PHP 보안 취약점, 사이트 운영자는 무엇부터? 패치·재시작·침해 신고 순서

홈페이지나 쇼핑몰을 운영한다면 2026년 10월 발표된 PHP 보안 취약점에 어떻게 대응해야 할까요? 과학기술정보통신부의 긴급 권고와 한국인터넷진흥원(KISA)의 기업 대응 수칙을 바탕으로, 운영자가 확인할 버전과 조치 순서를 정리했습니다. 일반 이용자가 직접 서버를 패치해야 한다는 뜻은 아닙니다.

핵심 요약: PHP 확인, 패치, 실제 서비스 재시작

• 정부는 10월 22일 12시 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 높이고 PHP 사용 기업·기관에 즉시 업데이트를 요청했습니다. 이는 서비스 운영자에게 해당하는 긴급 권고입니다.
• KISA가 제시한 해결 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상입니다. 배포판·제조사 패키지는 번호가 같아 보여도 보안 패치가 반영될 수 있으므로 변경 이력을 확인해야 합니다.
• 업데이트만으로 끝나지 않습니다. PHP를 실행하는 웹 서비스를 재시작하고, 실제 서비스가 사용하는 버전과 침해 흔적까지 확인해야 합니다.

누가 언제 조치해야 하나요?

이번 문제는 PHP 자체의 취약점 2건(CVE-2026-109618·109619)으로, 로그인 없이 외부 요청만으로 서버 명령이 실행될 위험이 있다고 KISA가 설명합니다. 워드프레스·그누보드 등 PHP 기반 사이트뿐 아니라 외주 제작 페이지, 오래된 테스트 서버, 관리 화면, PHP가 내장된 장비나 컨테이너도 점검 대상입니다. 실제 운영 중인 서버를 기준으로 PHP 사용 여부와 버전을 조사하세요.

호스팅 업체가 PHP를 관리한다면 직접 임의로 서버를 바꾸기보다 업체에 해결 패치 적용 여부, 실제 웹 서비스의 PHP 버전, 재시작 여부를 확인하고 조치를 요청하세요. 일반 방문자에게는 별도 신청 절차가 없으며, 평소 기기·백신 업데이트와 출처 불명의 ‘공격 시험 코드’ 실행 금지가 해당됩니다.

업데이트 순서와 구버전 예외

1. 범위 확인: 인터넷에 공개된 모든 사이트와 관리자 화면의 PHP를 조사하고 외주·방치 서버와 장비·컨테이너를 빠뜨리지 않습니다.
2. 적용과 재시작: 인터넷 공개 서버부터 호환성 영향을 검토·테스트한 뒤 공식 패치를 적용합니다. PHP-FPM, Apache, php-cgi 등 실제 PHP 실행 서비스를 재시작하고 웹에서 사용되는 버전을 확인합니다. 명령줄의 php -v 결과만으로는 충분하지 않을 수 있습니다.
3. 구버전 전환: PHP 8.1 이하는 정식 보안 업데이트가 없어 지원 버전으로 전환해야 합니다. KISA는 PHP 8.2의 보안 지원이 2026년 12월 31일 종료될 예정이라 8.3 이상으로의 전환을 권합니다. 당장 전환이 어렵다면 공급사의 보안 패치나 공식 임시 조치를 검토하되, 이는 영구 대책이 아닙니다.

패치가 어렵거나 침해가 의심될 때

즉시 업데이트가 불가능하다면 KISA는 웹방화벽 최신 규칙과 요청 제한 등 임시 조치를 권고합니다. 임시 조치만으로 완전한 보호가 되지는 않으므로, 적용할 패치도 없다면 외부 접속 차단이나 서비스 일시 중단을 검토해야 합니다. 운영 환경에 따라 영향이 달라 설정값을 무작정 복사하지 말고 원문 수칙과 담당 업체를 함께 확인하세요.

업데이트 후에는 최소 10월 20일 이후의 접속·오류 기록, 새로 생긴 PHP 파일(웹셸), 수상한 외부 연결 등을 살피고 중요 비밀번호와 연동 키 교체도 검토합니다. 이미 침해가 의심된다면 일반 패치 절차와 순서가 달라집니다. 서버를 먼저 끄거나 재시작하지 말고 외부 접속을 차단해 격리한 다음, 보호나라 ‘침해사고 신고 → 신고하기’로 신고하고 로그·실행 상태 등 증거를 보존한 뒤 업데이트·제거·인증정보 교체를 진행하라는 것이 KISA 안내입니다.

마무리

핵심은 “PHP를 쓰는 실제 서비스 확인 → 지원되는 해결 패치 → 서비스 재시작 → 버전·로그 확인”입니다. 다만 침해 흔적이 있다면 증거 보존과 신고가 재시작보다 먼저입니다. 호스팅 운영자는 업체 답변을 확인하고, 자체 서버 운영자는 KISA 원문을 작업 체크리스트로 삼으세요.

공식 출처

• 대한민국 정책브리핑: PHP 보안 업데이트 긴급 권고(2026.10.22)
• KISA 보호나라: PHP2Shell 기업 보안 대응 수칙
• KISA 보호나라: 침해사고 신고 안내