맞추고 쓰지 않는 플러그인은 정리합니다.
- 업데이트 후 10월 20일 이후 로그와 새로 생긴 PHP 파일을 점검하고, 관리자 비밀번호와 DB 비밀번호, API 키를 바꿉니다.
- 직접 올리기 어렵다면 호스팅 고객센터나 제작 업체에 조치 여부를 확인하세요. 소스 수정이 필요한 오래된 사이트는 이번 기회에 이전 계획을 세우는 것이 좋습니다.
아직 끝나지 않은 문제
10월 21일 패치와 별개로 CVE-2026-115560이 보고되었습니다. 특정 세션 설정과 업로드 진행률 기능을 쓰는 조건에서 원격 코드 실행으로 이어질 수 있고, 10월 21일 패치로는 해결되지 않는 것으로 알려졌습니다. KISA는 10월 24일 업로드 진행률 기능을 끄고 관련 프로세스를 재시작하라는 임시 조치를 권고했습니다. 이 글을 쓰는 시점에 읽은 자료(10월 25일자 보도까지)에서는 수정 릴리스를 확인하지 못했습니다. 카페24가 적용한 session.upload_progress.enabled 끄기가 같은 조치에 해당해 추가 변경이 필요 없을 수 있지만, 이용 중인 호스팅에 직접 확인하는 것이 좋습니다.
정리
- 서버 쪽 패치는 호스팅 업체가 빠르게 했지만, 고객 사이트의 PHP 버전 이전은 고객 몫이라 느립니다.
- 8.1 이하를 쓰는 사이트가 가장 위험하고 가장 늦게 움직입니다.
- 업데이트만으로 끝내지 말고 10월 20일 이후 로그, 새 파일, 비밀번호를 함께 점검해야 합니다.
- 오래된 사이트는 버전을 올릴 때 화면이 깨질 수 있으니 백업과 테스트가 먼저입니다.
픽셀디자인 picell design은 워드프레스 사이트의 PHP 버전 점검, 플러그인 호환성 확인, 안전한 버전 이전을 대행하고 있습니다. 사이트가 오래되어 걱정되시면 문의해 주세요.
참고 자료
- 카페24 공지: 10월 21일 PHP 긴급 보안 취약점 조치 작업, 10월 21일 PHP 공식 보안 패치 적용 작업, 10월 22일 PHP 7.4, 8.1 긴급 보안 업데이트 작업 (help.cafe24.com)
- KISA 긴급 대응 수칙 보도: https://byline.network/2026/10/22-617/
- 호스팅 업체 대응과 이전 현황: https://byline.network/2026/10/30-619/
- 웹호스팅사 PHP 긴급대응과 구형 쇼핑몰 전환 과제: https://www.news1.kr/industry/sb-founded/6331071
- 가비아CNS PHP 대응 지원: https://www.it-b.co.kr/news/articleView.html?idxno=90535
- CVE-2026-115560 보도: https://www.topstarnews.net/news/articleView.html?idxno=16257370