CONTACT US

서울시 마포구 동교로 129, 2F

02.325.4820

긴급 · 2026.10.21 공개 · PHP2Shell 취약점

PHP 취약점 보안패치우리 홈페이지 PHP, 지금 패치가 되는 버전인가요?

로그인 없이 서버를 장악할 수 있는 PHP 자체 결함(CVSS 9.2)이 공개됐습니다. PHP 7.x · 8.0 · 8.1 은 공식 보안패치가 나오지 않았습니다. 홈페이지 주소를 넣으면 PHP 버전과 위험도를 바로 알려 드립니다.

정부 사이버위기 경보 ‘주의’ 격상
KISA 긴급 보안 권고
패치 전 취약점 정보 유출 · 공격 시도 보고

9.2

CVSS 위험도 (치명적)

8.1이하

공식 보안패치 없음

10.20

취약점 정보 유출일

70%

PHP 를 쓰는 전 세계 웹사이트 비중(보안뉴스)

What happened

PHP 자체에서 치명적 보안 결함이 나왔습니다

홈페이지를 어떻게 만들었는지와 상관없이, PHP 로 운영되는 서버라면 대상입니다. 공격에 성공하면 아래와 같은 피해로 이어질 수 있습니다.

10.20
패치 전 취약점 정보 유출
보안 업데이트가 나오기 전에 정보가 새어 나갔고, 해외 보안업체를 중심으로 공격 시도가 보고되고 있습니다.
10.21
PHP 공식 보안 업데이트
8.5.12 · 8.4.27 · 8.3.36 · 8.2.35 에만 배포. 지원이 끝난 8.1 이하(7.x 전체 포함)는 대상에서 빠졌습니다.
10.22
KISA 대응 수칙 · 정부 경보
KISA 가 기업 대응 수칙을 배포했고, 정부는 사이버위기 경보를 ‘주의’로 올렸습니다.

원격조종 파일(웹셸) 설치

로그인 없이 외부에서 서버에 원하는 명령을 실행

고객정보 유출

회원 · 문의 · 주문 정보, 서버에 담긴 비밀번호와 API 키

홈페이지 변조

메인 화면 · 결제 페이지에 몰래 외부 스크립트 삽입

내부망 침투

웹 서버를 발판으로 회사 내부 시스템까지 접근

출처: 한국인터넷진흥원(KISA) 「PHP 보안취약점(PHP2Shell) 관련 기업 보안 대응 수칙」(2026.10.22), CVE-2026-109618 · CVE-2026-109619

News & Advisory

주요 보도와 공식 권고

기사 제목을 누르면 해당 언론사 · 기관 사이트가 새 창으로 열립니다.

SBS 12시뉴스 · 2026.10.22 — “PHP에 치명적 결함”..KISA, 긴급 보안 업데이트 권고 · YouTube 에서 보기

KISA 보호나라 · 2026.10.21 PHP 제품 보안 업데이트 권고 KISA 보호나라 · 2026.10.22 PHP 보안취약점(PHP2Shell) 관련 기업 보안 대응 수칙 PHP 공식(php.net) · 2026.10.21 Security advisory: Critical remote code execution vulnerabilities, update now

※ 외부 기사 · 영상의 저작권은 각 언론사에 있으며, 아이모토는 링크와 제목만 소개합니다.

PHP Version Status

PHP 버전별 보안패치 현황

공식 보안패치는 지원 중인 버전에만 나옵니다. 지원이 끝난 버전은 앞으로 나오는 취약점도 고쳐지지 않습니다.

PHP 버전별 보안 지원 종료일과 PHP2Shell 패치 여부
PHP 버전	보안 지원 종료	PHP2Shell 해결 버전	판정
PHP 8.5	2029.12.31	8.5.12 이상	해결 버전 이상이면 안전
PHP 8.4	2028.12.31	8.4.27 이상	해결 버전 이상이면 안전
PHP 8.3	2027.12.31	8.3.36 이상	해결 버전 이상이면 안전
PHP 8.2	2026.12.31	8.2.35 이상	패치 후 연내 종료 · 8.3 이상 권장
PHP 8.1	2025.12.31	없음	공식 패치 없음 · 전환 필요
PHP 8.0	2023.11.26	없음	공식 패치 없음 · 전환 필요
PHP 7.4	2022.11.28	없음	공식 패치 없음 · 전환 필요
PHP 7.3	2021.12.06	없음	공식 패치 없음 · 전환 필요
PHP 7.0 ~ 7.2	2019.01.10 ~ 2020.11.30	없음	공식 패치 없음 · 전환 필요
PHP 5.x 이하	2018.12.31 이전	없음	공식 패치 없음 · 전환 필요

기준: php.net 공식 지원 일정 · 2026.10.21 보안 릴리스. 리눅스 배포판 패키지는 버전 번호가 그대로인 채 보안 수정이 들어가기도 해 정밀 확인이 필요합니다.

Temporary vs Permanent

임시 조치는 문단속,
근본 해결은 PHP 8.5 전환입니다

아이모토는 전환을 준비하는 동안 KISA 권고 기준의 임시 조치부터 적용하고, 소스코드를 고쳐 PHP 8.5 로 옮겨 드립니다.

STEP 1 · 즉시

임시 조치 (KISA 권고 기준)

파일 업로드 진행률 기능 끄기(session.upload_progress)
요청 크기 제한 · 비정상적으로 큰 요청 차단
업로드가 필요 없는 페이지의 업로드(multipart) 요청 차단
업로드 폴더 PHP 실행 차단 · 오류 · 서버 정보 노출 차단
소스 · DB 전체 백업

공격 경로와 피해를 줄이는 대책일 뿐, PHP 엔진 내부의 결함 자체는 막지 못합니다.

STEP 2 · 근본 해결

PHP 8.5 전환 (소스 마이그레이션)

최신 보안패치(8.5.12 이상)가 적용된 PHP 8.5 로 전환
PHP 8 에서 멈추는 코드를 전수 검사해 수정
테스트 서버에서 전체 페이지 · 저장 기능을 지금과 비교 검증
화면 · 메뉴 · 기능은 그대로
2029년 12월 31일까지 공식 보안 업데이트

PHP 공식 공지와 KISA 모두 “지원 버전으로 올리는 것”을 해결책으로 밝히고 있습니다.

Why migration

호스팅에서 버전만 올리면 홈페이지가 멈춥니다

PHP 7 시절에 만든 홈페이지에는 PHP 8 에서 없어지거나 더 엄격해진 코드가 곳곳에 있습니다. 7.x 에서는 경고만 나던 코드가 8.x 에서는 페이지 전체를 멈춥니다. 실제로 고친 사례 중 일부입니다.

없어진 함수

each() · mysql_* · create_function · ereg

- while (list($k, $v) = each($arr)) {
+ foreach ($arr as $k => $v) {

PHP 7.x 경고PHP 8.x 페이지 중단

따옴표 없는 배열 키

그누보드 · 옛 스킨에 흔한 코드

- echo $row[wr_subject];
+ echo $row['wr_subject'];

PHP 7.x 경고PHP 8.x 페이지 중단

빈 값 · 0 처리

체크박스 미선택 폼, 통계 그래프

- @implode('|', $_POST['opt']);
+ is_array($_POST['opt']) ? implode(…) : '';
  // @ 로 덮어 둔 오류도 8.x 는 못 막음

PHP 7.x 경고PHP 8.x 문의 저장 실패

Zero-downtime Migration

운영 중인 사이트는 그대로,
무중단으로 PHP 8.5 전환

지금 사이트를 멈추지 않고 새 PHP 8.5 환경을 따로 준비해 검증을 끝낸 뒤, 도메인 연결만 넘깁니다. 문제가 보이면 바로 원래 서버로 되돌릴 수 있습니다.

지금 사이트 운영 계속

기존 서버는 손대지 않고 방문 · 문의 · 주문을 그대로 받습니다.

PHP 8.5 환경 준비

소스 수정 · 파일 · DB 복사 후 새 환경에 설치합니다.

전체 페이지 비교 검증

운영 사이트와 같은 주소를 하나하나 열어 결과를 비교합니다.

도메인 연결만 전환

방문자는 끊김 없이 새 서버로. 이상 시 즉시 원래대로.

권장

새 서버 이전 — 무중단 전환

PHP 8.5 서버를 따로 준비할 수 있는 경우. 검증이 끝난 뒤 도메인만 넘기므로 사이트가 멈추지 않습니다.

호스팅 정책에 따라

같은 서버 버전 변경 — 야간 전환

같은 서버에서만 버전을 바꿀 수 있는 호스팅. 호스팅사 작업 시간 동안 접속이 끊길 수 있어 방문이 적은 시간으로 일정을 맞춥니다.

Process

진단부터 전환 후 점검까지 6단계

사이트마다 프로그램 구성이 달라, 전체 파일을 하나하나 검사하고 고친 뒤 지금과 똑같이 동작하는지 확인합니다.

서버 진단 · 전체 백업
실제 PHP 버전 · 설정 · 확장 모듈 확인, 소스 · DB 원본 보관
호환성 전수 검사
전체 PHP 파일을 버전별로 문법 검사, PHP 8 에서 멈추는 코드 분석
PHP 8.5 마이그레이션
지금 버전과 8.5 양쪽에서 동작하도록 소스코드 수정
백엔드 기능 테스트
DB 연결 · 로그인 · 세션 · 파일 업로드 · 메일 발송 등 서버 처리 점검
테스트 서버 검증
전체 페이지 오류 비교, 관리자 · 게시판 · 문의 저장 확인
전환 · 안정화 점검
운영 반영, SSL · 주소 확인, 이상 시 즉시 원복, 전환 후 1주간 오류 기록 점검

작업 기간 약 5~7일(영업일)지원 대상 PHP 5.x · 7.x · 8.0 · 8.1대상 그누보드 · 영카트 · 워드프레스 · XE · 자체 개발

CASE · 2026.10.22

지금 보고 계신 이 사이트가
PHP 8.5 로 옮긴 실제 사례입니다

아이모토 홈페이지(그누보드5 기반, 수년간 기능을 더해 온 사이트)를 같은 절차로 전환했습니다. 새 서버를 준비해 검증한 뒤 도메인만 넘겨, 운영을 멈추지 않았습니다.

PHP 7.3.1PHP 8.5.12

1,031개

수정 · 추가한 소스 파일

700개

7.3 · 8.5 비교 검증한 페이지

0건

PHP 8.5 치명적 오류(검증 기준)

무중단

새 서버 이전 후 도메인 전환

Why IMOTTO

안심하고 맡기실 수 있도록

화면 · 기능은 그대로

바뀌는 것은 눈에 보이지 않는 프로그램 내부뿐입니다.

전체 백업 · 즉시 원복

반영 전 원본을 보관하고, 이상이 보이면 바로 되돌립니다.

개인정보를 가린 테스트

외부와 차단된 환경에서 개인정보를 가린 DB 사본으로만 시험합니다.

지금 버전에서도 동작하는 코드

고친 소스는 현재 PHP 에서도 돌아가 전환 전에 미리 반영할 수 있습니다.

결제 · 인증 모듈 협의

PG · 본인인증 모듈은 업체 PHP 8 버전 여부를 확인해 미리 협의합니다.

전환 후 1주 오류 점검

오류 기록을 지켜보며 발견되는 문제를 바로 조치합니다.

FAQ

자주 묻는 질문

지금까지 아무 문제 없이 운영해 왔는데, 꼭 해야 하나요?

이번 취약점은 홈페이지를 어떻게 만들었는지와 상관없는 PHP 자체의 결함이라, 잘 만든 홈페이지도 영향을 받습니다. 취약점 정보가 패치 전에 유출됐고 공격 시도가 보고되고 있어(KISA), 취약한 서버를 자동으로 찾아다니는 공격은 사이트 규모를 가리지 않습니다.

보안 패치만 적용하면 되지 않나요?

PHP 7.x 와 8.0·8.1 은 공식 지원이 이미 끝나 이번 취약점의 공식 업데이트가 나오지 않았습니다. 공식 해결 버전은 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35 뿐입니다. 그래서 지금 PHP 7.x 를 쓰는 홈페이지는 "보안 패치 = PHP 버전 전환"일 수밖에 없습니다.

임시 조치를 해 두면 충분하지 않나요?

요청 크기 제한·업로드 차단 같은 임시 조치는 공격 경로와 피해를 줄이는 문단속입니다. PHP 공식 공지와 KISA 권고 모두 임시 조치로는 공격을 완전히 막지 못한다고 밝히고 있어, 전환 전까지의 대책으로 보셔야 합니다. 아이모토는 전환 준비 기간에 임시 조치부터 먼저 적용해 드립니다.

호스팅에서 PHP 버전만 올리면 되는 것 아닌가요?

버전만 올리면 홈페이지가 멈추는 경우가 많습니다. PHP 8 에서 없어진 함수(each, mysql_* 등)와 더 엄격해진 처리 때문에 관리자 화면 · 게시판 · 문의 저장에서 오류가 납니다. 그래서 버전을 올리기 전에 소스코드를 PHP 8.5 기준으로 고쳐 두어야 합니다.

홈페이지 화면이나 기능이 바뀌나요?

아니요. 디자인 · 메뉴 · 기능은 지금과 똑같습니다. 바뀌는 것은 눈에 보이지 않는 프로그램 내부입니다. 고친 소스는 지금 버전의 PHP 에서도 그대로 동작하도록 만들어, 전환 전에 미리 반영해 두어도 문제가 없습니다.

전환하는 동안 사이트가 멈추나요?

PHP 8.5 새 서버를 먼저 준비해 전체 페이지를 검증한 뒤 도메인 연결만 넘기는 방식이면 접속 중단 없이 전환할 수 있습니다(무중단 전환). 같은 서버에서 버전만 바꿔야 하는 호스팅은 호스팅사 작업 동안 접속이 끊길 수 있어, 방문이 적은 야간 · 주말로 일정을 맞춥니다. 사이트에 맞는 방식을 먼저 제안해 드립니다.

작업하면서 회원 · 문의 같은 고객 정보는 안전한가요?

테스트는 외부 인터넷과 차단된 별도 환경에서, 이름 · 연락처 같은 개인정보를 가린 DB 사본으로만 합니다. 테스트 중 문자 · 메일 · 결제가 실제로 나가지 않도록 막아 두고, 작업이 끝나면 사본은 삭제합니다.

결제나 본인인증 기능을 쓰고 있는데 괜찮을까요?

전환 작업에 포함해 함께 점검합니다. PG사 · 인증 업체가 제공한 모듈은 업체가 PHP 8 용 버전을 따로 배포하는 경우가 많아, 교체가 필요하면 미리 말씀드리고 협의한 뒤 진행합니다.

다른 업체가 만든 홈페이지도 맡길 수 있나요?

네. 그누보드 · 영카트 · 워드프레스 · XE · 자체 개발 PHP 사이트 모두 가능합니다. 호스팅(FTP) 접속 정보만 있으면 서버 진단부터 시작합니다.

점검 결과가 "버전 숨김"으로 나왔어요.

서버가 보안 설정으로 PHP 버전을 외부에 보여 주지 않는 경우입니다. 숨겼다고 안전한 것은 아니며, 실제 버전은 호스팅 관리 화면의 PHP 설정에서 확인할 수 있습니다. 확인이 어려우시면 아래에서 정밀 확인을 요청해 주세요. 무료로 확인해 드립니다.

기간은 얼마나 걸리고, 무엇을 준비하면 되나요?

작업 기간은 약 5~7일(영업일 기준)입니다. 준비하실 것은 호스팅 관리 정보와 전환 날짜 협의, 전환 후 주요 기능(문의 등록 등) 확인 정도입니다.

8.5 로 바꾸면 언제까지 안전한가요?

PHP 8.5 는 2029년 12월 31일까지 공식 보안 지원을 받습니다. 그 사이의 보안 업데이트(8.5.x)는 대개 호스팅사가 서버에 적용하는 방식이라 소스를 다시 고칠 일은 거의 없습니다.

패치가 없는 버전은
기다린다고 안전해지지 않습니다

지금 홈페이지 주소로 PHP 버전부터 확인해 보세요.

PHP 버전 무료 점검 전화 상담 02-325-4820