PHP2Shell이란?
PHP2Shell은 PHP 자체의 메모리 결함 CVE-2026-109618과 CVE-2026-109619를 말하며 둘 다 CVSS v4.0 9.2입니다. 미인증 코드 실행과 메모리 유출이 입증되었습니다. 2026년 10월 21일 수정되었으며 특정 CMS만의 문제가 아닙니다.
어떤 환경을 확인하나요?
FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed 등 모든 Web 설치를 업데이트하세요. WordPress, Drupal, Joomla, MediaWiki, Laravel과 자체 앱도 해당합니다. 관리 인터페이스, 장비, 테스트 환경과 컨테이너를 포함하세요. 앱 업데이트는 PHP를 교체하지 않습니다.
FPM은 제외되나요?
아닙니다. FPM은 요청 시작 실패 시 자식 프로세스를 종료해 일부 초기 경로를 막지만 앱 실행 및 교차 요청 경로는 남습니다. 모든 환경이 mod_php와 동일하지 않으며 FPM도 패치해야 합니다.
배포판 백포트
Ubuntu, Debian, 기업용 Linux는 원래 번호를 유지한 채 패치를 넣을 수 있습니다. 8.3.6 배너만으로 판단하지 마세요. OS, 저장소, 아키텍처와 전체 리비전을 두 CVE의 공급업체 기록에 맞춰 확인하세요. 이 사이트는 패키지 수정 기준을 추측하지 않습니다.
PHP 8.1 이하
일반 PHP 릴리스는 없습니다. 7.4·8.0·8.1 최소 소스 백포트는 예외이며 빌드와 검증은 운영자 책임입니다. OS·LTS 공급업체가 패키지를 유지할 수 있습니다. 연구 범위는 5.4부터 조건별로 다릅니다. 이전을 준비하고 임시 패치를 검증하세요.
임시 조치는 불완전합니다
전체 패치만 모든 변형을 해결합니다. 설정은 업로드·성능·가용성에 영향을 줄 수 있습니다. 요청 분석 전에 관리자 설정으로 적용하고 전체 워커를 재시작하세요. 두 권고문을 함께 읽으세요. CDN과 WAF는 수정 증거가 아닙니다.
패치가 침해를 배제하지 않습니다
버전 비교는 과거 공격을 판단하지 못합니다. 로그·이미지를 보존하고 비정상 종료, 파일, 프로세스와 외부 연결을 조사하세요. 오류 없음은 안전 증거가 아닙니다. 의심 시 격리하고 사고를 통제한 뒤 신뢰하는 환경에서 노출 비밀을 교체하세요.
평가 방법
수동 확인은 공개된 네 계열의 완전한 안정 버전을 비교합니다. 공급업체 빌드는 두 CVE의 공지가 필요하고 미확인 빌드는 미확인으로 남습니다. 공개 확인은 보고된 버전과 단서만 수집하며 악용을 증명하지 않습니다. 헤더 숨김, CDN 또는 패치된 복제본 하나로 전체 환경의 안전성을 입증할 수 없습니다. 날짜는 편집 검토 시점입니다.
무료 스캐너가 침입을 입증하나요?
확정할 수 없습니다. 헤더와 패턴은 전체 런타임, 잃은 이력과 메모리 유출을 보지 못합니다. 목록 작성, 증거 보존, 로그 연결부터 시작하세요. 무단 계정, 프로세스나 설명 안 되는 유출이 있으면 격리하고 호스팅/대응팀에 연락하세요.
공격 시도인가, 침입 성공인가? →