KISA, ‘PHP2Shell’ 보안 취약점 긴급 대응 수칙 공개

한국인터넷진흥원(KISA)은 PHP에서 발견된 치명적 보안 취약점 ‘PHP2Shell’과 관련해 기업 보안 대응 수칙을 22일 공개했다. KISA는 인터넷에 공개된 PHP 서버를 우선 확인해 최신 버전으로 업데이트하고, 취약점 정보가 유출된 지난 20일 이후의 로그를 점검할 것을 권고했다.

PHP는 웹사이트와 웹 애플리케이션을 개발할 때 사용하는 서버용 프로그래밍 언어다. 워드프레스 등 콘텐츠관리시스템(CMS)을 비롯해 다양한 웹서비스가 PHP를 기반으로 동작한다. 이번에 확인된 취약점은 CVE-2026-109618과 CVE-2026-109619다. 공통 취약점 평가 시스템(CVSS) 기준 위험도는 9.2다. 공격자는 로그인을 거치지 않고 외부에서 서버에 명령을 실행할 수 있다.

KISA는 보안 업데이트가 배포되기 전에 취약점 정보가 외부로 유출됐으며 해외 보안업체를 중심으로 공격 시도가 보고되고 있다고 설명했다. 공격에 성공하면 원격으로 서버를 조종할 수 있는 웹셸을 설치하거나 고객정보를 빼낼 수 있다. 홈페이지 변조와 내부망 침투로 이어질 가능성도 있다.

인터넷에 공개된 PHP 서버부터 업데이트

KISA는 먼저 기업이 운영 중인 홈페이지와 시스템에서 PHP를 사용하는지 확인해야 한다고 권고했다. 외주 제작 사이트와 오래돼 관리하지 않는 사이트, 이벤트·테스트 서버, 관리자 페이지도 점검 대상이다.

자산관리 목록만 확인하지 말고 실제 동작 중인 서버를 기준으로 살펴봐야 한다. 네트워크 장비 관리 화면 등 PHP가 내장된 장비·솔루션과 도커 등 외부에서 가져온 컨테이너 이미지도 확인해야 한다.

취약점을 해결한 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 이상이다. KISA는 인터넷에 공개된 서버부터 우선 업데이트하도록 권고했다.

업데이트만으로 조치가 끝나는 것은 아니다. PHP-FPM과 아파치(Apache) mod_php, php-cgi, 프랑켄PHP(FrankenPHP), 라이트스피드(LiteSpeed) 등 PHP를 실행하는 웹서비스를 재시작해야 한다. 재시작하지 않으면 메모리에 남아 있는 이전 버전이 계속 동작할 수 있다. 컨테이너 환경에서는 새 이미지를 다시 배포해야 한다.

PHP 8.1 이하는 공식 보안 업데이트가 제공되지 않아 지원되는 버전으로 전환해야 한다. PHP 8.2 역시 오는 12월31일 보안 지원이 종료될 예정이어서 KISA는 PHP 8.3 이상으로 전환할 것을 권고했다.

업데이트 어렵다면 외부 접속 차단도 검토

즉시 업데이트하기 어려운 기업은 웹방화벽(WAF)이나 웹서버, 프록시에서 요청 크기를 제한해야 한다. 파일 업로드 기능이 필요하지 않은 서비스라면 파일 업로드 요청도 차단하는 것이 좋다.

KISA는 PHP 공식 임시 설정을 적용한 뒤 PHP 프로세스를 재시작하는 방법도 제시했다. 다만 임시 조치만으로 공격을 완전히 차단할 수 없기 때문에 최종적으로는 보안 업데이트를 적용해야 한다고 강조했다.

패치나 임시 조치를 적용하기 어렵다면 업데이트 전까지 해당 서버의 외부 접속을 차단하거나 서비스를 일시적으로 중단하는 방안도 검토하도록 했다.

10월 20일 이후 로그 확인, 비밀번호·API 키도 교체

KISA에 따르면, 업데이트를 마친 뒤에는 최소 지난 10월 20일 이후의 서버 기록을 점검해야 한다. 20일은 이번 취약점 정보가 외부에 유출된 시점이다.

점검 대상에는 PHP 페이지로 들어온 비정상적으로 큰 요청과 반복된 HTTP 500 오류가 포함된다. 원인을 알 수 없는 PHP 프로그램 재시작이나 비정상 종료, 메모리 부족 오류도 확인해야 한다.

웹서버가 셸(sh·bash) 같은 명령 실행 프로그램이나 파일 다운로드 도구를 실행한 흔적도 살펴봐야 한다. 웹·업로드·임시 폴더에 새로 만들어지거나 변경된 PHP 파일, 홈페이지와 결제 페이지에 추가된 외부 스크립트, 웹서버에서 알 수 없는 외부 주소로 연결한 기록도 점검 대상이다.

KISA는 로그에서 이상 징후를 찾지 못했더라도 업데이트와 함께 주요 인증정보를 교체할 것을 권고했다. 이번 취약점을 악용하면 서버 메모리에 저장된 비밀번호와 인증 토큰, ‘애플리케이션 프로그래밍 인터페이스(API’)’ 키 등이 유출될 수 있기 때문이다.

업데이트 전까지 인터넷에 노출됐던 서버는 데이터베이스(DB) 비밀번호와 외부 서비스 연동용 API 키, 관리자 계정 비밀번호를 바꾸는 것이 권고된다. 침해 흔적이 발견된 서버는 반드시 인증정보를 교체해야 한다.

침해 정황을 발견했다면 서버를 바로 종료하거나 재시작해서는 안 된다. KISA는 먼저 서버의 외부 네트워크 연결을 차단한 뒤 로그와 실행 중인 프로그램 목록, 네트워크 연결 정보 등 증거를 확보하도록 안내했다. 서버를 재시작하면 메모리에 남아 있던 공격 흔적이 사라질 수 있기 때문이다.

KISA는 인터넷에 공개된 출처가 불분명한 개념검증(PoC) 코드를 직접 실행해 취약 여부를 확인하는 방식도 피해야 한다고 당부했다. 악성코드가 포함된 가짜 PoC가 유포될 수 있어 PHP 버전과 서버 기록을 기준으로 취약 여부를 판단해야 한다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network