[2차 안내] PHP2Shell 대응 현황 및 추가 보안 조치 권고

기준일: 2026년 10월 27일

10월 22일 게시한 긴급 보안 권고에 이어, PHP2Shell의 공격 악용 현황과 후속 조치 사항을 안내합니다. 기존 취약점 패치 적용에 더해 PHP 프로세스 재시작, 추가 취약점의 영향 여부 확인, 침해 흔적 점검이 필요합니다.

1. 초기 권고 이후 확인된 주요 변화

미국 CISA는 10월 26일 CVE-2026-109618과 CVE-2026-109619를 실제 악용이 확인된 취약점 목록(KEV)에 추가했습니다. 두 취약점은 우선 대응 대상으로 관리해야 합니다.

Amazon Threat Intelligence는 공개 발표 전인 10월 17일부터 허니팟에서 공격 시도를 관측했다고 밝혔습니다. 이는 모든 서비스에서 침해가 발생했다는 의미는 아니지만, 로그 점검 범위를 공개일 이후로만 한정해서는 안 된다는 점을 보여줍니다.

2. 기존 PHP2Shell 패치 적용 확인

기존 두 취약점을 수정한 PHP 버전은 아래와 같습니다.
• PHP 8.2 계열: 8.2.35 이상
• PHP 8.3 계열: 8.3.36 이상
• PHP 8.4 계열: 8.4.27 이상
• PHP 8.5 계열: 8.5.12 이상

리눅스 배포판 패키지는 버전 번호를 유지하면서 보안 수정만 적용할 수 있으므로, 숫자만 비교하지 말고 배포판의 보안 공지와 패키지 릴리스 정보를 함께 확인해 주세요. PHP 8.1 이하 환경은 지원 중인 버전으로의 전환 또는 배포판·장기지원 업체의 수정 패키지 제공 여부를 확인해야 합니다.

파일 교체나 패키지 설치만으로 실행 중인 PHP 프로세스가 바뀌지는 않습니다. PHP-FPM, Apache 등 PHP를 실행하는 서비스와 모든 워커를 재시작한 뒤, 실제 웹 요청을 처리하는 환경에 수정 버전이 적용됐는지 확인해 주세요. 침해 의심 징후가 있는 경우에는 재시작 전에 필요한 로그와 휘발성 증거를 먼저 보존해야 합니다.

3. 추가 취약점 CVE-2026-115560 점검

PHP 개발팀은 10월 23일 세션 업로드 진행률 기능과 관련된 추가 취약점을 안내했고, KISA도 10월 24일 임시 조치를 권고했습니다. 이 문제는 10월 21일 배포된 위 버전만으로 해결되지 않으며, 기준일 현재 공식 안내는 차기 정기 업데이트 전까지의 설정 점검과 임시 조치입니다.

영향은 다음 조건을 모두 충족하는 경우에 한정됩니다.
• 설정 파일에서 session.serialize_handler가 php_binary 또는 php_serialize로 지정되어 있음
• 애플리케이션이 session_start() 호출 전에 ini_set()으로 해당 값을 php로 변경함
• session.upload_progress.enabled가 활성화되어 있음

해당 조건을 사용하는 환경은 php.ini 또는 PHP-FPM 풀 설정 등에서 session.upload_progress.enabled=0을 적용하고 모든 PHP 워커를 재시작해 주세요. 이미 적용했다면 설정을 유지하고, 업로드 진행률 표시 등 업무 기능에 영향이 없는지 확인하세요. 실행 중 직렬화 처리 방식을 변경하지 않는 애플리케이션은 이 추가 취약점의 해당 조건에 포함되지 않습니다. 이 임시 설정은 기존 두 PHP2Shell 취약점의 보안 패치를 대체하지 않습니다.

4. 운영 담당자가 확인할 후속 조치

① 공개 웹사이트뿐 아니라 내부 업무 시스템, 컨테이너 이미지, 웹 관리 콘솔과 PHP를 내장한 제품까지 점검 대상을 확인합니다.
② 미조치 외부 공개 서버를 우선 처리하고, 즉시 패치하기 어려운 경우 필요한 서비스만 허용하도록 접근을 제한하거나 임시 격리를 검토합니다.
③ 최소 10월 17일부터의 웹·프록시 로그와 EDR 기록을 살펴봅니다. 비정상 요청 증가, PHP 워커 오류, 예상하지 못한 프로세스 실행, 웹 경로의 신규·변경 파일 등을 함께 확인합니다.
④ 패치와 서비스 재시작 후 인증 기반 점검 또는 에이전트 점검으로 재확인하고, 결과와 조치 일시를 기록합니다. 비인증 외부 스캔에서 발견되지 않았다는 이유만으로 안전하다고 판단하지 않습니다.

WAF·IPS·EDR의 탐지 정책은 보조 방어 수단입니다. 차단 로그가 없거나 보안 장비를 사용 중이라는 사실만으로 서버 패치와 후속 점검을 생략해서는 안 됩니다. 침해가 의심되면 관련 증거를 보존하고 사고 대응 절차에 따라 조사와 계정·비밀정보 점검을 진행해 주세요.

5. Tenable 사용 고객 안내

Tenable은 PHP2Shell 점검용 Nessus 플러그인 369483과 리눅스 배포판별 로컬 점검을 제공하고 있습니다. 플러그인을 최신 상태로 유지하고 인증 기반 또는 에이전트 점검을 수행한 뒤, 패치 후 재점검 결과를 확인해 주세요.

Tenable Security Center 및 Enclave Security 운영 고객은 점검 대상 서버뿐 아니라 보안 관리 제품 자체의 패치도 확인해야 합니다. Tenable은 10월 23일 PHP를 8.2.35로 갱신하는 SC-202610.2 패치를 안내했습니다. 설치 제품 버전에 맞는 TNS-2026-30 또는 TNS-2026-31 공지와 적용 절차를 확인해 주세요. 운영 제품의 내장 PHP를 임의로 교체하지 말고 제조사 패치 절차를 따라야 합니다.

6. 업데이트 적용 시 함께 확인할 사항

PHP 8.4.27·8.5.12에서는 SimpleXML을 사용하는 일부 애플리케이션의 프로세스 비정상 종료 문제가 별도로 보고됐습니다. 업데이트 전후에 주요 업무 흐름과 오류 로그를 확인하고, 문제가 있다면 보안 패치를 제거해 취약 버전으로 되돌리는 대신 배포판·제조사의 후속 수정 지침을 확인해 주세요.

Windows 공식 PHP 패키지 사용자는 10월 26일 공개된 8.2.35-1·8.3.36-1·8.4.27-1·8.5.12-1 빌드도 확인해 주세요. 이는 번들 Brotli 라이브러리의 별도 취약점(CVE-2026-111497)을 수정한 재배포이며, 기존 PHP2Shell 수정과는 구분됩니다.

기술 지원

적용 대상과 제품별 패치 절차 확인이 필요한 고객은 문의하기 페이지 또는 sales@gunsystems.co.kr로 연락해 주세요. 운영 환경과 제품 버전을 바탕으로 점검 및 후속 조치 범위를 안내해 드립니다.

공식 공지와 상세 안내

PHP 개발팀: 보안 업데이트 및 후속 공지
https://www.php.net/archive/2026.php

KISA: 추가 취약점 임시 조치 권고
https://www.krcert.or.kr/kr/bbs/view.do?bbsId=B0000133&menuNo=205020&nttId=72237&pageIndex=1

CISA: 실제 악용 취약점 목록
https://www.cisa.gov/known-exploited-vulnerabilities-catalog

AWS: 공개 이전 공격 시도와 조사 권고
https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/

Tenable: PHP2Shell 대응 현황
https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote

Tenable Security Center 패치 공지
https://www.tenable.com/security/tns-2026-30

Tenable Enclave Security 패치 공지
https://www.tenable.com/security/tns-2026-31