PHP 취약점, 방화벽·NAS까지 영향…KISA, 보안 업데이트 권고

웹 개발에 널리 사용하는 프로그래밍 언어 PHP에서 발견된 고위험 취약점 ‘PHP2Shell’의 영향이 방화벽과 네트워크 연결형 저장장치(NAS) 등으로 확대되고 있다. 한국인터넷진흥원(KISA)은 팔로알토네트웍스와 시놀로지의 일부 제품에서 해당 취약점이 확인됐다며 보안 업데이트를 적용할 것을 29일 권고했다.

30일 KISA 보안 공지를 확인한 결과, 팔로알토네트웍스의 방화벽 운영체제 ‘PAN-OS’와 시놀로지의 일정 관리·메일 서비스 등 PHP를 사용하는 일부 패키지가 영향을 받는 것으로 나타났다. 두 회사는 취약점을 해결한 업데이트를 공개했다. 이번 취약점은 ‘CVE-2026-109618’과 ‘CVE-2026-109619’다. 외부 공격자가 별도 인증 없이 서버에서 임의의 명령을 실행할 수 있는 문제로, PHP2Shell이라는 이름으로 알려졌다. 공격에 성공하면 서버에 악성 파일을 설치하거나 고객정보를 탈취하고 내부망에 침투할 가능성이 있다.

KISA는 지난 21일 PHP 개발팀의 보안 업데이트 발표에 따라 첫 권고문을 게시했다. 이어 22일 기업 대응 수칙을 공개했고, 24일에는 별도로 발견된 PHP 원격 코드 실행 취약점 ‘CVE-2026-115560’에 대한 임시 조치를 권고했다.

방화벽 운영체제와 NAS 패키지도 영향

팔로알토네트웍스의 경우 방화벽 운영체제인 PAN-OS에 포함된 PHP가 문제다. KISA는 PAN-OS 10.2·11.1·11.2·12.1·12.2 계열의 일부 버전이 두 취약점의 영향을 받는다고 밝혔다.

제품별 수정 버전은 다르다. PAN-OS 12.2 계열은 12.2.4-h1 이상, 12.1 계열은 사용 중인 버전에 따라 12.1.4-h13, 12.1.7-h11 또는 12.1.10-h3 이상으로 업데이트해야 한다. 11.2·11.1·10.2 계열도 각각 제조사가 제시한 수정 버전을 적용해야 한다.

시놀로지는 NAS에서 사용하는 일정 관리 프로그램 ‘시놀로지 캘린더(Synology Calendar)’와 메일 서비스 ‘메일 스테이션(Mail Station)’, PHP 패키지가 영향을 받는다. 시놀로지 캘린더는 3.0.4-21435 이상, 메일 스테이션은 30000002.3.19-20333 이상으로 업데이트해야 한다. PHP 7.4·8.0·8.1·8.2·8.3·8.4도 사용 중인 디스크스테이션 매니저(DSM) 운영체제와 패키지 버전에 맞춰 업데이트해야 한다.

다만 PHP 7.3은 별도의 수정 버전이 없어 지원되는 버전으로 이전해야 한다. 시놀로지는 지원이 종료된 일부 DSM 환경에도 이번 취약점을 해결하기 위한 PHP 업데이트를 제공했다. 주의할 점은 모든 팔로알토네트웍스 방화벽이나 시놀로지 NAS가 동일하게 취약하다는 뜻은 아니라는 것이다. 실제 영향 여부는 제품에 포함된 PHP 구성과 실행 중인 서비스, 설치된 버전에 따라 달라진다.

PHP 업데이트 외에 내장 소프트웨어도 점검해야

이번 권고는 PHP 취약점 점검 대상을 일반 웹서버뿐 아니라 PHP를 내장한 장비와 소프트웨어까지 넓혀야 한다는 점을 보여준다. KISA는 지난 22일 공개한 기업 대응 수칙에서 외부에 공개된 홈페이지와 서버 외에도 네트워크 장비 관리 화면, PHP가 포함된 설치 패키지, 도커 등 컨테이너 환경의 PHP 사용 여부를 확인하도록 권고했다.

◈ 스테이블코인 이슈 브리핑 2026

일시 : 2026년 11월 19일 오후1시 ~ 오후 5시
장소 : 서울시 서초구 강남대로 499, 동일빌딩 3층 스페이스쉐어 주피터홀

◈ [Elastic 웨비나] AI 시대의 Observability 전략: 데이터 가시성과 비용 효율을 함께 확보하는 방법

일시 : 11월 11일 (수) 14:00 ~ 15:30
장소 : 온라인(bylineplus.com)

특히 호스팅 업체나 장비·솔루션 제조사가 PHP를 관리하는 경우 해당 업체에 보안 조치 적용 여부를 확인해야 한다고 강조했다. PHP 개발팀이 지난 21일 배포한 공식 수정 버전은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 이상이다. 하지만 각 제조사의 제품에 포함된 PHP는 별도의 버전 체계를 사용할 수 있어 해당 제조사가 제공하는 업데이트를 기준으로 확인해야 한다.

KISA는 업데이트 이후에도 웹서비스를 재시작하고 실제 실행 중인 PHP 버전을 확인할 것을 권고했다. 소프트웨어만 교체하고 관련 서비스를 재시작하지 않으면 메모리에 남은 이전 버전이 계속 동작할 수 있기 때문이다.

또 취약점 정보가 외부에 공개된 지난 20일 이후의 서버 기록을 점검하도록 했다. 비정상적으로 큰 요청이나 서버 오류, 알 수 없는 PHP 파일 생성, 외부 서버와의 의심스러운 연결 등이 주요 점검 대상이다. 즉시 업데이트하기 어려운 기업에는 파일 업로드 관련 기능 제한 등 임시 조치를 권고했다. 다만 임시 조치만으로 공격을 완전히 차단할 수는 없어 최종적으로 보안 업데이트를 적용해야 한다는 설명이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network