10월 21일 공개된 PHP 원격코드실행 취약점, 아직 패치 안 하셨나요?
서버 지식 없어도 됩니다. 2008년부터 PHP 서버를 직접 운영해 온 개발자가 백업부터 패치, 메이저 업그레이드, 소스 호환성 수정까지 직접 처리합니다.
8.1 이하는 공식 수정판이 나오지 않습니다. "패치 적용" 이 아니라 8.2 이상으로 올리는 것 외에는 근본 해결책이 없습니다.
2026년 10월 21일, PHP 에서 치명적인 원격 코드 실행 취약점 두 건이 공개됐습니다. 두 건을 묶어 PHP2Shell 이라고 부릅니다.
메모리 부족(Out-Of-Memory) 처리 과정에서 요청 데이터가 반쯤 초기화된 상태로 남아 메모리가 손상됩니다. 공격자는 이를 이용해 서버 프로세스의 실행 흐름을 조작할 수 있습니다.
이전 요청의 전역 상태가 다음 요청까지 살아남아 악용됩니다. 특히 Apache mod_php 처럼 프로세스를 재사용하는 구성에서 다른 사용자의 요청 컨텍스트를 오염시킬 수 있습니다.
인증이 필요 없는 비인증 원격 코드 실행(Unauthenticated RCE) 입니다. 공개 하루 전 세부 내용이 유출돼 이미 실제 공격에 사용되고 있으며, 메이저 버전을 올리면 기존 소스가 깨지기 때문에 "패치" 와 "소스 수정" 을 한 번에 처리해야 합니다.
PHP 공식 입장 — "완전한 완화책은 없다. 업데이트만이 안전한 선택이다."호스팅사·보안 솔루션에서 PHP2Shell / CVE-2026-109618 / CVE-2026-109619 경고를 받으신 분
서버 관리자 없이 사이트를 운영 중인 소상공인 · 1인 기업 · 소규모 스타트업
외주로 만든 사이트인데 제작사와 연락이 끊긴 분
PHP 5.x / 7.x / 8.0 / 8.1 을 쓰고 있어 이번 패치 대상에서 빠진 분
그누보드 · 영카트 · 워드프레스 · 라라벨 · 코드이그나이터 등 PHP 기반 사이트 운영자
당장 메이저 업그레이드가 어려워 임시 방어라도 먼저 해두고 싶은 분
CentOS 소스 컴파일, Ubuntu/Rocky 패키지, Plesk·cPanel 환경, PHP 5 → 7 → 8 전환까지 실제 운영 서버에서 수없이 해본 일입니다.
작업 전 소스 + DB + 설정 파일 전체 백업부터 받습니다
가능하면 스테이징에서 먼저 검증한 뒤 운영 서버에 적용합니다
접속이 적은 시간대에 작업해 다운타임을 최소화합니다
변경 내역과 롤백 방법을 문서로 정리해 드립니다
2008년부터 PHP 기반 쇼핑몰 · 기업 홈페이지 · B2B 시스템을 구축하고 서버를 직접 운영해 온 개발자가 작업합니다. CentOS 소스 컴파일 환경, Ubuntu/Rocky 패키지 환경, Plesk · cPanel 환경, PHP 5 → 7 → 8 전환까지 — 실제 운영 서버에서 수없이 반복해 온 일입니다.
정확한 범위와 견적은 무료 진단 후 확정됩니다.
메이저 업그레이드 시 소스 수정 범위는 진단 후 확정되며, 파일 수가 패키지 범위를 크게 넘으면 사전 협의 후 추가 비용이 발생할 수 있습니다.